浅议Linux中的SetUID权限

1什么是SetUID

     我们知道，在linux的命令行下执行“ps”命令时，就会列出当前系统中的所有进程，在其中可以看到每个进程都和用户的真实id关联，实际上，Linux中的每个进程还跟一个称为有效用户id（set User id）紧密关联。前者用于表示该进程由那个用户控制，后者用于为新建立的文件分配所有权，检查文件访问许可等操作，同时有效用户为该文件的所有者。linux系统内核允许一个进程以调用一个SetUID程序（或显示执行SetUID系统调用）的方式，来改变其自身的有效用户id。

2如何配置SetUID权限

     在linux中，不管是Root用户还是普通用户，都可以使用“Password”命令来更改自身的密码。但是，Linux中的密码通常是保存在“/etc/paswd”和“/etc/shadow”文件中，这两个文件对系统安全至关重要，因此只有Root用户才能对其执行读写操作。以管理员的身份登陆系统，在Linxu提示符下执行“ls /etc/passwd /etc/shadow”命令，在返回信息中可以看到普通用户对上述这两个文件并没有写权限，因此从文件属性的角度看，普通用户在更改自身密码时，是无法将密码信息写入到上述文件中的，哪么用户是怎样成功的更改密码的呢？实际上，问题的关键不在于密码文件本身，而在于密码更改命令“passwd”。在提示符下执行命令“ls /usr/bin/passwd”,在返回信息中的文件所有者执行权限位上显示“S”字样，表示“passwd”命令具有SetUID权限，其所有者为Root，这样普通用户在执行“passwd”命令时，实际上以有效用户root的身份来执行的，并具有了相应的权限，从而将新的密码写入到“/etc/passwd”和“/etc/shadow”文件中，当命令执行完毕，该用户的身份立即消失。如何设置SetUID权限呢？使用“chmod”命令即可为指定文件设置SetUID权限，例如“chmod 4xxx   filename”命令，取消SetUID权限的命令为“chmod xxx   filename”。类似的，执行“chmod 2xxx filename”命令可以设置SetUID权限，使用“chmod xxx filename”命令即可取消SetGID权限，如果执行“chmod 6xxx filename”命令，即可同时为指定文件设置SetUID和SetGID，执行命令“chmod 0xxx filename”，即可同时取消指定文件的SetUID和SetGID权限。例如以Root用户登陆系统，执行“chmod 0511 /usr/bin/passwd”命令，就可以取消“passwd”命令的SetUID权限，这样普通用户就无法修改自己的密码了。

3SetUID权限的安全性

     使用SetUID可以灵活的调整所有文件所有者权限，但是也为系统的安全性带来了隐患。如果Root用户为指定的程序文件配置过大的SetUID权限，那么就会为黑客或者非法用户打开了侵入系统的大门。例如在Linux中可以使用“vi”命令来编辑文件，但是，对于普通用户而言，当其试图使用命令“vi /etc/shadow”来修改密码文件时，系统就会弹出“/etc/shadow : Permission Denied”的警告提示，从而禁止其对密码文件的非法修改。但是，如果在Root用户环境中执行“which vi”命令，就可以看到“vi”命令实际上是“vim”命令的别名，其真实路径为“/usr/bin/vim”，这样执行命令"chmod 6755 /usr/bin/vim",就可以将“vi”命令的所有者更改为Root，这样在普通的用户环境中，就可以使用“vi”命令来编辑任何文件（例如“/etc/shadow”）,这样，即使是普通用户也可以将密码文件清空，从而实现无密码登陆Linux，给系统的安全带来的威胁不言而喻。因此，对可能给系统安全带来危害的程序来说，应该尽量不要随意为其配置SetUID权限。

