Linux云计算集群架构师->第7章-文件系统基本权限和高级权限管理

上山打老虎

第7章-文件系统基本权限和高级权限管理

　　(上课时间2021-06-21，笔记整理时间2021-06-26)
本节所讲内容：　　7.1 文件的基本权限：r w x （UGO）
　　7.2 文件的特殊权限：suid sgid sticky 和文件扩展权限 ACL
7.3 实战：创建一个让 root 都无法删除的文件
7.1 文件的基本权限

7.1.1 权限的作用

　　通过对文件设定权限可以达到以下三种访问限制权限：
　　只允许用户自己访问；
　　允许一个预先指定的用户组中的用户访问；
　　允许系统中的任何用户访问。

7.1.2 查看权限

[root@Centos83 ~]# ll /etc/passwd
-rw-r--r--. 1 root root 3055 6月 25 10:55 /etc/passwd

　　文件权限基本解释：
　　以-rw-r--r--. 1 root root 3055 6月 25 10:55 /etc/passwd 为例：
　　| - | rw- | r-- | r-- | root | root | 3055 | 6月25 10:55 | /etc/passwd |
　　| -------- | ------------ | ------------ | ---------- | ------ | ---- | -------- | ------------ | ----------- |
　　| 文件类型 | 拥有者的权限 | 所属组的权限 | 其它人权限 | 拥有者 | 属组 | 文件大小 | 最后修改日期 | 对象/文件名 |
其中：文件类型,可以为 p、d、l、s、c、b 和 –　　p 表示命名管道文件
d 表示目录文件　　l 表示符号链接文件
-表示普通文件　　s 表示 socket 套接口文件，比如我们启用 mysql 时，会产生一个 mysql.sock 文件
c 表示字符设备文件，例：虚拟控制台或 tty0　　b 表示块设备文件例： sda， cdrom
　　例如：

[root@Centos83 ~]# ll /dev/sda /dev/cdrom /etc/passwd /dev/tty0
lrwxrwxrwx. 1 root root  3 6月  24 10:25 /dev/cdrom -> sr0
brw-rw----. 1 root disk 8, 0 6月  24 10:25 /dev/sda
crw--w----. 1 root tty  4, 0 6月  24 10:25 /dev/tty0
-rw-r--r--. 1 root root 3055 6月  25 10:55 /etc/passwd

　　如下效果图：

7.1.3 权限说明

　　对于文件来说：
r：读 cat　　w：写 vim echo
x：执行运行命名或者脚本　　对于目录来说：
r：读（看到目录里面有什么） ls　　w：在目录里面建文件，删除，移动 touch mkdir rm mv cp
x：目录是不能直接运行的，对目录赋予 x 权限，代表用户可以进入目录，也就是说，赋予 x 权限的用户或群组可以使用 cd 命令。
7.1.4 文件拥有者

　　UGO：所有者--用户组--其它用户
　　User-所有者：就是创建文件的用户，这个用户拥有对它所创建的文件的一切权限，所有者可以允许其所在的用户组可以访问所有者的文件。
Group-用户组：用户组是具有相同特征用户的逻辑集合，有时我们需要让多个用户具有相同的权限，比如查看、修改某一个文件的权限，一种方法是分别对多个用户进行文件访问授权，如果有 10 个用户的话，就需要授权 10 次，显然这种方法不太合理；另一种方法是建立一个组，让这个组具有查看、修改此文件的权限，然后将所有需要访问此文件的用户放入这个组中，那么所有用户就具有了和组一样的权限。这就是用户组。　　Other-其它用户：系统内的其他所有者用户就是 other 用户类

7.1.5 常见几种文件权限组成

rwx --- ---：文件所有者对文件具有读取、写入和执行的权限。
rwx r-- r--：文件所有者具有读、写与执行的权限，用户组里用户及其他用户则具有读取的权限。
rw- rw- r-x：文件所有者与同组用户对文件具有读写的权限，而其他用户仅具有读取和执行的权限。
drwx--x--x：目录所有者具有读写与进入目录的权限,其他用户近能进入该目录，却无法读取任何数据。
drwx------：除了目录所有者具有完整的权限之外，其他用户对该目录完全没有任何权限。

