Linux系统之文件权限管理

一、什么是权限？

• 在Linux系统中，当我们不同用户在创建文件或目录时，被创建的文件或目录都有各自的所属主和所属组，不同用户对于某些文件拥有不同的权限。在我们Linux系统中，账户可分为超级用户、系统用户、普通用户三类。对于超级用户来说，其拥有最高权限，具备系统中的所有权限；对于系统用户来说，其主要作用是支撑整个系统的运行，方便系统管理；而对于普通户来说，其权限是有限的，只能对自己目录下的文件进行相关操作。
• 当用户登录系统时，用户的每一步操作都是由shell进程来代替执行的。shell进程是以某个登录系统的用户和身份启动的。在我们linux服务器上有严格的权限等级，如果权限过高而导致误操作会增加服务器的风险。因此当我们拥有较高权限时，应谨慎赋予Linux系统中相关文件的操作权限。

二、基本权限

2.1 权限对象（ugo）

首先来看一下下面的截图，通过ll命令以长格式的形式来当前目录下问价的相关信息，其中红圈部分就是文件对应的权限。不同的权限有对文件执行不同的权利，比如可读、可写或可执行。每个文件的权限分别对应着u、g、o。接下来解释一下这三个英文字母的含义。

（1）ugo解释
在Linux系统中，不同用户创建的文件都会对应有不同的权限，而且不同用户创建的文件或目录都有各自的属主、属组、其他人及相应的权限等。也就是以什么用户登录，那么创建的文件或目录就会成为该文件或目录的属主和属组，如下图所示。

而属主、属组、其他人对应的就是我们的u、g、o，接下来看一下他们对应的关系：

权限的对象	说明
u	文件（目录）的所属主
g	文件（目录）的所属组
o	其他人

（2）案例解释
了解ugo后，那么他们具体的对应位置在哪呢？在继续看一下他们的具体位置：

-rw-r--r--. 1 root root  838 Aug 13 18:48 passwd
     -           rw-          r--           r--         root       root       passwd    
   文件类型    属主(u)权限    属组(g)权限    其他人(o)权限     属主        属组        文件名 

说明：

• 属主对应有属主权限；
• 属组对应有属组权限；
• 至于其他人权限，那是针对其他普通用户对该普通文件的权限。

2.2 权限类型（rwx）

权限共有三种类型，分别是读（r）、写（w）、执行（x），每种权限对应有相应的数字表示：

权限类型	数字表示	针对文件	针对目录
r（read）	4	可读取文件内容	可列出目录内容
w（write）	2	可更改文件内容	可创建或删除目录中任一文件
x（execute）	1	可作为命令执行文件	可访问目录中内容

2.3 权限赋予

对文件或目录赋予权限使用了两个命令，分别是：chown、chmod。

命令	功能
chown	改变文件或目录的所属主及所属组
chmod	给文件或目录设置访问权限

（1）语法：

chown  属主.属组  文件（目录）
chmod  权限对象（ugo）  赋值符  权限类型  文件（目录）

（2）实例1：使用符号表示

chown zrs.it 123.txt       --给123这个文件修改属主和属组（前提用户和组得存在）
chmod u+x 123.txt          --给123这个文件属主增加执行权限

（3）实例2：使用数字表示

chmod 644 123.txt
chmod 755 123.txt

说明：这三个数字分别表示属主权限、属组权限、其他人权限。

其中644中的6表示由读写权限组成，因为：r（4）+w（2）=6，表示属主有读写权限，另两个数一次类推。

2.4 umask掩码

首先我们得知道，目录默认的权限是777，文件默认的权限是666。对于目录来说执行权限是很重要的，比如进入目录是需要具有执行权限见得，而对于文件来说，一般都是用于数据的记录操作，所以不需要执行权。因此在默认情况下，用户创建的目录默认开放所有权限，而如果用户创建的是文件，则默认没有执行权限（x），故其权限默认为666。我们先来看一umask值。

从上图上课看到root用户的umask为022，也就是说，对于当前用户没有拿掉权限，group用户和other用户都被拿走了w权限，所以用户在进行创建目录和文件的时候，默认权限会进行减法操作：

666-022=644    --root用户新建文件时默认权限
777-022=755    --root用户新建目录时默认权限 

因此umask此时显得是非常重要，它是用来控制文件和目录的默认权限。**要注意的是：**我们在计算文件或目录的默认值时不是以十进制方式去计算的，而是使用对应的二进制做的减法运算。umask的值是可以被设置的，其配置文件一般在/etc/profile（对于root）或/home/.bash_profile或home/.profile（对于普通用户）。有两种修改配置方法。
（1）通过修改配置文件使umask永久生效

vim /etc/profile

（2）使umask临时生效

umask 权限补码
umask 044

比较简单，这里不再演示。

三、高级权限

3.1 suid权限

suid权限仅对二进制命令文件生效，执行者对该二进制文件有执行权，当对二进制命令文件进行suid提权时，执行者将拥有该二进制命令文件所有者的权限。接下来看个列子。

语法：chmod u+s 可执行二进制命令文件
chmod u+s /usr/bin/cat

执行suid权限后，通过ll命令可观察到该二进制命令文件的所属主权限（u）部分的执行权限（x）变成了s，说明对该二进制命令文件提权成功，从上图可看到，提权后普通用户拥有该命令所有的权限。

在这里还有一个叫做sudo的权限，所起的作用和suid一样，只不过权限赋予方式和执行方式不一样而已。而且该权限较suid来说具有针对性，它可以针对某个或某些用户进行sudo授权，同时也是对普通用户提权的手段之一，接下来看一下相关测试实例。

