本文将深入讲解Linux中文件/目录的setuid、setgid权限和stickbit特性，指导如何设置特殊权限以控制用户执行行为，并通过实例演示如何为文件和目录设置和取消这些权限。同时涵盖查看与修改特殊属性的lsattr和chattr命令应用。
本实训主要讲解Linux中文件/目录的特殊权限和特殊属性。
Linux系统中文件/目录除了有读(r)、写(w)、执行(x)权限外，文件/目录还存在特殊的权限，这些权限分别是SUID、SGID和Sticky Bit。
Linux系统中文件/目录还存在特殊的属性，这些特殊文件系统的安全管理方面起很重要的作用。
本实训主要讲解如何对Linux文件/目录设置特殊的权限和特殊属性。
任务描述
假设由用户A创建了一个可执行文件testA，此时想让用户B以A的身份去执行testA文件该如何实现，通过本关的学习，我们将学会解决以上问题。
本关任务：设置文件/目录的特殊权限setuid和setgid。
相关知识
Linux中文件/目录除了有可读、可写和可执行这三种权限外，还存在比较特殊的权限，这些特殊权限就包括setuid和setgid这两种。
setuid和setgid位是让普通用户可以以root用户的角色运行只有root帐号才能运行的程序或命令。例如我们用普通用户运行passwd命令来更改自己的口令，实际上最终更改的是/etc/passwd文件，我们知道/etc/passwd文件是用户管理的 配置文件，只有root权限的用户才能更改，正是因为passwd命令被设置了setuid权限才能使得普通用户也可以修改其配置文件的内容。
Linux文件/目录权限是使用常见的八进制权限掩码来表示的，通常都是用三位数表示，但确切地说，它是用四位数表示的，因为除了读、写和执行权限以外还有特殊的权限。
setuid的八进制表示为4000setgid的八进制表示为2000
同样setuid和setgid也可以使用字母s表示。
如果文件/目录的拥有者的可执行位是s，则表示该文件/目录被设置了setuid权限。同样，如果同组用户的可执行为是s，则表示该文件/目录被设置了setgid权限。
接下让我们详细的学习setuid和setgid的使用方法。
setuid
setuid的作用是让执行该命令的用户以该命令拥有者的权限去执行。
例如：普通用户执行passwd时会拥有root的权限，这样就可以修改/etc/passwd这个文件，正是因为passwd命令被设置了setuid权限，passwd命令的详细权限如下所示：
可以看到passwd命令的拥有者的可执行位是s，则说明passwd命令被设置了setuid权限。
设置setuid命令有两种方法，一种是数字设置，另一种是通过助记语法。（建议使用助记语法设置）
- 数字设置命令：
chmod 4xxx 文件/目录
其中xxx表示文件/目录的所有者、同组用户和其他用户的权限(读写执行)。
- 助记语法设置命令：
chmod u [+|-] s 文件/目录
+ 添加setuid权限；- 取消setuid权限；
注意：chmod命令的其他参数都可以与setuid权限设置结合使用。 在设置setuid前必须保证文件/目录的所有者具有可执行权限，否则设置则无效。
执行权限：chmod必须以root权限才能执行，如果是普通用户想执行chmod时，需要在命令前加sudo命令来提升权限为root权限。
案例演示1：
创建一个新文件testFile，使用数字设置方法为文件testFile添加setuid权限，具体使用如下命令：
touch testFilels -l testFilesudo chmod 4764 testFilels -l testFile
第一条命令是创建新文件testFile； 第二条命令是查看testFile现有的权限； 第三条命令是在保证testFile原有权限的情况下为其添加setuid权限； 第四条命令是查看是否添加成功；
案例演示2：
创建一个新目录testDir，使用助记语法设置方法为目录testDir添加setuid权限，具体使用如下命令：
mkdir testDirsudo chmod u+s testDirls -l .
案例演示3：
创建一个新文件testFile，使用助记语法为文件testFile添加setuid权限，具体使用如下命令：
touch testFilesudo chmod u+x,u+s testFilels -l testFile
第一条命令是创建新文件testFile； 第二条命令是在设置testFile为可执行权限并为其添加setuid权限； 第三条命令是查看是否添加成功；
如果不给文件testFile设置可执行权限直接设置setuid权限后，标记为是S而不是s，详细结果如下图所示：
setgid
setgid的作用是让执行该命令的用户以该命令所有者的同组用户的权限去执行。
设置setgid命令有两种方法，一种是数字设置，另一种是通过助记语法。建议使用助记语法设置setgid权限。
数字设置命令：
chmod 2xxx 文件/目录
其中xxx表示文件/目录的所有者、同组用户和其他用户的权限(读写执行)。
助记语法设置命令：
chmod g [+|-] s 文件/目录
+ 添加setgid权限；- 取消setgid权限；
注意：chmod命令的其他参数都可以与setgid权限设置结合使用。 在设置setgid前必须保证文件/目录的同组用户具有可执行权限，否则设置则无效。
执行权限：chmod必须以root权限才能执行，如果是普通用户想执行chmod时，需要在命令前加sudo命令来提升权限为root权限。
案例演示1：
创建一个新文件testFile，使用数字设置方法为文件testFile添加setgid权限，具体使用如下命令：
touch testFilels -l testFilesudo chmod 2674 testFilels -l testFile
第一条命令是创建新文件testFile； 第二条命令是查看testFile现有的权限； 第三条命令是在保证testFile原有权限的情况下为其添加setgid权限； 第四条命令是查看是否添加成功；
案例演示2：
创建一个新目录testDir，使用助记语法设置方法为目录testDir添加setgid权限，具体使用如下命令：
mkdir testDirsudo chmod g+s testDirls -l .