举例如下：　　每个用户都拥有自己的专属目录，通常放置/home 下

[root@Centos83 ~]# ll /home/
总用量 4
drwxr-xr-x.  2 root    root     6 6月  20 07:56 dx3
drwx------.  3    1001    1001   78 6月  24 19:40 harry
drwx------.  3    2002 lenovo   113 6月  24 21:23 lenovo
drwx------.  3 oracle  oracle    92 6月  24 20:03 oracle
drwx------.  3 plume   plume    113 6月  24 21:41 plume
drwx------.  3 thinkplus thinkplus   92 6月  24 20:18 thinkplus

　　注： [rwx------]表示目录所有者本身拥有的权限，其它用户是无法进入的。 root 可以。
　　例 2: 你以什么用户身份登录，那么你创建的文件或目录，自动成为该文件的所属主和组

[root@Centos83 ~]# useradd user
[root@Centos83 ~]# su - user
[user@Centos83 ~]$ touch use.txt
[user@Centos83 ~]$ ll use.txt
-rw-rw-r--. 1 user user 0 6月  25 11:56 use.txt

　　su - user 和 su user 的区别？

[root@Centos83 ~]# su - user        # 从 root 切换到普通用户 user
[user@Centos83 ~]$ pwd
/home/user
[user@Centos83 ~]$ exit
注销
[root@Centos83 ~]# su user
[user@Centos83 root]$ pwd          # 查看切完后的路径
/root
[user@Centos83 root]$ touch a.txt
touch: 无法创建 'a.txt': 权限不够
[user@Centos83 root]$ cd /home/user/
[user@Centos83 ~]$ touch a.txt
[user@Centos83 ~]$ exit

　　注： su - 用户，加上-减号，切换用户时，会把用户家目录和环境变量都彻底切成用 user 的。不
　　加-减号，保留切换前的路径和环境变量。一般切换用户都加减号- 。

7.1.6 更改文件的属主和属组

　　改变文件的所属关系用到命令：
chown：可以用来改变文件(或目录)的属主　　chgrp：可以用来改变文件（或目录）的默认属组（不常用）
　　如果你要对目录进行操作，加参数 -R
chown　　语法：
　　chown user:group filename 比如：chown hr:san a.txt 把文件的属主改为 hr 属组改为san
　　chown user filename 比如：chown san a.txt 把文件的属主改为 san 用户
　　chown :group filename 比如： chown :miao a.txt 把文件的属组改为 miao 组:也可以用.代替
　　-R ：递归（目录下的所有内容都更改，否则只修改目录）
　　示例：

[root@Centos83 ~]# touch {a,b,c}.txt
[root@Centos83 ~]# ll *.txt
-rw-r--r--. 1 root root 2735 6月  25 12:04 a.txt
-rw-r--r--. 1 root root  0 6月  25 12:04 b.txt
-rw-r--r--. 1 root root  0 6月  25 12:04 c.txt
[root@Centos83 ~]# chown user a.txt 
[root@Centos83 ~]# ll a.txt 
-rw-r--r--. 1 user root 2735 6月  25 12:04 a.txt
[root@Centos83 ~]# chown user:user a.txt 
[root@Centos83 ~]# ll a.txt 
-rw-r--r--. 1 user user 2735 6月  25 12:04 a.txt
[root@Centos83 ~]# chown :root a.txt 
[root@Centos83 ~]# ll a.txt 
-rw-r--r--. 1 user root 2735 6月  25 12:04 a.txt
[root@Centos83 ~]# chown .bin a.txt 
[root@Centos83 ~]# ll a.txt 
-rw-r--r--. 1 user bin 2735 6月  25 12:04 a.txt

