Inledning

Jag har sett en del desinformation om Unix filbehörigheter. Jag skall försöka att ställa in post rak. Ta en titt på detta exempel av en del produktion från LS:

$ ls -ld /usr/bin /usr/bin/cat
drwxrwxr-x   3 root     bin         8704 Sep 23  2004 /usr/bin
-r-xr-xr-x   1 bin      bin         9388 Jul 16  1997 /usr/bin/cat
$

 |------file mode------|
 |                     |
 |
 |       |----full-----|
         |
 |-type| |   |--basic--|
 |     | |   |         |
 oo0 000 000 000 000 000
 ... ... ... ... ... ...
    |     |   |   |   |
    |     |   |   |   |---- rwx for other
    |     |   |   |
    |     |   |   |-------- rwx for group
    |     |   |
    |     |   |------------ rwx for user
    |     |
    |     |---------------- set uid, set gid, sticky bit
    |
    |---------------------- file type: regular (-)
                                       directory (d)
                                       character special (c)
                                       block special (b)
                                       fifo (p)
                                       symbolic link (l)
                                       socket (s)

  421
  rwx

--- = 0
--x = 1
-w- = 2
-wx = 3
r-- = 4
r-x = 5
rw- = 6
rwx = 7

----rwxrwx   1 joe        users           29 Mar 22 19:39 somefile

$ ls -l /etc/passwd /etc/shadow /usr/bin/passwd
-r--r--r--   1 root     sys        14006 Jan 14 11:17 /etc/passwd
-r--------   1 root     sys         8281 Jan 14 11:18 /etc/shadow
-r-sr-sr-x   3 root     sys        96244 Sep  5  2001 /usr/bin/passwd

drwxrwxrwt   5 root       root          1024 Feb 11 20:43 /tmp

The who part can be:
u  (user)
g  (group)
o  (other)
a  (all)
   (whatever is allowed by umask (subset of all))

The operator can be  = or - or +
= (set bits to bitlist)
- (subtract bitlist from current bit
+ (add bitllist to current bits)

The bitlist can be one of the following letters:
r (read permission)
w (write permission)
x (execute permision)
X (conditional execute permision)
u (current permissions for user)
g (current permissions for group)
o (current permissions for others)
s (set uid or set gid)
t (sticky bit)

Jag tidigare har nämnt att när en katalog har klibbiga bit set, ett ärende kan tas bort endast genom att ägaren till filen eller ägare till katalogen. Detta anges av Posix och är nu ganska allmän. Men det var inte det ursprungliga syftet med klistriga bit. Jag ser att Posix definition av ls-kommandot faktiskt kallar klibbiga bitar "selektivt strykningen flagg". Den konstanta i C-header-filer för denna bit är S_ISVTX. Den svtx står för spara text och detta visar att det ursprungliga syftet med bitar.

Den ursprungliga idén var att om den klibbiga bitar sattes, texten del av en process skulle stanna i växlingspartitionen område. Detta gör att den skulle kunna läsas in i minnet med en enda skiva läsa. Ursprungligen Unix används ett filsystem med en block storlek 512 och block tenderade att scatter. Så det skulle ta tid att samla in texten segment och sedan läsa in den i minnet. Till en början fanns det ingen personsökning, bara att byta. Och för att köra ett program som skulle behöva vara helt läsas in i minnet. Nu sida strikt ett program i minnet. Sidorna laddas när de behövs. Så är den ursprungliga användningen av klibbiga bitar död? Well, no. Det beror på OS.

