什么是SetUid、SetGid

 

摘要： 1、什么是SetUid、SetGid SetUid或是SetrGid,让非root用户也可以读取只有root用户有读写权限的文件 我们知道，在linux的命令行下执行ps命令时，就会列出当前系统中的所有进程，在其中可以看

1、什么是SetUid、SetGid

  SetUid或是SetrGid,让非root用户也可以读取只有root用户有读写权限的文件

我们知道，在linux的命令行下执行“ps”命令时，就会列出当前系统中的所有进程，在其中可以看到每个进程都和用户的真实id关联，实际上，Linux中的每个进程还跟一个称为有效用户id（set User id）紧密关联。前者用于表示该进程由那个用户控制，后者用于为新建立的文件分配所有权，检查文件访问许可等操作，同时有效用户为该文件的所有者。linux系统内核允许一个进程以调用一个SetUID程序（或显示执行SetUID系统调用）的方式，来改变其自身的有效用户id。在linux中，不管是Root用户还是普通用户，都可以使用“Password”命令来更改自身的密码。但是，Linux中的密码通常是保存“/etc/paswd”和“/etc/shadow”文件中，这两个文件对系统安全至关重要，因此只有Root用户才能对其执行读写操作。以管理员的身份登陆系统，在Linxu提示符下执行“ll  /etc/passwd ”命令，

 

 

在返回信息中可以看到普通用户对上述这两个文件并没有写权限，因此从文件属性的角度看，普通用户在更改自身密码时，是无法将密码信息写入到上述文件中的，哪么用户是怎样成功的更改密码的呢？实际上，问题的关键不在于密码文件本身，而在于密码更改命令“passwd”。在提示符下执行命令“ll /usr/bin/passwd”

在返回信息中的文件所有者执行权限位上显示“s”字样，表示“passwd”命令具有SetUID权限，其所有者为Root，这样普通用户在执行“passwd”命令时，实际上以有效用户root的身份来执行的，并具有了相应的权限，从而将新的密码写入到“/etc/passwd”和“/etc/shadow”文件中，当命令执行完毕，该用户的身份立即消失。

注： ll 显示结果有大'S'表示文件没有执行的权限。's' 则与S相反，以上是小s表示具有写的权限。

2、设置

如何设置SetUID权限呢？(使用“chmod”命令即可为指定文件设置)

设置SetUID权限: chmod 4xxx  filename

取消SetUID权限: chmod xxx   filename

类似的

设置SetGID权限: chmod 2xxx filename

取消SetGID权限: chmod xxx  filename

如果执行“chmod 6xxx filename”命令即可同时为指定文件设置SetUID和SetGID，

执行命令“chmod 0xxx filename”，即可同时取消指定文件的SetUID和SetGID权限。

例如

以Root用户登陆系统，执行“chmod 0511 /usr/bin/passwd”命令，就可以取消“passwd”命令的SetUID

权限，这样普通用户就无法修改自己的密码了

3、权限的安全性

使用SetUID可以灵活的调整所有文件所有者权限，但是也为系统的安全性带来了隐患。如果Root用户为指定的程序文件配置过大的SetUID权限，那么就会为黑客或者非法用户打开了侵入系统的大门。例如在Linux中可以使用“vi”命令来编辑文件，但是，对于普通用户而言，当其试图使用命令“vi   /etc/shadow”来修改密码文件时，系统就会弹出“/etc/shadow :Permission Denied”的警告提示，从而禁止其对密码文件的非法修改。但是，如果在Root用户环境中执行“which vi”命令，就可以看到“vi ”命令实际上是“vim”命令的别名，其真实路径为“/usr/bin/vim”，这样执行命令"chmod 6755/usr/bin/vim",就可以将“vi”命令的所有者更改为Root，这样在普通的用户环境中，就可以使用“vi”命令来编辑任何文件（例如“/etc/shadow”）,这样，即使是普通用户也可以将密码文件清空，从而实现无密码登陆Linux，给系统的安全带来的威胁不言而喻。因此，对可能给系统安全带来危害的程序来说，应该尽量不要随意为其配置SetUID权限。

setuid位的设立是有风险的！如果某个普通进程执行一个设置了setuid位，且所有者是“root”的文件，立刻具有了超级用户的权利，万一该程序有BUG，就留下了被人入侵系统的可能。因此，把文件按性质分类，修改组标识号，最后再设置setgid位来达到目的是一个不错的办法。如：

Linux中有一个叫/etc/kmem的字符设备文件，目的为存储一些核心程序要用到的数据。当用户注册到系统时所输入的口令都存在其中，所以这个文件不能给普通用户读写，以免给企图侵入系统者可乘之机，但将使用权限设为“rw-------”也不行，这样一般用户无法用ps等显示系统状态的指令（这类显示系统状态的指令必须要读取kmem的内容）。如果将存取权限设置成“rw-r-----”，再把组标识号改成与kmem一样，最后再设置setgid位，这样，无论谁执行ps，都能读取kmem的数据了。

4、禁用SetUid

对于存放在敏感数据的分区而言，有时可能希望禁用SetUID权限设置功能。例如对"/home" 分区禁用SetUID权限，可以找到修改其配置文件“/etc/fstab”, 执行命令“vi /etc/fstab”,可以看到“LABEL=/home /home ext3 defaults 1 2”等数据，我们只需在上述“default”关键字的后面添加“nosuid” 关键字即可，例如使用“vi”命令将其修改为“LANBEL=/home /home ext3 default,nosuid1 2”,之后执行命令“mount -o remount /home”,这样即使对“/home”分区上的任何可执行文件配置了SetUID权限，也是无效的。这样就在很大程度上保护了系统的安全。