　　一个文件只有读的权限，拥有者是否可以写这个文件
　　示例：

[root@Centos83 ~]# su - user 
[user@Centos83 ~]$ touch a.txt 
[user@Centos83 ~]$ ll a.txt 
-rw-rw-r--. 1 user user 0 6月  25 12:09 a.txt
[user@Centos83 ~]$ chmod 000 a.txt        #修改成 000 权限
[user@Centos83 ~]$ ll a.txt 
----------. 1 user user 0 6月  25 12:09 a.txt
[user@Centos83 ~]$ vim a.txt           #写入hello, ：wq! 强制保存退出
[user@Centos83 ~]$ cat /home/user/a.txt 
cat: /home/user/a.txt: 权限不够

　　注：使用 user1 身份，无法查看 cat /home/user1/a.txt
实验结果：文件所有者一定可以写文件。就像 root 可以对 shadow 强制写。因 shadow 的拥有者是 root　　扩展：

[root@Centos83 ~]# ll /etc/shadow* /etc/passwd*
-rw-r--r--. 1 root root 3094 6月  25 11:55 /etc/passwd
-rw-r--r--. 1 root root 3055 6月  25 10:55 /etc/passwd-   #安装完系统时，会生成 passwd 备份文件。系统安装好后，新增加的用户，不会写到/etc/passwd-
----------. 1 root root 1918 6月  25 11:55 /etc/shadow
----------. 1 root root 1891 6月  25 10:55 /etc/shadow-  #安装完系统时，会生成 shadow 备份文件。系统安装好后，新增加用户的密码信息，不会写到/etc/shadow

7.1.7 修改权限

　　方法 1：使用字符设定
　　修改权限用的命令：chmod
　　作用：修改文件，目录的权限
　　语法：chmod [对谁操作] [操作符] [赋于什么权限] 文件名
　　对谁操作：
u----> 用户 user，表示文件或目录的所有者　　g---->用户组 group，表示文件或目录所属的用户组
o---->其它用户 others　　a---->所有用户 all
　　操作符:

’+‘ 添加权限； ‘-’ 减少权限； ‘=’ 直接给定一个权限
权限：r w x

　　例如下面的组合：

u-w user 拥有者

g+x group 组

o=r other 其他人

a+x all 所有人

[root@Centos83 ~]# ll /home/user/a.txt           # a.txt文件已经被去掉了所有权限
----------. 1 user user 6 6月  25 12:10 /home/user/a.txt
[root@Centos83 ~]# chmod u+w /home/user/a.txt       # 给a.txt 用户加写权限
[root@Centos83 ~]# ll /home/user/a.txt 
--w-------. 1 user user 6 6月  25 12:10 /home/user/a.txt
[root@Centos83 ~]# chmod g+r /home/user/a.txt       # 给 a.txt 组加读权限
[root@Centos83 ~]# chmod a+w /home/user/a.txt       # 给 a.txt 所有用户加读权限
[root@Centos83 ~]# ll /home/user/a.txt 
--w-rw--w-. 1 user user 6 6月  25 12:10 /home/user/a.txt
[root@Centos83 ~]# chmod a+x /home/user/a.txt       # 给 a.txt 所有用户加执行权限
[root@Centos83 ~]# ll /home/user/a.txt 
--wxrwx-wx. 1 user user 6 6月  25 12:10 /home/user/a.txt
[root@Centos83 ~]# chmod o=r /home/user/a.txt       # 给 a.txt 其它用户读权限 = 会覆盖仅限
[root@Centos83 ~]# ll /home/user/a.txt 
--wxrwxr--. 1 user user 6 6月  25 12:10 /home/user/a.txt
[root@Centos83 ~]# 
[root@Centos83 ~]# chmod a=rwx /home/user/a.txt     # 给 a.txt 所有用户写、读、执行权限
[root@Centos83 ~]# ll /home/user/a.txt 
-rwxrwxrwx. 1 user user 6 6月  25 12:10 /home/user/a.txt

7.1.8 使用八进制（0-7）数字表示权限法

　　| 权限 | 二进制值 | 八进制值 | 描述          |
　　| ---- | -------- | -------- | ---------------- |
　　| ---  | 000    | 0       | 没有任何权限    |
　　| --x  | 001    | 1       | 只有执行权限    |
　　| -w-  | 010    | 2       | 只有写入权限    |
　　| -wx  | 011    | 3       | 有写入和执行权限 |
　　| r--  | 100    | 4       | 只有读取权限    |
　　| r-x  | 101    | 5       | 有读取和执行权限 |
　　| rw-  | 110    | 6       | 有读取和写入权限 |
　　| rwx  | 111    | 7       | 有全部权限    |