Med HP-UX, denna användning fortfarande lever och är dokumenterade på HP-UX chmod (2) manualsidan. Vad är detta? Från HP-UX Kernel Tuning and Performance Guide via HP-UX Faq:
"När ansökningar finns fjärrsystem in" sticky bit "på ansökningarna binärfiler, med chmod + t kommando. Detta talar om för systemet att sidan texten till den lokala disken. Annars är det" hämtas "i nätverket. Av Naturligtvis skulle detta endast gälla när det finns faktiska personsökning inträffar. På senare tid finns det en kärna parameter page_text_to_local, som då satt till 1, kommer att tala om kärnan sidan alla NFS körbara textsidor till lokala växlingsutrymme. "

Med Solaris, det finns inga tecken på att den ursprungliga användningen av klibbiga bitar, dock enligt den Solaris chmod (2) manualsidan:
"Om en vanlig fil är inte körbar och har S_ISVTX set, filen antas vara en swap-fil. I detta fall systemets sida cache inte kommer att användas för att hålla filens data. Om S_ISVTX bit är inställt på något annat fil, resultaten är ospecificerade. "

Så du kommer att behöva kontrollera chmod (2) manualsidan för ditt OS för att se vilken effekt, om någon, klibbiga bit har en fil. Också vara medvetna om att när en effekt existerar, OS kan begränsa inställningen en klibbig bit till roten. Till exempel, med HP-UX, en angripare skulle kunna ställa mycket klibbiga bitar och kör systemet ur växlingsutrymme.

HP-UX faktiskt även några symboliska länkar som har klibbiga bit satt. Jag kommer att behandla detta nedan.

Vi kort nämnas att filer har ett användar-och grupp associerade med dem. Ursprungligen var det bara de användare och grupper av den som skapade dem. Men ursprungligen, kan en användare i endast en grupp i taget. BSD infört begreppet att en användare kan vara i flera grupper simutaneously. Så i BSD, som gruppen har använts? BSD beslutat att använda den grupp av katalogen som innehöll de nyskapade filen.

Många moderna versioner av UNIX försöka få bådadera. Ett nybildat filen blir den grupp av användaren, om inte katalogen har setgid bit. I så fall skall den nyskapade filen blir den grupp av katalogen.

Och det finns ett undantag från denna! Byte av ägare eller grupp av ett ärende har säkerhetsproblem. Av den anledningen att vissa versioner av UNIX kommer eventuellt förbjuda en användare än root byter ägare till en fil. Dessutom kan en användare är förbjudet att byta grupp av ett ärende om han inte är medlem i den nya gruppen. Denna begränsning kommer att åsidosätta den setgid bit på en katalog om det behövs.

Vi är inte färdiga med det som gid bitars ännu ... Unix har begreppet fillåsning. Fillåsning ligger utanför denna tråden. Men du måste veta att fillåsning finns i två varianter: rådgivande och manditory. Vilken smak är tillämplig på en viss fil beroende på inställningar. Om gruppen verkställa bitars är avstängd men setgid bitar är på något ärende lås på filen manditory.

Useless Bit Kombination?

Varje hänvisning till att jag har sett säger att setgid på / grupp verkställa off är en annars meningslös kombination. Även Richard Stevens (i Avancerad programmering i Unix-miljö) Säger "Sedan set-group-ID bit är meningslöst när gruppnivå verkställa bit är avstängd, formgivarna av SVR3 valde detta sätt att specificera att låsa efter en fil ska maditory låsning och inte rådgivande låsning."

Tja betrakta detta fall: Fred kör Personalavdelningen. Fred och hans grupp som ofta behöver lookup de semesterdagar för anställda. Fred beslutar att skriva ett program så kan de anställda lookup egna semesterdagar används. Av säkerhetsskäl, Fred gör det här programmet göra en hel del avverkning. Fred beslutar att han inte vill att hans grupp att använda det här programmet. De har andra verktyg som inte skräp han log. Så Fred gör:
chown fred: hr vdays
chmod 2701 vdays
Nu vdays program kan inte köras av medlemmar i hr (utom Fred). Men det kan köras av alla andra. Och det kommer att ha samma GID av hr när det körs. Jag har skrivit ett testprogram, som det så här, och köra det på både Solaris och HP-UX. Det funkar.

