Egalik va maxsus bitlar

Oldingi bo'limda qanday ruxsat borligini ko'rdik. Endi kimga tegishli ekanini ko'ramiz - va uchta maxsus bitni, ular ruxsat tizimining qoidalarini o'zgartiradi.

Har faylning egasi va guruhi bor #

mkdir -p sayt/yuklamalar
echo "<h1>Salom</h1>" > sayt/index.html
echo "parol=maxfiy" > sayt/.env
chown -R root:root sayt
chmod 755 sayt sayt/yuklamalar
chmod 644 sayt/index.html
chmod 600 sayt/.env

stat -c "%U:%G %a %n" sayt sayt/index.html sayt/.env

root:root 755 sayt
root:root 644 sayt/index.html
root:root 600 sayt/.env

Linux ruxsatni tekshirganda birinchi mos keladigan guruhni oladi va boshqasiga qaramaydi:

chown va chgrp #

chown www-data:www-data sayt/index.html
stat -c "%U:%G %n" sayt/index.html

www-data:www-data sayt/index.html

chgrp www-data sayt/.env
stat -c "%U:%G %a %n" sayt/.env

root:www-data 600 sayt/.env

Veb-sayt uchun to'g'ri egalik #

Bu eng ko'p uchraydigan amaliy vazifa. Uchta ishtirokchi bor: siz (fayllarni tahrirlaysiz), veb-server (www-data, fayllarni o'qiydi) va boshqalar (hech nima ko'rmasligi kerak).

chown -R root:www-data sayt
find sayt -type d -exec chmod 750 {} +
find sayt -type f -exec chmod 640 {} +
chmod 660 sayt/yuklamalar 2>/dev/null; chmod 770 sayt/yuklamalar
stat -c "%U:%G %a %n" sayt sayt/index.html sayt/yuklamalar

root:www-data 750 sayt
root:www-data 640 sayt/index.html
root:www-data 770 sayt/yuklamalar

Uchta maxsus bit #

Ruxsat aslida uch emas, to'rt raqamdan iborat. Birinchisi - maxsus bitlar.

setuid - passwd sirining javobi #

stat -c "%A %U:%G %n" /usr/bin/passwd

-rwsr-xr-x root:root /usr/bin/passwd

Egasi bitlarida x o'rniga s turibdi. Bu setuid.

passwd parolni /etc/shadow ga yozadi, u fayl esa faqat root uchun ochiq. Oddiy foydalanuvchi qanday qilib parolini o'zgartiradi? setuid tufayli: dastur ishga tushganda egasining (root ning) huquqini oladi.

find /usr/bin -perm -4000 -type f -printf "%f
" | sort | head -4

chfn
chsh
fusermount3
gpasswd

setgid katalogda - guruh merosi #

Bu jamoaviy ish uchun eng foydali bit.

mkdir -p jamoa
chgrp www-data jamoa
chmod 2775 jamoa
touch jamoa/hisobot.txt
stat -c "%a %U:%G %n" jamoa jamoa/hisobot.txt

2775 root:www-data jamoa
644 root:www-data jamoa/hisobot.txt

hisobot.txt ni root yaratdi, lekin uning guruhi root emas, www-data bo'ldi - u katalogdan meros oldi.

chgrp -R dasturchilar /srv/loyiha
chmod -R g+w /srv/loyiha
find /srv/loyiha -type d -exec chmod g+s {} +

sticky bit - /tmp ning siri #

stat -c "%a %A %U:%G %n" /tmp

1777 drwxrwxrwt root:root /tmp

Oxirgi belgi x emas, t. Bu sticky bit.

/tmp 777 - ya'ni hamma yozadi. Oldingi bo'limda o'rgangan qoidaga ko'ra, katalogga yozish huquqi bo'lgan har kim ichidagi istalgan faylni o'chira oladi.

Sticky bit aynan shuni to'xtatadi: t qo'yilgan katalogda faylni faqat uning egasi (yoki katalog egasi, yoki root) o'chira oladi.

mkdir -p umumiy && chmod 1777 umumiy
stat -c "%a %A %n" umumiy

1777 drwxrwxrwt umumiy

mkdir -p sinov_S && chmod 2755 sinov_S && chmod g-x sinov_S
stat -c "%a %A %n" sinov_S

2745 drwxr-Sr-x sinov_S

To'rt raqamli oktal #

mkdir -p t1 t2 t3
chmod 4755 t1; chmod 2755 t2; chmod 1777 t3
stat -c "%04a %A %n" t1 t2 t3

4755 drwsr-xr-x t1
2755 drwxr-sr-x t2
1777 drwxrwxrwt t3

Xulosa #

• Yadro birinchi mos keladigan toifada to'xtaydi: ega → guruh → boshqalar.
• Egadan ruxsat olib tashlash - deyarli har doim xato.
• chown faqat root uchun; guruhni a'zo bo'lsangiz o'zgartira olasiz.
• Sayt uchun naqsh: katalog 750, fayl 640, egasi root:www-data.
• Veb-server sayt fayllariga yozmasligi kerak.
• setuid (s) - dastur egasi huquqida ishlaydi; passwd shunday ishlaydi.
• setuid ro'yxatini saqlang - yangisi paydo bo'lishi buzilish belgisi.
• setgid katalogda - yangi fayllar guruhni meros oladi.
• sticky (t) - /tmp da har kim yozadi, lekin faqat o'zinikini o'chiradi.
• Katta S yoki T - x yo'qligini bildiradi, odatda xato.

Keyingi bo'limda foydalanuvchi va guruhlarni yaratamiz - /etc/passwd, /etc/shadow va useradd.