　　例 1：
　　互动：rw- 的值是多少答： 4+2=6
　　rwx r-x r-x 的值是多少答： rwx=4+2+1=7 ; r-x=4+1=5 rwx r-x r-x=755
语法：　　chmod 755 文件或文件夹名字
　　chmod a=rwx mini.txt 等于 chmod 777 mini.txt

[root@Centos83 ~]# touch mini.txt
[root@Centos83 ~]# ll mini.txt 
-rw-r--r--. 1 root root 2742 6月  20 16:45 mini.txt
  6  4  4
[root@Centos83 ~]# chmod 755 mini.txt 
[root@Centos83 ~]# ll mini.txt 
-rwxr-xr-x. 1 root root 2742 6月  20 16:45 mini.txt
   7  5  1  
[root@Centos83 ~]# chmod 700 mini.txt 
[root@Centos83 ~]# ll mini.txt 
-rwx------. 1 root root 2742 6月  20 16:45 mini.txt
  7   0  0

7.1.9 权限对文件和目录的影响

　　有三种权限可以应用：读取，写入与执行，这些权限对访问文件和目录的影响如下：
　　权限对文件的影响对目录的影响
　　r(读取) 可以读取文件的内容可以列出目录的内容（文件名）
　　w(写入) 可以更改文件的内容可以创建或删除目录中的任意文件
　　x(执行) 可以作为命令执行文件可以访问目录的内容（取决于目录中文件的权限）
　　扩展：补码
　　为什么我们创建的文件的权限默认是 644 呢？
　　我们创建文件的默认权限是怎么来的？
　　umask 命令允许你设定文件创建时的缺省模式，对应每一类用户(文件属主、同组用户、其他用户)
　　存在一个相应的 umask 值中的数字
　　文件默认权限＝666 ，目录默认权限＝777
　　我们一般在/etc/profile、$ [HOME]/.bash_profile 或$[HOME]/.profile 中设置 umask 值。
　　永久生效，编辑用户的配置文件 vim .bash_profile

[root@Centos83 ~]# vim /etc/profile

注： UID 大于 199 且用户的组名和用户名一样，那么 umask 值为 002，否则为 022.　　注： -gt 在 shell 中表示大于；，id -gn 显示组名，id -un 显示用户名
id -g 显示用户组 ID ，id -u 显示用户 id

[root@Centos83 ~]# touch aaa
[root@Centos83 ~]# ll aaa
-rw-r--r--. 1 root root 0 6月  26 09:56 aaa
 6  4  4          #  666-022=644
[root@Centos83 ~]# su - user 
[user@Centos83 ~]$ touch aaa
[user@Centos83 ~]$ ll aaa
-rw-rw-r--. 1 user user 0 6月  26 09:56 aaa
 6  6   4          # 666-002= 664
[user@Centos83 ~]$ mkdir dir
[user@Centos83 ~]$ ll -d dir
drwxrwxr-x. 2 user user 6 6月  26 09:57 dir
  7  7  5          # 777-002=775

　　临时生效： umask 权限补码

[user@Centos83 ~]$ umask 044
[user@Centos83 ~]$ touch yh.txt
[user@Centos83 ~]$ ll yh.txt
-rw--w--w-. 1 user user 0 6月  26 10:03 yh.txt
 6  2   2        # 文件默认权限＝666 , 666-044=622

权限的算法：一般情况是：目录默认权限-umask 值

　　666-022文件默认权限＝666=644
　　目录默认权限＝777-022=755

这是一个好的记忆方法，但不严谨。

　　umask 掩码为 033 创建普通文件后，权限是什么？ 666-033=633 ( rw- -wx -wx) ?

