Linux-文件權限

時間 2019-11-08

標籤 linux 文件權限欄目 Linux 简体版

原文原文鏈接

Linux文件權限管理

基本權限 UGO

文件權限設置：能夠賦於某個用戶或組可以以何種方式訪問某個文件shell

文件權限管理之： UGO設置基本權限(r、w、x)

rw-r--r-- alice hr install.log

權限對象：
屬主：         u
屬組：         g
其餘人:     　　o

權限類型：
讀：r          4
寫：w        　2
執行: x        1

==設置權限

1. 更改文件是屬主、屬組

=chown：
[root@localhost ~]# chown alice.hr file1              //改屬主、屬組
[root@localhost ~]# chown alice     file1             //只改屬主
[root@localhost ~]# chown        .hr file1            //只改屬組
=chgrp：
[root@localhost ~]# chgrp it file1                    //改文件屬組
[root@localhost ~]# chgrp -R it dir1                  //改文件屬組

2. 更改權限

=a. 使用符號
                    對象        賦值符        權限類型
                    u                +                r
chmod             g                 -                w          file1
                    o                =                x
                    a
[root@localhost ~]# chmod u+x file1                 //屬主增長執行
[root@localhost ~]# chmod a=rwx file1               //全部人等於讀寫執行
[root@localhost ~]# chmod a=- file1                 //全部人沒有權限
[root@localhost ~]# chmod ug=rw,o=r file1           //屬主屬組等於讀寫，其餘人只讀
[root@localhost ~]# ll file1                        //以長模式方式查看文件權限
-rw-rw-r-- 1 alice it 17 10-25 16:45 file1          //顯示的結果

=b. 使用數字
[root@localhost ~]# chmod 644 file1
[root@localhost ~]# ll file1
-rw-r--r-- 1 alice it 17 10-25 16:45 file1

===設置權限示例

針對hr部門的訪問目錄設置權限，要求以下：
1. root用戶和hr組的員工能夠讀、寫、執行
2. 其餘用戶沒有任何權限vim

[root@localhost ~]# groupadd hr
[root@localhost ~]# useradd hr01 -G hr
[root@localhost ~]# useradd hr02 -G hr
[root@localhost ~]# mkdir /home/hr

[root@localhost ~]# chgrp hr /home/hr
[root@localhost ~]# chmod 770 /home/hr
[root@localhost ~]# ll -d /home/hr/
drwxrwx---. 2 root hr 4096 3月  13 14:26 /home/hr/

重要： r、w、x權限對文件和目錄的意義bash

示例1：對文件的影響

[root@localhost ~]# mkdir /dir10
[root@localhost ~]# touch /dir10/file1
[root@localhost ~]# chmod 777 /dir10/file1 

[root@localhost ~]# ll -d /dir10/
drwxr-xr-x. 2 root root 4096 3月  11 18:37 /dir10/
[root@localhost ~]# ll /dir10/file1 
-rwxrwxrwx. 1 root root 0 3月  11 18:37 /dir10/file1

[alice@tianyun ~]$ cat /dir10/file1 
[alice@tianyun ~]$ rm -rf /dir10/file1 
rm: 沒法刪除"/dir10/file1": 權限不夠

示例2：對目錄有w權限

[root@localhost ~]# chmod 777 /dir10/
[root@localhost ~]# chmod 000 /dir10/file1 
[root@localhost ~]# ll -d /dir10/
drwxrwxrwx. 2 root root 4096 3月  11 18:37 /dir10/
[root@localhost ~]# ll /dir10/file1 
----------. 1 root root 0 3月  11 18:37 /dir10/file1

[alice@tianyun ~]$ cat /dir10/file1 
cat: /dir10/file1: 權限不夠
[alice@tianyun ~]$ rm -rf /dir10/file1 
[alice@tianyun ~]$ touch /dir10/file2

問題1：測試

[root@localhost ~]# ll /root/install.log
-rw-r--r--. 1 root root 46571 6月   1 23:37 /root/install.log
[alice@tianyun ~]$ cat /root/install.log
cat: /root/install.log: 權限不夠

問題2： alice能刪除/下的任何文件嗎？ui

[root@localhost ~]# chmod 777 /
[root@localhost ~]# ll -d /
drwxrwxrwx. 27 root root 4096 6月   4 11:32 /
[alice@tianyun ~]$ rm -rf /etc