4 如何禁用SetUID权限

      对于存放在敏感数据的分区而言，有时可能希望禁用SetUID权限设置功能。例如对"/home" 分区禁用SetUID权限，可以找到修改其配置文件“/etc/fstab”, 执行命令“vi /rtc/fstab”,可以看到“LABEL=/home /home ext3 defaults 1 2”等数据，我们只需在上述“default”关键字的后面添加“nosuid” 关键字即可，例如使用“vi”命令将其修改为“LANBEL=/home /home ext3 default , nosuid 1 2”,之后执行命令“mountoremount /home”,这样即使对“/home”分区上的任何可执行文件配置了SetUID权限，也是无效的。这样就在很大程度上保护了系统的安全。

from :http://hi.baidu.com/futily/blog/item/afa7ad8707b27b2cc75cc35a.html

您有Dos和Windows经验，就大概知道系统存在若干类型的文件，如系统文件、只读文件、隐含文件等。在Linux/Unix下，文件类型远比Dos/Windows系统多样和复杂。本文以RedHat Linux为例，旨在使读者对Linux下的文件类型有更多的了解。文中的多数内容，对其他发行版的Linux以及Aix、Solaris、Freebsd等操作系统也同样正确。Linux下可以用ls –l 命令来判断文件类型，如上 图所示。可以依据第一列中的10个字符来判断。　　? -rw-r—r—指明了1.txt文件是一个普通文件，1.txt和myprog04文件都是普通文件。以”-“开头的都是普通文件，而以”d”开头的是目录文件。
　　? brw-rw---- 指明了/dev/sda1是一个块设备(Block Device)文件。以”b”开头的文件都是块设备文件。?
　　? crw-rw----指明了/dev/lp0是一个字符设备(Chartacter Device)文件，以”c”开头的文件都是字符设备文件。
　　? srwxrwxrwx 指明了/var/lib/mysql/mysql.sock是一个socket文件。以””开头的文件都是socket文件。
　　? prwxr—r--指明了了mypipe 是一个管道文件。管道文件的一个属性是”p”。
　　? lrwxrwxrwx 指明了softlinkof1.txt 是一个软链接文件（或称符号链接文件），该文件指向了1.txt。以”l”开头的文件是软链接文件。
　　? -rw-r—r—开头的hard_link_of_1.txt看上去是个普通文件，但它实际上是一个硬链接文件。
　　? -rwsr-xr-x指明了myprog01是一个setUid的可执行文件，这是根据第四个字符”s”判断的。
　　? -rwxr-sr-x指明了myprog03是一个setGid的可执行文件，这是根据第七个字符中的”s”判断的。
　　? -rwsr-sr-x指明了myprog02是一个setUid加setGid的可执行文件，这是根据第四个和第七个字符中的”s”判断的。
　　? drwxrwxrwt 中的第一个”d”字指明了tmp文件是一个目录，最后一个字符”t”指明了该目录被设置了粘着位。一、设备文件
　　Linux下的/dev 目录中有大量的设备文件。主要是块设备文件和字符设备文件。　　块设备文件
　　在过去，在添加新磁盘后，往往需要手动增加块设备文件。现在通常我们不需要手动增加块设备文件，运行一下service kudzu start ，系统就会自动为您配置相应的设备。块设备的主要特点是可以随机读写，而最常见的块设备就是磁盘，如/dev/hda1 、/dev/sda2、/dev/fd0等。　　字符设备文件
　　同块设备一样，我们一般都可以用service kudzu start命令来自动增加、删除或修改字符设备。最常见的字符设备是打印机和终端，他们可以接受字符流。　　/dev/null是一个非常有用的字符设备文件，送入这个设备的所有东西都被忽略。如果将任何程序的输出结果重定向到/dev/null，则看不到任何输出信息。甚至于，您可以将某一用户的shell指向/dev/null　以禁止其登陆。　　管道设备文件
　　管道设备文件有时候也被叫做FIFO文件(FIFO是先进先出的意思)，从字面上理解，管道设备文件就是从一头流入，从另一头流出。通常我们会在其中做一些工作，以达到我们“吃的是草，挤出来的是奶”的目的，管道文件也有其妙用。　　以前，Unix系统对文件的最大用量用2GB的限制，虽然现在新版本的Linux、Solaris、FreeBSD等不再有此限制，但处理大文件的需求仍然存在，假设您想用镜像(dd命令)的方式来备份一个容量为20GB分区的分区，就会产生一个20GB的文件，根据您磁盘实际的使用状况，这个文件在压缩后可能只有数MB到数GB,我们可以建立一个管道文件来自动实现这个压缩过程。　　[root@linux236 root]# mknod mypipe p
　　[root@linux236 root]# ls -l mypipe
　　prw-r--r-- 1 root root 0 Aug 5 23:27 mypipe
　　[root@linux236 root]#　　在这里，我们建立了一个叫mypipe的管道文件，用ls -l 命令可以看到它的属性是prw-r--r--，用下面的组合命令实现镜像和压缩：　　[root@linux236 root]# compress < mypipe >; sda6.img.Z &
　　[root@linux236 root]# dd if=/dev/sda6 of=mypipe
　　[root@linux236 root]# ls sda6.img.Z
　　sda6.img.Z　　第一个命令使得从mypipe管道中流出的文件被压缩为sda.img.Z文件，注意这个命令的结尾必须使用"&"符号。第二个命令将/dev/sda6分区中的资料道入管道文件mypipe，换句话说，/dev/sda6分区中的数据进入管道，而压缩文件sda6.img.Z文件从管道中流出。　　在导出Oracle、DB2等大型数据库时等经常会生成很大的文件，熟练的数据库管理员往往会选择通过管道进行压缩的方式，对于Oracle数据库，我们可以使用下边的组合命令:这样，就会将Oracle导出的内容直接压缩成为expdat.dmp.Z文件。　　compress < mypipe >; expdat.dmp.Z &
　　exp userid=system file=mypipe owner=scott