[user@Centos83 ~]$ umask 033
[user@Centos83 ~]$ touch mk.txt
[user@Centos83 ~]$ ll mk.txt
-rw-r--r--. 1 user user 0 6月  26 10:07 mk.txt
 6  4   4      #答：结果为： 644

　　权限科学的计算方法步骤：
1、将默认权限（目录 777，文件 666）和 umask 值都转换为 2 进制　　2、对 umask 取反
3、将默认权限和 umask 取反后的值做与运算　　4、将得到的二进制值再转换 8 进制，即为权限，
　　https://tool.lu/hexconvert
　　[进制在线转换工具]: https://tool.lu/hexconvert/ "进制在线转换工具"

　　例 1： umask 为 022
6 6 6 umask 0 2 2　　110 110 110 000 010 010 # 默认权限和 umask 都转成二进制
　　111 101 101 # umask 取反的值
　　110 110 110 与 #第二步，默认权限二进制值和 umask 二进制值取反后做与运算
　　111 101 101 # umask 取反的值
　　110 100 100 #与运算，都为 1 的为 1，否则为 0
　　6 4 4 #转成 8 进制
　　例 2： umask 为 033 结果为： 644
6 6 6 umask 0 3 3　　110 110 110 000 011 011 # 转成二进制
　　111 100 100 # umask 取反的值
　　110 110 110 与 #第二步，默认权限二进制值和 umask 二进制值取反后做与运算
　　111 100 100 # umask 取反的值
　　110 100 100 #与运算，都为 1 的为 1，否则为 0
　　6 4 4 #转成 8 进制

7.2 文件的特殊权限：suid sgid sticky 和文件扩展权限 ACL

其实文件与目录设置不止这些，还有所谓的特殊权限。由于特殊权限会拥有一些“特权”.
7.2.1 文件的特殊权限：suid sgid sticky

　　1、SUID（set uid 设置用户 ID）：限定：只能设置在二进制可执行程序上面。对目录设置无效功能：程序运行时的权限从执行者变更成程序所有者的权限。
　　2、SGID：限定：既可以给二进制可执行程序设置，也可以对目录设置
　　功能：在设置了 SGID 权限的目录下建立文件时，新创建的文件的所属组会，继承上级目录的所属组
　　3、Stickybit：粘滞位权限是针对目录的，对文件无效，也叫防删除位
　　这 3 个特殊权限对应的数值为：

SUID       SGID       Stickybit
 4         2           1
chmod u+s    chmod g+s    chmod o+t
chmod 4664    chmod 2664    chmod 1664

　　suid 的代表数字是 4，比如 4755 的结果是 rwsr-xr-x
　　sgid 的代表数字是 2，比如 2755 的结果是 rwxr-sr-x
　　sticky 位代表数字是 1，比如 1755 的结果是 rwxr-xr-t
　　suid+sgid+sticky=7 ，比如 7755 的结果是 rwsr-sr-t
　　SUID 属性一般用在可执行文件上，当用户执行该文件时，会临时拥有该执行文件的所有者权限。

[user@Centos83 ~]$ ll /usr/bin/passwd     # passwd 命令有 suid 权限
-rwsr-xr-x. 1 root root 33600 4月   7 2020 /usr/bin/passwd

普通用户 user1，没有对 shadow 文件写入的权限，但是 user1 用户使用 passwd 修改自己密码时，可以修改 shadow 文件中的内容，这是什么原因？

[root@xuegod63 ~]#  ll /etc/shadow      # 普通用户对/etc/shadow是没有读写权限的
----------. 1 root root 1918 6月  25 11:55 /etc/shadow
[root@Centos83 ~]# echo 123456 | passwd --stdin user  # 免交互更改 user1 密码为 123456
更改用户 user 的密码 。
passwd：所有的身份验证令牌已经成功更新。
[root@Centos83 ~]# tail -5 /etc/shadow | grep user    # 查看下密码
user:$6$zvkiwpKFRisB3ul9$iWFfbpKKjK3DhNzTVxZUlXC6k1hOgbtj2h.wDiOx4WAJxfMR3IPw4LybGTXQIp.e62043lbWgDQMduhYQTBiZ.:18804:0:99999:7:::
[root@Centos83 ~]# su - user              # 切换到user用户
[user@Centos83 ~]$ passwd                 # 更改user用户密码
更改用户 user 的密码 。
Current password: 
新的 密码：
重新输入新的 密码：
passwd：所有的身份验证令牌已经成功更新。
[user@Centos83 ~]$ exit                  # 退出user用户
注销
[root@Centos83 ~]# tail -5 /etc/shadow | grep user    # 查看下密码
user:$6$Jb3cw59/duG2L0Jl$Znrd3QFYBq/XV0vdvFxuTiNSeFDcj7gLcQGHpLSNfi8nakWhbEsB5leXEfKWrx1X.G5mR1kMkUgAKmvfewTDq/:18804:0:99999:7:::          # 查看shadow文件已经被user用户修改成功