Påverkan på ls produktion

Även om denna bit kombination kan vara användbart finns vissa begränsade fall, på gott och ont, det kommer att få två effekter. Den vdays programmet fungerar, men om ett lås är försök på filen kommer det att bli manditory. Som en praktisk fråga, skulle effekten bara ett enstaka program som en debugger. Men ls maj behandla denna bit kombination annorlunda. Jag har sett båda dessa ...

chown fred:hr vdays
chmod 2701 vdays
-rwx--S--x   1 fred     hr          9938 Jul 16  2004 vdays
-rwx--l--x   1 fred     hr          9938 Jul 16  2004 vdays

Symboliska länkar har utvecklats under åren. Först en symbolisk länk följdes bara när du öppnar en fil. Så:
touch datafile
ln-s datafile smyga
chmod 700 slinka
inte skydda fil som heter "datafile". Detta var en säkerhetsrisk. Dag att "chmod 700 smyga" kommer att ändra behörigheter för datafile. "chown fred datafile" kommer också att ändra datafile och lämna smyga ensam.

Symbolisk Länkar Måste ha en Ägare

Det är ett sätt att byta ägare till en symbolisk länk. Det är "chown-h smyga". Detta kommer att förändras smyga och lämna datafile ensam. Den ursprungliga anledningen till att symboliska länkar behöver en ägare är en funktion som kallas "kvoter". Kvotering ger systemadministration att begränsa diskutrymmet som används av en användare. En symbolisk länk förbrukar en liten mängd disk resurser så det måste tas upp i lämpliga användaren. Vi har nu en andra skäl: klibbiga kataloger. Vi måste veta vem som kan ta bort en symbolisk länk från en klibbig katalog.

Förutom en ägare, Posix kräver att symbolisk länk har en storlek. Det är allt som du kan lita på. Symboliska länkar kanske inte ens har något tillstånd bitar.

Tillstånd bitar krävs Posix som ska ignoreras

På Solaris och Linux, nybildade symboliska länkarna 777 och detta påverkas inte av umask. Jag kan inte inte hitta något sätt att vända bitar av. På HP-UX, symboliska länkar är också skapad med 777, men umask påverkar detta. Så:
umask 777
ln-s datafile smyga
skapar en symbolisk länk med alla dessa bitar slocknar. Detta hade ingen effekt alls på vad jag skulle göra med datafile. Och symbolisk länk (med ett läge 0) till abonnentförteckningar också fungerat bra.

BSD Har ett sätt att ändra den Tillstånd bitar på en symbolisk länk

De olika BSD distros har alla en "chmod-h" som är som det krävs "chown-h". Med detta kommando jag testade symboliska länkar på FreeBSD och fann att de ignorerar tillstånd bitar också. Den "chmod-h" kommandot har genomförts med hjälp av en lchmod () system samtal. (BSD även har en lutimes () för samtal och en "touch-h" för att åberopa den.) Så långt är allt bra. Ingenting är kränks Posix standard.

NetBSD Får kränks Posix Standard

Enligt de NetBSD symboliska länken manualsidan: "De readlink (2) system samtal kräver läsbehörighet på den symboliska länken." readlink () är ett system samtal som används av ls för att visa att målet på en symbolisk länk. Så med ungefär så här:

lrwxrwxrwx   1 fred       users            8 May 24 11:15 slink -> datafile

$ ls -lds /bin
   0 lr-xr-xr-t   1 root       sys              8 Oct  1  2003 /bin -> /usr/bin

Vi har diskuterat hur skrivbehörighet kontroller möjlighet att ändra data i en fil. Men vad sägs om att ändra tillstånd bitar, ägaren, gruppen och även tidstämplar? Ingen kan ändra något på en CD och en NFS Servern kan underlåta en NFS klienten. I den följande diskussionen kommer jag att anta en lokal läsa-skriva-filsystem och att användaren kallas "root" har lämpliga särskilda administrativa privilegier för filen i fråga.

chmod - Ändra filbehörigheter

Om du vill ändra filbehörigheter alls, du måste vara ägaren till filen eller du måste vara root-användaren. Root-användaren kan ändra alla tillstånd bit. Detta kan inte vara sant för ägaren. I en bit att ägaren inte kan slå på är SGID bit.