　　第二章 链接文件　　链接文件有点类似于Windows 的所谓快捷方式，但并不完全一样。链接有两种方式，软链接和硬链接。　　软链接文件
　　软链接又叫符号链接，这个文件包含了另一个文件的路径名。可以是任意文件或目录，可以链接不同文件系统的文件。链接文件甚至可以链接不存在的文件，这就产生一般称之为"断链"的问题(或曰“现象"，链接文件甚至可以循环链接自己。类似于编程语言中的递归。　　[yaoyao@linux236 yaoyao]$ ls -l
　　total 0
　　lrwxrwxrwx　1 yaoyao　yaoyao　　5 Aug 6 17:39 1.txt ->; 3.txt
　　lrwxrwxrwx　1 yaoyao　yaoyao　　5 Aug 6 17:38 2.txt ->; 1.txt
　　lrwxrwxrwx　1 yaoyao　yaoyao　　5 Aug 6 17:39 3.txt ->; 2.txt　　上面的三个文件形成了一个递归，实质上没有任何作用。系统管理员应该避免系统出现断链或循环链接。　　用ln -s 命令可以生成一个软连接，如下:　　[root@linux236 test]# ln -s source_file softlink_file　　在对符号文件进行读或写操作的时候，系统会自动把该操作转换为对源文件的操作，但删除链接文件时，系统仅仅删除链接文件，而不删除源文件本身。　　硬链接文件
　　info ln 命令告诉您，硬链接是已存在文件的另一个名字(A "hard link" is another name for an existing file)，这多少有些令人困惑。硬连接的命令是　　ln -d existfile newfile　　硬链接文件有两个限制　　1、不允许给目录创建硬链接；
　　2、只有在同一文件系统中的文件之间才能创建链接。　　对硬链接文件进行读写和删除操作时候，结果和软链接相同。但如果我们删除硬链接文件的源文件，硬链接文件仍然存在，而且保留了愿有的内容。这时，系统就“忘记”了它曾经是硬链接文件。而把他当成一个普通文件。三、setUid、setGid文件和带粘着位的目录文件　　在Linux/Unix下,有一种可执行文件被setUid，这使得任意使用者在执行该文件时，都绑定了文件拥有者的权限。就好像文件带了一把尚方宝剑一样,setUid文件通常用来提升使用者的权限.最有代表性的su命令.普通用户可以可以执行该命令，使自己升级为root。setUid命令的用法是:　　chmod 4755 your_program　　setGid 文件和setUid文件非常类似,它使得这使得任意使用者在执行该文件时，都绑定了文件所有组的权限.单独setGid的文件非常少用,通常都是即setUid又setGid。不过和您猜想的可能有点不同。setUid+setGid通常并不是用来提升权限的，而是为了绑定某个特殊用户及其组的特殊权限，例如qmail 的外围软件vpopmail，就使用了一个setUid+setGid的程序vchkpw来校验用户名和密码。这个道理和Apache常常以nobody用户运行一样。其目的是为了更加安全。　　setGid 命令的用法为
　　chmod 2755 your_program　　通常使用命令
　　chmod 6755 yourprogram　　来使得某可执行程序同时setUid和setGid　　全能的root用户当然可以任意setUid和setGid。但尚方宝剑不能用来假传圣旨，普通用户只能给属于自己的文件配置setUid或setGid。由于setUid或setGid文件会使普通用户提升权限，谨慎的系统管理员通常会留意系统中有setUid或setGid文件的变化。减少安全隐患。　　在Linux下，/tmp是一个存放临时文件的目录，要求是对所有用户可写。但每个用户都只能删除自己拥有的文件。这种情况下，就可以把目录加一个粘着位。　　[root@yaoyao /]# ls -l |grep tmp
　　drwsrwsrwt 9 root root 4096 8月7 10:50 tmp　　注意第是个字符"t",它代表了这个目录被设置了粘着位。　　我们自行建立一个abc的目录,使之具有和/tmp相同的特点　　chmod 777 abc