因为 user1 用户执行 passwd 命令时，权限会提升成 root 用户，所以可以修改成功。

[root@Centos83 ~]# useradd mark              # 创建用户 mark
[root@Centos83 ~]# echo 123456 | passwd --stdin mark  # 免交互更改 mark 密码为 123456
更改用户 mark 的密码 。
passwd：所有的身份验证令牌已经成功更新。
[root@Centos83 ~]# su  - mark              # 切换用户到用户 mark
[mark@Centos83 ~]$ less /etc/shadow            # 查看 /etc/shadow 文件
/etc/shadow: 权限不够
[mark@Centos83 ~]$ su - root              # 切换到 root 用户
密码：
[root@Centos83 ~]# chmod u+s /usr/bin/less        # 给less 命令加用户读权限
[root@Centos83 ~]# su - mark              # 切换用户到用户 mark
[mark@Centos83 ~]$ less /etc/shadow            #看到了 shadow 内容，不要按 q 退出进程新开 shell 窗口查看 u+s 后的效果：
[root@Centos83 ~]# ps aux | egrep 'less|USER'| grep -v grep
USER     PID %CPU %MEM  VSZ   RSS TTY    STAT START   TIME COMMAND
root    6667  0.0  0.2   9888  2152 pts/0  S+   13:46   0:00 less /etc/shadow
[root@Centos83 ~]# w
 13:48:20 up  6:04,  2 users,  load average: 0.07, 0.02, 0.00
USER   TTY    FROM       LOGIN@   IDLE   JCPU   PCPU WHAT
root   pts/0  10.170.80.200  09:56  2:12   1.17s  0.00s less /etc/shadow
root   pts/1  10.170.80.200  13:46  1.00s  0.23s  0.08s w

[root@Centos83 ~]# ll /usr/bin/less
-rwsr-xr-x. 1 root root 192040 5月  11 2019 /usr/bin/less
[root@Centos83 ~]# chmod 4755 /usr/bin/less    # 等同于 chmod u+s /usr/bin/less
[root@Centos83 ~]# ll /usr/bin/less
-rwsr-xr-x. 1 root root 192040 5月  11 2019 /usr/bin/less
[root@Centos83 ~]# chmod u-s /usr/bin/less     # 去掉 less 命令的 suid 权限
[root@Centos83 ~]# ll /usr/bin/less
-rwxr-xr-x. 1 root root 192040 5月  11 2019 /usr/bin/less

　　SGID：
　　限定：既可以给二进制可执行程序设置，也可以给目录设置。
　　给二进制可执行程序设置，则运行程序时，临时获得该程序所属组权限

root@Centos83 ~]# echo hello Linux > file.txt    # 添加hello Linux内容，创建file.txt
[root@Centos83 ~]# less /root/file.txt 
[root@Centos83 ~]# ll file.txt         #查看到 file.txt 文件所属组为 root，且所属组有读权限
-rw-r--r--. 1 root root 12 6月  26 17:02 file.txt
[root@Centos83 ~]# su - user           #切换到 user 用户
[user@Centos83 ~]$ less /root/file.txt      #查看 file2.txt ，权限不足，已去掉了 suid 权限
/root/file.txt: 权限不够
[user@Centos83 ~]$ exit
注销
[root@Centos83 ~]# chmod u-s,g+s /usr/bin/less    #去掉 less 的 suid 权限，增加 sgid 权限
[root@Centos83 ~]# ll /usr/bin/less          #查看 less 所属组为 root
-rwxr-sr-x. 1 root root 192040 5月  11 2019 /usr/bin/less
[root@Centos83 ~]# su - user 
[user@Centos83 ~]$ less /root/file.txt      #已经有权限了，不要按 q 退出进程，新开 shell 查看
[root@xuegod63 ~]# ps aux | egrep 'USER|less' | grep -v grep
USER     PID %CPU %MEM  VSZ   RSS TTY    STAT START   TIME COMMAND
user    8572  0.0  0.2   9888  2124 pts/1  S+   17:12   0:00 less /root/file.txt