（1）未对其他用户sudo提权时
在这种情况下，如果切换到xiaojie这个普通用户来执行touch命令，在根下（/）新建文件时是没有权限的。如下图所示：

（2）当通过visudo给xiaojie用户提权时
其操作方法为：直接使用visudo进入文件，并对xiaojie用户添加权限，该权限为：xiaojie用户可以root身份使用touch命令。

语法：用户  ALL=(ALL)  NOPASSWD=二进制命令的绝对路径

添加完后保存并退出（:wq），再次切换到xiaojie用户，使用touch命令在根下创建123.txt文件。

sudo touch /123.txt     --在根下创建123.txt文件
ls /123.txt             --查看是否创建成功

最终看到的效果是执行成功的，说明对xiaojie普通用户提权成功。

3.2 sgid权限

sgid权限仅对目录生效，当给目录执行sgid提权时，若执行者在该目录下新建文件或目录（前提是被提权的目录对其他用户要具备w权限），则本地用户或其他用户创建的文件或目录将会继承被sgid提权目录的属组。接下来看一下下面的测试。
（1）添加测试目录并sgid提权

mkdir /home/test          --创建测试目录
chown .IT /home/test/     --修改属组
chmod g+s /home/test/     --添加sgid权限

（2）切换其他用户并在/home/test创建目录

su - xiaojie
mkdir /home/test/hello

3.3 sticky权限

该权限目前只对目录生效，而且是针对其他人（other）来设置的，其操作方法和suid、sgid类似，只是功能不同而已。其作用是：当对某一个目录提权时，当其他用户在被提权的目录下新建目录或文件时，仅有自己和root用户才能删除创建的文件，各普通用户之间是没有权利删除的。接下来看一下下面的测试。
（1）创建测试目录

mkdir /home/sticky
chmod o+t /home/sticky/

（2）切换其他用户，并在/home/sticky目录下新建测试文件

结论在图中已经标红。

四、chattr隐藏权限

有一种隐藏权限，添加该权限后连root用户都无法执行相应操作，包括删除、恶意添加内容等。尽管我们上面的sticky权限给目录提权后，可以防止其他用户对我文件的恶意删除，但并能防止别人对我的文件进行编辑、篡改等。显然这样的提权并非安全，因此给大家引出了chattr权限，实际上这是文件的一种属性权限，我们可以通过lsattr命令来查看某个文件的的属性，看某个文件是否添加chattr隐藏权限，该权限属性有三种，分别是a、i和A，接下来看看它们的用法及测试案例。

属性类型	说明
a	系统只允许在该文件中追加数据，不允许任何覆盖或截断这个文件
i	系统不允许对这个文件做任何的修改
A	告诉系统不要修改这个文件的最后访问时间

语法：chattr [+-=] [选项] 文件名
说明：
+     --添加权限
-     --解除权限
=     --等于某权限

（1）对a权限做测试

mkdir test_a             --创建测试文件
chattr +a test_a         --添加a权限
rm -rf test_a            --删除该文件（肯定是无法删除的）
echo "123"  >  test_a    --覆盖文件内容（肯定是无法覆盖的）
echo "123"  >>  test_a   --向文件追加内容（这步可以实现）

上图测试结果表明，添加a权限后的文件只能对其进行新内容的追加，无法对其做其他修改。
（2）对i权限做测试

mkdir test_i             --创建测试文件
chattr +i test_i         --添加i权限
rm -rf test_i            --删除该文件（肯定是无法删除的）
echo "123"  >  test_i    --覆盖文件内容（肯定是无法覆盖的）
echo "123"  >>  test_i   --向文件追加内容（肯定是无法追加）

通过该例子可看出，无法对具有i权限的文件做任何修改，但可查看文件里的内容。
（3）对A权限做测试

mkdir test_A             --创建测试文件
chattr +A test_A         --添加A权限
rm -rf test_A            --删除该文件（可删除）
echo "123"  >  test_A    --覆盖文件内容（可覆盖）
echo "123"  >>  test_A   --向文件追加内容（可追加）
stat /root/chattr/test   --访问但不会改变文件访问时间

五、总结

• 权限可分为基本权限、高级权限、chattr安全权限。对于基本权限来说，就是简单的对相应的目录或文件赋予权限，可以用字符表示，也可用数字表示，不同数字代表不同权限。
• 目录默认的目录时777，文件默认权限时666。此处会引出一个umask掩码，其作用就是控制目录和文件的默认权限（保证目录和文件的安全性），因此在创建目录和文件时，目录默认的权限是755，文件默认的权限是644。
• 给普通用户提权的手段有suid和sudo两种，其中suid是针对二进制命令的提权，提权后，执行者将拥有该二进制命令文件所有者的执行权限。对于sudo，它具有针对性的对某些用户进行提权，比如针对某个用户或者某些用户，甚至所有用户对某个或某些命令的执行权限（也是拥有该二进制命令文件所有者的执行权限）。
• 对于目录有写权限（w），则可以在目录中创建、删除新文件，与目录中文件拥有什么权限无关。因此，对于目录来说：应小心赋予写权限（w）；对于文件来说：应小心赋予执行权限（x），因为具有执行权限的某个恶意文件可能会危害到计算机安全。
• 还有就是一种被隐藏的安全权限，当我们使用root用户都无法删除某个文件时，这就要考虑这个文件是否被赋予了a或i的权限，可通过lsattr命令来查看文件的属主。其实这种权限是为了防止root用户的误操作删除某些重要的系统配置文件。