编程要求
在右侧编辑器中补充代码，具体编程要求如下：
使用助记语法为系统已存在文件
oldFile1(默认权限为：rw_rw_r__)设置setuid权限;使用助记语法为系统已存在目录
oldDir1(默认权限为：rwxrwxrwx)设置setgid权限;使用助记语法为系统已存在文件
oldFile2取消setuid权限;使用助记语法为系统已存在目录
oldDir2取消setgid权限。
测试说明
平台会对你编写的代码进行评测：
预期输出：
设置oldFile1文件权限成功设置oldDir1目录权限成功设置oldFile2文件权限成功设置oldDir2目录权限成功
当一个人用工作去迎接光明，光明很快就会来照耀着他。——冯学峰
开始你的任务吧，祝你成功！
#!/bin/bash
#在以下部分写出完成任务的命令
#***********begin*************#
chmod 4764 oldFile1
chmod g+s oldDir1
chmod u-s oldFile2
chmod g-s oldDir2
#************end**************#
第2关：Linux目录stick bit
任务描述
假设由用户A在Dir目录下创建了一个文件testA，用户B在Dir目录下创建了一个文件testB，此时如何确保A用户不能删除B用户创建的文件而B用户也不能删除A用户创建的文件，通过本关的学习，我们将学会解决以上问题。
本关任务：对系统已存在的目录设置sticky bit。
相关知识
Linux中目录除了有可读、可写和可执行这三种权限外，还存在比较特殊的权限，这些特殊权限包括上一关卡讲解的setuid和setgid这两种，还有一种就是本关讲解的**粘滞位sticky bit**。
我们知道Linux的/tmp目录是系统的临时文件目录，所有的用户在该目录下拥有所有的权限，也就是说在该目录下可以任意创建、修改、删除文件，那如果用户A在该目录下创建了一个文件，用户B将该文件删除了，这种情况我们是不能允许的。为了达到该目的，就出现了stick bit（粘滞位）的概念。它是针对目录来说的，如果该目录设置了stick bit（粘滞位），则该目录下的文件除了该文件的创建者和root用户可以删除和修改，别的用户均不能删除和修改，这就是粘滞位的作用。
Linux目录权限使用常见的八进制权限掩码来表示的，通常都是用三位数表示，但确切地说，它是用四位数表示的，因为除了读、写和执行权限以外还有特殊的权限。
sticky bit的八进制表示为1000
同样sticky bit也可以使用字母表示，使用t表示。
如果目录的其他用户的可执行位是t，则表示该目录被设置了sticky bit权限。
接下让我们详细的学习目录的sticky bit的使用方法。
stick bit
stick bit的作用是让具有stick bit位的目录下的所有文件/目录只有创建者和root才能对其删除和修改，其他用户一律不能删除和修改。
例如：Linux的/tmp目录就具有stick bit权限，详细权限如下所示：
可以看到/tmp目录的其他用户的可执行位是t，则说明/tmp目录被设置了stick bit权限。
设置stick bit命令有两种方法，一种是数字设置，另一种是通过助记语法。建议使用助记语法设置stick bit权限。
数字设置命令：chmod 1xxx 目录
其中xxx表示目录的所有者、同组用户和其他用户的权限（读写执行）。
助记语法设置命令：chmod o [+|-] t 目录
+ 添加stick bit权限；- 取消stick bit权限；
注意：
chmod命令的其他参数都可以与stick bit权限设置结合使用。在设置stick bit前必须保证目录的其他用户具有可执行权限，否则设置则无效。stick bit权限只能用于设置目录，不能用于设置文件。
执行权限：
chmod必须以root权限才能执行，如果是普通用户想执行chmod时，需要在命令前加sudo命令来提升权限为root权限。
案例演示１：
创建一个新目录testDir，使用助记语法设置方法为目录testDir添加stick bit权限，具体使用如下命令：
mkdir testDirsudo chmod o+t testDirls -l .