　　可以看到运行 less 的用户身份为 user1，可以读取 file2.txt ，是因为临时获取 less 程序的所属组身份，而 file2.txt 所属组与 less 程序所属组相同，且有读权限。

　　功能：在设置了 SGID 权限的目录下建立文件时，新创建的文件的所属组会继承上级目录的权限。

[root@Centos83 ~]# mkdir test
[root@Centos83 ~]# ll -d test
drwxr-xr-x. 2 root root 6 6月  26 17:16 test
[root@Centos83 ~]# chmod g+s test/
[root@Centos83 ~]# ll -d test
drwxr-sr-x. 2 root root 6 6月  26 17:16 test
# 测试：sgid 效果
[root@Centos83 ~]# chown :bin test/
[root@Centos83 ~]# touch test/test.txt
[root@Centos83 ~]# ll !$  # !$代表得是上一条命令中最后一个参数，快捷键是 esc 加.ll test/test.txt
ll test/test.txt
-rw-r--r--. 1 root bin 0 6月  26 17:17 test/test.txt

　　Stickybit
　　限定：只作用于目录
　　功能：目录下创建的文件只有 root、文件创建者、目录所有者才能删除。
　　例：系统中的 tmp 目录就是这样

[root@Centos83 ~]# ll -d /tmp/
drwxrwxrwt. 24 root root 4096 6月  26 17:20 /tmp/
#用法： chmod o+t /tmp
[root@Centos83 ~]# mkdir /test/
[root@Centos83 ~]# ll -d /test

drwxr-xr-x. 2 root root 6 6月  26 17:22 /test
[root@Centos83 ~]# chmod 1777 /test
[root@Centos83 ~]# ll -d /test/
drwxrwxrwt. 2 root root 6 6月  26 17:22 /test/
[root@Centos83 ~]# 
[root@Centos83 ~]# su - user
[user@Centos83 ~]$ echo user > /test/user.txt
[user@Centos83 ~]$ chmod o+rw /test/user.txt 
[user@Centos83 ~]$ ll /test/user.txt 
-rw-rw-rw-. 1 user user 5 6月  26 17:23 /test/user.txt

[think@Centos83 ~]$ echo hello think >/test/user.txt 
[think@Centos83 ~]$ cat /test/user.txt 
hello think
[think@Centos83 ~]$ rm -rf /test/user.txt 
rm: 无法删除'/test/user.txt': 不允许的操作

其他用户无法删除，只有文件创建者、目录所有者才能删除
7.2.2 文件扩展权限 ACL

　　扩展 ACL ：access control list

[root@Centos83 ~]# touch /opt/test.txt
[root@Centos83 ~]# ll /opt/test.txt 
-rw-r--r--. 1 root root 0 6月  26 17:38 /opt/test.txt
#设置只让用户 user1 对文件 a.txt 拥有的 rwx 权限 ，user1 不属于 a.txt 的所属主，和组，other
的权限还是 r--。
[root@Centos83 ~]# id user 
uid=2006(user) gid=2006(user) 组=2006(user)
[root@Centos83 ~]# getfacl /opt/test.txt 
getfacl: Removing leading '/' from absolute path names
# file: opt/test.txt
# owner: root
# group: root
user::rw-
group::r--
other::r--
[root@Centos83 ~]# setfacl -m u:user:rwx /opt/test.txt 
[root@Centos83 ~]# setfacl -m u:think:rwx /opt/test.txt 
-m, --modify=acl 更改文件的访问控制列表
[root@Centos83 ~]# getfacl /opt/test.txt 
getfacl: Removing leading '/' from absolute path names
# file: opt/test.txt
# owner: root
# group: root
user::rw-
user:think:rwx
user:user:rwx
group::r--
mask::rwx
other::r--