　　chmod +t abc　　上述的个两个命令组合等同于下边的一个命令:　　chmod 1777 abc　　用ls –l 看abc 目录的属性如下：　　[root@yaoyao test]# ls -l　　总用量 4　　drwsrwsrwt 2 root root 4096 8月 7 11:32 abc　　和/tmp目录相同的需求往往在ftp服务器的upload 目录中也存在。可以用相同的方式处理。四、socket 文件　　socket文件类似于管道，但它是在网络上面工作的。您到计算机就是靠它来做网络处理的。您可能听说过“Winsock”，那是 Windows 的套接口。我们在这里不深入谈有关套接口，因为如果您不写程序，您不会用到它，但如果您看到您系统里有个文件类型是s，您知道它是什么就行了。　　比如说mysql 运行的时候通常会产生一个socket文件。　　[root@yaoyao tmp]# ls -l /tmp/mysql.sock　　srwxrwxrwx 1 mysql mysql 08月 7 10:03 mysql.sock　　/tmp目录下还有一些socket文件,多半是运行Xwindows的时候产生的。　　五、疑难杂症--删除不掉的文件　　“为什么有些文件以讨厌的减号("-"开头做文件名，无论如何都删除不掉，这到底为什么?",您可能听过您临桌的新手这样的叫喊过，希望同样的事情不会发生在您的身上，这个非常容易解决，您只要用带路径的方法就可以把他们删除了，假定一个文件名为"-abc"，您可以用：　　rm ./-abc 或者
　　rm /home/yaoyao/-abc　　命令将其轻松删除，另外您也可以用相同的方式用vi或者其他工具对他们进行修改。　　另一些文件看上去可能一切正常，但当您尝试删除的时候，居然也会报错，就象下边一样:　　[root@linux236 root]# ls -l 1.txt
　　-rw-r--r-- 1 root root 0 Aug 5 23:00 1.txt
　　[root@linux236 root]# rm -rf 1.txt
　　rm: cannot unlink `1.txt': Operation not permitted您是全能root用户，居然系统告诉您操作不允许，是Linux疯了么？当然不是，如果您会用lsattr命令，问题就有了答案。　　[root@linux236 root]# lsattr
　　---i---------- ./1.txt
　　-------------- ./weiqi.ldif
　　-------------- ./qi.schema　　秘密终于暴露了，在lsattr命令下，这个1.txt文件带有一个"i"的属性，所以才不可以删除。您现在可以用下边的一系列命令:　　[root@linux236 root]# lsattr 1.txt
　　---i---------- 1.txt
　　[root@linux236 root]# chattr -i 1.txt
　　[root@linux236 root]# rm -rf 1.txt
　　[root@linux236 root]#　　成功了，这个属性专门用来保护重要的文件不被删除，通常的情况下，懂得用这几个命令的通常系统管理员有能力判断这个文件是否可以被删除。 如果您想给一个文件多加点保护，可以使用下边的命令：　　chattr +i filename　　命令，这样一来，想要删除这个文件就要多一个步骤。同时，这样的文件也是不可以编辑和修改的。只有root用户才能使用chattr命令。此命令可以在Linux ext2或ext3系统上使用。　　类似于Dos和Windows文件系统，不能随意删除的文件多半都有其道理，即使您知道如何删除，都应该三思而后行。　　总结
　　Linux/Unix系统管理是个复杂的工作，掌握和理解Linux/Unix文件类型是必备的基础之一。学习Linux/Unix没有捷径，必需通过大量的实践和努力学习。