如何分配特殊文件權(quán)限

在 Linux 上查看文件權(quán)限時(shí)，有時(shí)你會(huì)看到的不僅僅是普通的 r、w、x 和 -。除了在所有者、組和其他中看到 rwx 之外，你可能會(huì)看到 s 或者 t，如下例所示：

drwxrwsrwt

要進(jìn)一步明確的方法之一是使用 stat 命令查看權(quán)限。stat 的第四行輸出以八進(jìn)制和字符串格式顯示文件權(quán)限：

$ stat /var/mail  File: /var/mail  Size: 4096            Blocks: 8          IO Block: 4096   directoryDevice: 801h/2049d      Inode: 1048833     Links: 2Access: (3777/drwxrwsrwt)  Uid: (    0/    root)   Gid: (    8/    mail)Access: 2019-05-21 19:23:15.769746004 -0400Modify: 2019-05-21 19:03:48.226656344 -0400Change: 2019-05-21 19:03:48.226656344 -0400 Birth: -

這個(gè)輸出提示我們，分配給文件權(quán)限的位數(shù)超過 9 位。事實(shí)上，有 12 位。這些額外的三位提供了一種分配超出通常的讀、寫和執(zhí)行權(quán)限的方法 - 例如，3777（二進(jìn)制 011111111111）表示使用了兩個(gè)額外的設(shè)置。

該值的第一個(gè) 1 （第二位）表示 SGID（設(shè)置 GID），為運(yùn)行文件而賦予臨時(shí)權(quán)限，或以該關(guān)聯(lián)組的權(quán)限來使用目錄。

011111111111 ^

SGID 將正在使用該文件的用戶作為該組成員之一而分配臨時(shí)權(quán)限。

第二個(gè) 1（第三位）是“粘連”位。它確保只有文件的所有者能夠刪除或重命名該文件或目錄。

011111111111  ^

如果權(quán)限是 7777 而不是 3777，我們知道 SUID（設(shè)置 UID）字段也已設(shè)置。

111111111111^

SUID 將正在使用該文件的用戶作為文件擁有者分配臨時(shí)權(quán)限。

至于我們上面看到的 /var/mail 目錄，所有用戶都需要訪問，因此需要一些特殊值來提供它。

但現(xiàn)在讓我們更進(jìn)一步。

特殊權(quán)限位的一個(gè)常見用法是使用 passwd 之類的命令。如果查看 /usr/bin/passwd 文件，你會(huì)注意到 SUID 位已設(shè)置，它允許你更改密碼（以及 /etc/shadow 文件的內(nèi)容），即使你是以普通（非特權(quán)）用戶身份運(yùn)行，并且對(duì)此文件沒有讀取或?qū)懭霗?quán)限。當(dāng)然，passwd 命令很聰明，不允許你更改其他人的密碼，除非你是以 root 身份運(yùn)行或使用 sudo。

$ ls -l /usr/bin/passwd-rwsr-xr-x 1 root root 63736 Mar 22 14:32 /usr/bin/passwd$ ls -l /etc/shadow-rw-r----- 1 root shadow 2195 Apr 22 10:46 /etc/shadow

現(xiàn)在，讓我們看一下使用這些特殊權(quán)限可以做些什么。

如何分配特殊文件權(quán)限

與 Linux 命令行中的許多東西一樣，你可以有不同的方法設(shè)置。 chmod 命令允許你以數(shù)字方式或使用字符表達(dá)式更改權(quán)限。

要以數(shù)字方式更改文件權(quán)限，你可以使用這樣的命令來設(shè)置 SUID 和 SGID 位：

$ chmod 6775 tryme

或者你可以使用這樣的命令：

$ chmod ug+s tryme <== 用于 SUID 和 SGID 權(quán)限

如果你要添加特殊權(quán)限的文件是腳本，你可能會(huì)對(duì)它不符合你的期望感到驚訝。這是一個(gè)非常簡單的例子：

$ cat tryme#!/bin/bashecho I am $USER

即使設(shè)置了 SUID 和 SGID 位，并且 root 是文件所有者，運(yùn)行腳本也不會(huì)產(chǎn)生你可能期望的 “I am root”。為什么？因?yàn)?Linux 會(huì)忽略腳本的 SUID 和 SGID 位。

$ ls -l tryme-rwsrwsrwt 1 root root 29 May 26 12:22 tryme$ ./trymeI am jdoe

另一方面，如果你對(duì)一個(gè)編譯的程序之類進(jìn)行類似的嘗試，就像下面這個(gè)簡單的 C 程序一樣，你會(huì)看到不同的效果。在此示例程序中，我們提示用戶輸入文件名并創(chuàng)建它，并給文件寫入權(quán)限。

#include int main(){    FILE *fp;   /* file pointer*/    char fName[20];    printf("Enter the name of file to be created: ");    scanf("%s",fName);    /* create the file with write permission */    fp=fopen(fName,"w");    /* check if file was created */    if(fp==NULL)    {        printf("File not created");        exit(0);    }    printf("File created successfully\n");    return 0;}

編譯程序并運(yùn)行該命令以使 root 用戶成為所有者并設(shè)置所需權(quán)限后，你將看到它以預(yù)期的 root 權(quán)限運(yùn)行 - 留下新創(chuàng)建的 root 為所有者的文件。當(dāng)然，你必須具有 sudo 權(quán)限才能運(yùn)行一些需要的命令。

$ cc -o mkfile mkfile.c            <== 編譯程序$ sudo chown root:root mkfile       <== 更改所有者和組為 “root”$ sudo chmod ug+s mkfile        <== 添加 SUID and SGID 權(quán)限$ ./mkfile              <== 運(yùn)行程序Enter name of file to be create: emptyFile created successfully$ ls -l empty-rw-rw-r-- 1 root root 0 May 26 13:15 empty

請(qǐng)注意，文件所有者是 root - 如果程序未以 root 權(quán)限運(yùn)行，則不會(huì)發(fā)生這種情況。

權(quán)限字符串中不常見設(shè)置的位置（例如，rwsrwsrwt）可以幫助提醒我們每個(gè)位的含義。至少第一個(gè) “s”（SUID） 位于所有者權(quán)限區(qū)域中，第二個(gè) （SGID） 位于組權(quán)限區(qū)域中。為什么粘連位是 “t” 而不是 “s” 超出了我的理解。也許創(chuàng)造者想把它稱為 “tacky bit”，但由于這個(gè)詞的不太令人喜歡的第二個(gè)定義而改變了他們的想法。無論如何，額外的權(quán)限設(shè)置為 Linux 和其他 Unix 系統(tǒng)提供了許多額外的功能。