[root@Centos83 ~]# su - user
[user@Centos83 ~]$ vim /opt/test.txt 
[user@Centos83 ~]$ ll /opt/test.txt 
-rw-rwxr--+ 1 root root 12 6月  26 17:44 /opt/test.txt    #setfacl 权限会同步到组权限中注：只要增加了扩展权限，这个地址就会有一个 + 加号

例 2：给目录加扩展权限

[root@Centos83 ~]# mkdir /opt/test
[root@Centos83 ~]# setfacl -m d:u:user:rwx /opt/test  #d 默认在就是有这个权限
[root@Centos83 ~]# setfacl -R -m u:user:rw- /opt/test  #-R 一定要在-m 前面，表示目录下所有文件
-R, --recursive 递归操作子目录
[root@Centos83 ~]# setfacl -x u:user /opt/test.txt     # 去掉单个权限
[root@Centos83 ~]# getfacl /opt/test.txt 
getfacl: Removing leading '/' from absolute path names
# file: opt/test.txt
# owner: root
# group: root
user::rw-
user:think:rwx
group::r--
mask::rwx
other::r--
[root@Centos83 ~]# setfacl -b /opt/test.txt       # 去掉所有 acl 权限

7.3 实战：创建一个让 root 都无法删除的文件

　　发现 windows 中有文件删除不了，怎么办？使用 360 强制删除，粉碎文件。那么在 Linux 下怎么办？

[root@Centos83 ~]# touch hack.sh aa.sh       # 创建两个文件
[root@Centos83 ~]# ll hack.sh aa.sh       # 查看文件
-rw-r--r--. 1 root root 0 6月  26 17:53 aa.sh
-rw-r--r--. 1 root root 0 6月  26 17:53 hack.sh
[root@Centos83 ~]# rm -rf aa.sh          # 可以删除其中一个文件
[root@Centos83 ~]# chattr +i hack.sh      # 给另一个文件 加只读属性
[root@Centos83 ~]# rm -rf hack.sh         # 删除时发现无法删除
rm: 无法删除'hack.sh': 不允许的操作
[root@Centos83 ~]# ll hack.sh           # 用 ll 命令也看不到任何异常
-rw-r--r--. 1 root root 0 6月  26 17:53 hack.sh
[root@Centos83 ~]# lsattr hack.sh         # 用 lsattr 命令可以查看到文件属性
----i--------------- hack.sh

　　从 REHL6 开始，新增加文件系统扩展属性：
命令：chattr　　参数： a 只能追加内容； i 不能被修改
+a: 只能追加内容如： echo aaa >> hack.sh　　+i：即 Immutable，系统不允许对这个文件进行任何的修改。如果目录具有这个属性，那么任何的
进程只能修改目录之下的文件，不允许建立和删除文件。　　注：immutable [ɪˈmju:təbl] 不可改变的； Append [əˈpend] 追加
-i ：移除 i 参数。 -a :移除 a 参数　　总结：
　　7.1 文件的基本权限：r w x （UGO）
　　7.2 文件的特殊权限：suid sgid sticky 和文件扩展权限 ACL
7.3 实战：创建一个让 root 都无法删除的文件

[Linux] Linux云计算集群架构师->第7章-文件系统基本权限和高级权限管理

相关帖子

Linux 内核最新高危提权漏洞：脏管道 (Dirty Pipe)

利用Linux防火墙隔离本地欺骗地址的方法详解

一次minerd肉鸡木马的排查思路

Linux中如何排查网络？常见的网络排查指令都有哪些?

为什么会出现你需要来自system的权限才能删除

共享打印机设置权限

【云原生】如何快速部署Kubernetes

串行控制台如何在 Linux 上工作？

在 CentOS 8 中删除旧的 Linux 系统内核

阿里云服务器CentOS升级命令

上山打老虎 LV4