如果不给目录testDir设置可执行权限直接设置stick bit权限后，标记为是T而不是t，详细结果如下图所示：
案例演示２：
创建一个新目录testDir，使用数字设置方法为目录testDir添加stick bit权限，具体使用如下命令：
mkdir testDirls -l ./sudo chmod 1775 testDirls -l ./
第一条命令是创建新目录testDir； 第二条命令是查看testDir现有的权限； 第三条命令是在保证testDir原有权限的情况下为其添加stick bit权限； 第四条命令是查看是否添加成功；
案例演示３：
将目录testDir取消stick bit权限，具体使用如下命令：
sudo chmod o-t testDirls -l .
编程要求
在右侧编辑器中补充代码，完成对目录设置stick bit权限，具体编程要求如下：
使用助记语法为系统已存在目录
oldDir1（默认权限为:rwxrwxrwx）设置stick bit权限；使用助记语法为系统已存在目录
oldDir2取消stick bit权限。
测试说明
平台将对你编写的代码进行评测：
预期输出：
设置oldDir1目录权限成功设置oldDir2目录权限成功
一个人几乎可以在任何他怀有无限热忱的事情上成功。 ——查尔斯·史考伯
开始你的任务吧，祝你成功！
#!/bin/bash
#在以下部分写出完成任务的命令
#***********begin*************#
chmod o+t oldDir1
chmod o-t oldDir2
#************end**************#
第3关：Linux文件/目录特殊属性
任务描述
假设用户A在创建了一个文件testA，那么此时需要其他所有用户（包括root用户）不能将其删除，也就是说如何创建一个不可删除的文件，听起来多么酷炫，通过本关的学习，我们就可以轻松的创建一个不可删除的文件。
本关任务：查看/修改Linux中文件/目录的特殊属性。
相关知识
Linux中文件/目录常见的属性的所属者、所属组、创建时间和最新修改时间等外，还存在些隐藏属性，这些隐藏属性在保护系统文件的安全性上非常重要。
Linux使用lsattr和chattr两个命令查看和修改文件/目录的特殊属性。
接下让我们详细的学习lsattr和chattr的使用方法。
chattr
chattr的作用是修改文件/目录的特殊属性。
具体命令如下：
chattr [+|-|=] 属性标示符 命令参数 文件/目录
常用命令参数如下：
-R：递归处理，将指令目录下的所有文件及子目录一并处理；-V：显示指令执行过程；
+<属性标示符>：开启文件或目录的该项属性；-<属性标示符>：关闭文件或目录的该项属性；=<属性标示符>：指定文件或目录的该项属性。
常用属性标示符：
a：让文件或目录仅供附加用途；A：不更新文件或目录的最后存取时间；c：将文件或目录压缩后存放；d：将文件或目录排除在倾倒操作之外；i：不得任意更动文件或目录；s：保密性删除文件或目录；S：即时更新文件或目录；u：预防意外删除。
执行权限：chattr必须以root权限才能执行，如果是普通用户想执行chattr时，需要在命令前加sudo命令来提升权限为root权限。
案例演示1：
为文件testFile设置为不得任意更动，具体使用如下命令：
sudo chattr +i testFile
将文件testFile设置为i隐藏属性后，试图删除，可以看到无法对其进行删除操作。
案例演示２：
将目录testDir以及目录下所有内容一并设置为不得任意更动，具体使用如下命令：
sudo chattr +i -R testDir
试图删除testDir目录下的file1文件，可以看到无法删除。
案例演示３：
将testFile文件的i属性取消，具体使用如下命令：
sudo chattr -i testFile
可以看到删除i属性后，既可以删除该文件。
lsattr
lsattr的作用查看文件/目录的特殊属性设置情况。
具体命令如下：
lsattr 命令参数 文件/目录
常用参数如下：
-R：递归的操作方式；-V：显示指令的版本信息；-a：列出目录中的所有文件，包括隐藏文件。
案例演示1：
查看目录testDir下所有内容的特殊属性，具体使用如下命令：
lsattr -Ra testFile
编程要求
在右侧编辑器中补充代码，具体编程要求如下：
为系统已存在文件
/root/oldFile1添加i属性；查看系统已存在文件
/root/oldFile2的特殊属性；为系统已存在文件
/root/oldFile3取消i属性。
测试说明
平台会对你编写的代码进行评测：
预期输出：
设置/root/oldFile1文件属性成功查看/root/oldFile2文件属性成功取消/root/oldFile3文件属性成功
每一种挫折或不利的突变，是带着同样或较大的有利的种子。——爱默生
开始你的任务吧，祝你成功！
#!/bin/bash
#在以下部分写出完成任务的命令
#***********begin*************#
chattr +i /root/oldFile1
lsattr -a /root/oldFile2
chattr -i /root/oldFile3
#************end**************#
扫一扫
2903
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
