发信人: sungang(笨刚)
整理人: sungang(2003-09-16 12:09:26), 站内信件
|
4.2.3 超级用户root
超级用户是Unix的所有者,拥有所有的权利,因此也具有很大的危险性,不当使用超级用户权力能对系统造成不可挽回的破坏。即使对于个人使用的FreeBSD系统,尽管不需要将系统与其他人共享,但是仍然不要使用root用户作日常处理工作。通常管理员在正常情况下仅仅使用普通帐户进行操作,只有在执行系统管理的必要时候才使用超级用户权限。
从普通用户成为超级用户的标准方法是使用su命令:
$ su
Password:
#
正确输入root的口令之后,就成为了超级用户,系统提示符也从标准的 “$” 变为root专用的 “#” 提示。
在FreeBSD上要使用su命令成为root用户,不但要知道root的口令,还需要经过特别设置,否则就不能成功使用这个命令。这是因为FreeBSD对执行su命令的用户进行了更严格的限制,能使用su命令的用户必须属于wheel组(root的基本属组,组ID为0),否则就不能通过这个命令成为root用户。因此需要编辑组设置文件/etc/group,将需要超级用户权力的管理成员加入到wheel组中。
如果仅仅要用户执行部分需要超级用户权力的操作,而不想将root的口令泄露出去,更简单的做法是使用sudo,然而这这个程序不是基本系统中包括的命令,而需要另外安装管理工具。
1) 设置用户标识
使用su命令,可以让普通用户转变为超级用户root,那么su程序是如何做到这一点的呢?
当用户启动su程序的时候,显然su进程首先具备的是用户本身的标识,要完成su操作这类操作,就要求普通用户也能完成特殊权限的任务,那么就必须在进程执行过程中改变进程的身份。
改变进程的身份,即用户标识uid,必须同时具备三个要求:程序文件本身具有SetUID属性,同时程序中需要相应调用setuid()系统调用,并且setuid()的目标必须是程序文件的属主。这样,setuid系统调用能够检查文件的属性,并完成更改进程权限的操作。
同样的方法,可以使用setgid()系统调用来改变进程的组标识gid。
通常只有系统程序才需要利用这两个属性,例如系统程序su允许普通用户成为root用户,就使用的是这个能力。
$ ls -l a*
-rwxr-xr-x 1 user wheel 3212 Dec 4 12:36 a1
-rwxr-xr-x 1 user wheel 3212 Dec 4 12:36 a2
$ chmod u+s a1
$ ls -l a*
-rwsr-xr-x 1 user wheel 3212 Dec 4 12:36 a1
-rwxr-xr-x 1 user wheel 3212 Dec 4 12:36 a2
$ chmod g+s a2
$ ls -l a*
-rwsr-xr-x 1 user wheel 3212 Dec 4 12:36 a1
-rwxr-sr-x 1 user wheel 3212 Dec 4 12:36 a2
上面第一个chmod(chmod u+s a.out)为a.out增加设置属主身份权限,然后列表中对应属主的执行权限位的 “x” 标志将改变为 “s” (文件属性显示为rwsr-xr-x)。第二个chmod (chmod g+s a.out)为a.out增加设置组身份权限,则列表中对应组的执行权限位的 “x” 标志将改变为 “s” (文件属性显示为rwxr-sr-x)。同样,SetUID和SetGID属性也都有相应的八进制表示方式,SetUID为04000,后面的三个八进制位属于文件的读写访问属性设置,相应SetGID为02000,它们两个属性位处于读写属性位之前。下面是一个更改属性设置的例子:
# ls -l /bin/ps
-r-xr-sr-x 1 bin kmem 163840 May 6 06:02 /bin/ps
# chmod a=r /bin/ps
# su user
$ ps
bash: ps: Permission denied
$ ^D
# chmod a+x /bin/ps
# su user
$ ps
ps: /dev/mem: Permission denied
$ ^D
# chmod g+s /bin/ps
# su user
$ ps
PID TT STAT TIME COMMAND
226 p2 S 0:00.56 bash
239 p2 R+ 0:00.02 ps
$
第一次以user身份执行ps时,ps的文件属性被改为对所有用户只有读权限,因此不能执行,shell报告Permission denied;第二次以user身份执行ps时,ps报告不能打开/dev/mem文件,这是因为普通用户无权存取内存映象文件。而第三次执行ps时,由于设置了setgid位,和kmem同组的进程就能够打开/dev/mem文件,从而正确执行了ps程序。
具有SetUID或SetGID属性的程序,能够在进程执行中调用系统调用setuid()或setgid(),调用成功后这个进程就具有了程序文件属主和组的权限,就可以完成以前改变身份之前不能完成的任务。
因为通过它们,程序可以改变进程的用户标识,绕过系统的权限设置,因此这两个属性对于系统安全非常重要。尤其是属于root,并设置了SetUID属性的程序,更是系统安全中值得注意的地方。为了保证系统安全,必须保证没有非法的SetUID或SetGID程序的存在,通常管理员可以使用find命令来完成这个任务,例如查找具有SetUID的程序,则执行:
# find / -perm 4000 -print
上面命令中的4000为文件属性的八进制表示,其中4就为setuid位。
|
|