再次認識一下文件和目錄：spa

基本權限 ACL

文件權限管理之： ACL設置基本權限(r、w、x)
UGO設置基本權限：只能一個用戶，一個組和其餘人
ACL 設置基本權限： r,w,x日誌

＝ACL基本用法＝

設置：
[root@localhost ~]# touch /home/test.txt
[root@localhost ~]# ll /home/test.txt    
-rw-r--r-- 1 root root 0 10-26 13:59 /home/test.txt

[root@localhost ~]# getfacl /home/test.txt
[root@localhost ~]# setfacl -m u:alice:rw /home/test.txt              //增長用戶alice權限
[root@localhost ~]# setfacl -m u:jack:- /home/test.txt                //增長用戶jack權限
[root@localhost ~]# setfacl -m o::rw /home/test.txt

查看/刪除：
[root@localhost ~]# ll /home/test.txt 
-rw-rw-r--+ 1 root root 0 10-26 13:59 /home/test.txt
[root@localhost ~]# getfacl /home/test.txt

[root@localhost ~]# setfacl -m g:hr:r /home/test.txt
[root@localhost ~]# setfacl -x g:hr /home/test.txt                     //刪除組hr的acl權限
[root@localhost ~]# setfacl -b /home/test.txt                          //刪除全部acl權限

=查看幫助=

[root@localhost ~]# man setfacl
/EXAMPLES
[root@localhost ~]# getfacl file1 |setfacl  --set-file=- file2       //複製file1的ACL權限給file2

＝ACL高級用法＝

mask：
用於臨時下降用戶或組（除屬主和其餘人）的權限
建議：爲了方便管理文件權限，其餘人的權限置爲空
[root@localhost ~]# setfacl -m m::--- /home/file100.txt


default: 繼承（默認）
要求： 但願alice可以對/home以及之後在/home下新建的文件有讀、寫、執行權限

思路：
步驟一： 賦予alice對/home讀、寫、執行權限
[root@localhost ~]# setfacl -m u:alice:rwx /home

步驟二： 賦予alice對之後在/home下新建的文件有讀、寫、執行權限 （使alice的權限繼承）
[root@localhost ~]# setfacl -m d:u:alice:rwx /home

高級權限 suid,sgid,sticky

問題1：爲何會失敗！code

[root@localhost ~]# ll /root/install.log
-rw-r--r--. 1 root root 46571 6月   1 23:37 /root/install.log
[alice@tianyun ~]$ cat /root/install.log
cat: /root/install.log: 權限不夠

分析：
alice           /usr/bin/cat (alice)            /root/install.log
alice           /usr/bin/passwd (root)      /etc/shadow

高級權限的類型
suid 4
sgid 2
sticky 1 粘滯位

設置特殊權限
a、字符
chmod u+s file
chmod g+s file
chmod g+s dir
chmod o+t dir

b、數字
chmod 4777 file
chmod 7777 file
chmod 2770 dir
chmod 3770 dir對象

示例1：suid 普通用戶經過suid提權 <針對文件>

在進程文件（二進制，可執行）上增長suid權限
[root@localhost ~]# chmod u+s /bin/cat
[root@localhost ~]# chmod u+s /bin/rm
[alice@tianyun ~]$ cat /root/install.log

普通用戶能夠修改密碼：
alice           /usr/bin/passwd      /etc/shadow

[alice@tianyun ~]$ ll /etc/shadow
---------- 1 root root 1487 6月   4 13:43 /etc/shadow

[alice@tianyun ~]$ ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 30768 2月  17 2012 /usr/bin/passwd

[alice@tianyun ~]$ passwd 
更改用戶 alice 的密碼 。
爲 alice 更改 STRESS 密碼。
（當前）UNIX 密碼：

[root@localhost ~]# ps aux |grep passwd
root      3674  0.0  0.0 165764  1884 pts/1    S+   14:34   0:00 passwd

示例2：sticky 用戶只能刪除本身的文件 <針對目錄>

[root@localhost ~]# mkdir /home/dir1
[root@localhost ~]# chmod 777 /home/dir1
測試：user1在/home/dir1創建文件, user2嘗試刪除！

[root@localhost ~]# chmod o+t /home/dir1
[root@localhost ~]# ll -d /home/dir1
rwxrwxrwt 2 root root 4096 09-02 02:26 /home/dir1
誰能夠刪除：
root
文件的全部者
目錄的全部者