För att slå på den lite, måste ägaren vara medlem i den grupp som filen är i. Om denna begränsning inte var på plats, en användare kan också skapa en SGID program för att ge sig tillgång till filer som kontrolleras av andra grupper än de som som han tillhör. Kom ihåg att, som vi nämnde ovan, SGID bit har ofta överbelastad i också används för fillåsning. En version av Unix kan eller inte kan tillåta att en fil ägaren för att slå på SGID bit av en fil i en annan grupp om ingen verkställa bit är inställd.

Att bara sätta på en verkställa bitars kan resultera i SUID och SGID bits avslutas (inte ens för root). Detta är en säkerhetsfunktion för att säkerställa att användaren tänker för SUID och SGID bitar som skall fastställas. Användaren kan växla tillbaka dem på uttryckligen. Eller kan användaren enkelt uttryckligen ange alla bitar på en gång. Också vara medvetna om att skriva till en fil kan på vissa versioner av Unix, rensa SUID och SGID bitar. Se nedan för effekten av att byta ägare eller grupp av en fil.

chown - ändra filen Ägare

Ursprungligen Unix får en fil ägaren att ge bort en fil. En fil ägare kan byta ägare till någon annan. Det fanns ingen möjlighet för en icke-root-användare att ångra den här åtgärden. När Unix uppdelad i en Berkeley / AT & T versionerna skall USG (Unix-gruppen, en del av AT & T) versioner av Unix tenderat att ärva problemet. Under tiden BSD (Berkeley Software Distribution, en del av University of California, Berkeley) borttaget chown från icke-root-användare. BSD hade genomfört diskkvoter som kan begränsa hur mycket diskutrymme som en användare kan ha i ett filsystem. Naughty användare kunde ge bort stora filer till Sneek tidigare kvoterna.

Idag är det inte lätt att säga om en icke-root kan chown en fil. Många versioner av Unix tillåta båda beteenden. HP-UX har en setprivgroup anläggning som kan kontrollera huruvida medlemmarna i en viss grupp kan åberopa chown. Solaris har en global parameter rstchown som kan ställas in så att den globala chown. Ställ in den här parametern också inaktiverar en förändring-grupp begränsning som beskrivs nedan (utan att påverka SGID begränsningar som beskrivits ovan). Senaste Linux-versionen har en CAP_CHOWN förmåga att kontrollera den här funktionen. Du måste kontakta din dokumentation för andra versioner av Unix. Och du kommer att behöva kontakta din systemadministratör för att se hur ditt system är konfigurerat.

Grundinställningen med flest OS's är för chown att vara begränsat till roten bara. Och det finns en enighet om att det borde stanna här sättet för säkerheten. Om en icke-root-användare inte byta ägare på en fil och eventuella verkställa bitars är på den SUID och SGID bitar måste klarläggas. Denna kan även hända med roten.

chown, chgrp - ändra filen gruppen

Den chown kommandot kan (med en modern, Posix kompatibel version av Unix) också försöker en grupp förändring. Och det finns en chgrp kommandot. Båda dessa åberopa chown () för samtal för att ändra en grupp. Det faktum att ett gemensamt system samtalet inblandade hjälper till att förklara varför vissa OS versioner gemensamt genomföra eller slappna av begränsningar för icke-root-användare för både ägare och grupp förändringar.

En icke-root-användare kan ändra grupp av ärende han äger till en grupp som han är medlem. Posix förbjuder en icke-root-användare från att ändra en filer grupp till en grupp som han inte är medlem. Men vissa OS har lyft denna begränsning om begränsning av möjligheten att ändra en fil ägare har hävts.

Om gruppen har förändrats genom en icke-root-användare och en eller verkställa bitar är inställd, SUID och SGID bitar raderas.

touch - ändra filen tidstämplar

När kontakten kommando används för att ändra tidstämplar av en befintlig fil, det åberopar antingen den gamla utime () eller den nya utimes () system samtal. Om du vill ändra tidsstämpel på en befintlig fil måste du egna filen eller root. Dessutom måste du ha skrivbehörighet på filen eller root.