示例3：sgid 新建文件繼承目錄屬組 <針對目錄>

[root@localhost ~]# mkdir /home/hr
[root@localhost ~]# chgrp hr /home/hr/
[root@localhost ~]# chmod g+s /home/hr
[root@localhost ~]# ll -d /home/hr/
drwxr-sr-x. 2 root hr 4096 Dec  5 16:03 /home/hr/

[root@localhost ~]# touch /home/hr/file9
[root@localhost ~]# ll /home/hr/
-rw-r--r--. 1 root hr   0 Dec  5 16:03 file9

=================================================================
小知識：注意如下目錄的正確權限，不然會致使程序不能正常運行
[root@wangcy ~]# ll -d /tmp /var/tmp/
drwxrwxrwt 14 root root 4096 07-26 10:15 /tmp
drwxrwxrwt  2 root root 4096 07-24 19:02 /var/tmp/
=================================================================
                文件                                                 目錄
suid      執行的時候以全部者身份執行

sqid                                                                繼承屬組 

sticky                                                              用戶只能刪除本身的文件

進程掩碼 mask umask

mask；
用於臨時下降用戶或組（除屬主和其餘人）的權限
mask決定了他們的最高權限
建議：爲了方便文件管理，其餘人的權限置爲空blog

文件權限管理之：進程umask

進程新建文件、目錄的默認權限會受到umask的影響，umask表示要減掉的權限

shell （vim,touch）      =======umask======>    新文件或目錄權限
vsftpd                  =======umask======>    新文件或目錄權限 
samba                   =======umask======>    新文件或目錄權限 
useradd                 =======umask======>    用戶HOME

示例1: 在shell進程中建立文件

[root@localhost ~]# umask                                     //查看當前用戶的umask權限
0022
[root@localhost ~]# touch file800
[root@localhost ~]# mkdir dir800
[root@localhost ~]# ll -d dir800 file800 
drwxr-xr-x. 2 root root 4096 3月  11 19:40 dir800
-rw-r--r--. 1 root root    0 3月  11 19:40 file800

示例2：修改shell umask值（臨時）

[root@localhost ~]# umask 000
[root@localhost ~]# mkdir dir900
[root@localhost ~]# touch file900
[root@localhost ~]# ll -d dir900 file900 
drwxrwxrwx. 2 root root 4096 3月  11 19:44 dir900
-rw-rw-rw-. 1 root root    0 3月  11 19:44 file900

示例3：修改shell umask值（永久）

[root@localhost ~]# vim /etc/profile   
if [ $UID -gt 199 ] && [ "`id -gn`" = "`id -un`" ]; then
    umask 002
else
    umask 022
fi
[root@localhost ~]# source /etc/profile       //當即在當前shell中生效

示例4：經過umask決定新建用戶HOME目錄的權限

[root@localhost ~]# vim /etc/login.defs 
UMASK           077
[root@localhost ~]# useradd gougou
[root@localhost ~]# ll -d /home/gougou/
drwx------. 4 gougou gougou 4096 3月  11 19:50 /home/gougou/

[root@localhost ~]# vim /etc/login.defs
UMASK           000
[root@localhost ~]# useradd yangyang
[root@localhost ~]# ll -d /home/yangyang/
drwxrwxrwx. 4 yangyang yangyang 4096 3月  11 19:53 /home/yangyang/

文件屬性 chattr

文件權限管理之：文件屬性
注：設置文件屬性(權限)，針對全部用戶，包括root

[root@localhost ~]# touch file100 file200 file300
[root@localhost ~]# lsattr file100 file200 file300 
-------------e- file100
-------------e- file200
-------------e- file300

[root@localhost ~]# man chattr
[root@localhost ~]# chattr +a file100 
[root@localhost ~]# chattr +i file200 
[root@localhost ~]# chattr +A file300

[root@localhost ~]# lsattr file100 file200 file300 
-----a-------e- file100
----i--------e- file200
-------A-----e- file300

[root@localhost ~]# echo 111 > file100                    //以覆蓋的方式寫入
bash: file100: Operation not permitted
[root@localhost ~]# rm -rf file100 
rm: cannot remove `file100': Operation not permitted
[root@localhost ~]# echo 111 >> file100                　　//以追加的方式寫入，例如日誌文件

[root@localhost ~]# echo 111 > file200
bash: file200: Permission denied
[root@instructor ~]# echo 111 >> file200
bash: file200: Permission denied
[root@localhost ~]# rm -rf file200 
rm: cannot remove `file200': Operation not permitted

[root@localhost ~]# chattr -a file100
[root@localhost ~]# chattr -i file200
[root@localhost ~]# chattr -A file300