Okuma biti vs. Linux'ta dizin izinleri nasıl çalışır?

CMS'imde, dizinlerin +xkullanıcının açması için ayarlanmış çalıştırılabilir bit'e ( ) ihtiyacı olduğunu fark ettim . Neden bir dizini okumak için yürütme izni gerekiyor ve Linux'ta dizin izinleri nasıl çalışıyor?

Linux'ta dizinlere izinler uygulanırken izin bitlerinin normal dosyalardan farklı anlamları vardır.

• Okuma bit ( r) dizin içindeki dosyaları listelemek için etkilenen kullanıcı sağlar
• Yazma biti ( w) etkilenen kullanıcı oluşturmak yeniden adlandırma veya dizin içindeki dosyaları silmek ve dizinin özelliklerini değiştirmenize olanak tanır
• Yürütmek biraz ( x) dizini girmek için etkilenen kullanıcı sağlar ve erişim dosya ve dizinleri içeride
• Yapışkan bit ( Tveya tyürütme bit diğerleri için ayarlanırsa) bu dizin içindeki dosya ve dizinleri sadece silinecek ya da sahibinin (veya kök) tarafından yeniden adlandırılabilir belirtmektedir

İlk önce, düşünün: Bir dizin nedir? Bu sadece içinde yaşayan öğelerin bir listesi (dosyalar ve diğer dizinler). Yani: dizin = adların listesi.

Read bit = Ayarlandıysa, bu listeyi okuyabilirsiniz. Öyleyse, örneğin, bir dizininiz varsa poems:

• İçinde ls poemsyaşayan öğelerin bir listesini alabilirsin ve alacaksın ( -lhiçbir ayrıntıyı açığa çıkarmayacak!).
• Komut satırı tamamlama kullanabilirsiniz touch poems/so <TAB> poems/somefile.
• Sen yapamaz poems(yani sizin çalışma dizinini cdiçine).

Yazma biti = Eğer ayarlanmışsa, bu listeyi değiştirebilirsin, yani üzerine {isim ekleyebilir, ismini değiştirebilirsin. Fakat! Aslında yalnızca yürütme biti ayarlanmışsa bunu yapabilirsiniz.

Execute bit = Bu dizini çalışma dizininiz, yani dizininiz yapın cd. İsterseniz bu izne ihtiyacınız vardır:

• içinde yaşayan öğelere erişme (okuma, yazma, yürütme).
• listenin kendisini değiştirir, yani üzerine isim ekler, isimlendirir, sil (elbette yazma biti dizinde ayarlanmış olmalıdır).

İlginç durum 1 : Bir dizinde yazma + yürütme izniniz varsa, bu öğeler üzerinde yazma hakkınız olmasa bile içinde yaşayan öğeleri {silebilir, yeniden adlandırabilirsiniz}. (bunu önlemek için yapışkan bit kullanın)

İlginç durum 2 : Bir dizinde yürütme (ancak yazma) izniniz varsa ve içinde yaşayan bir dosyaya yazma izniniz varsa, dosyayı silemezsiniz (çünkü listeden çıkarmayı içerir). Bununla birlikte, içeriğini silebilirsiniz, örneğin bir metin dosyasıysa, açmak ve her şeyi silmek için vi kullanabilirsiniz. Dosya hala orada olacak, fakat boş olacak.

Özet:

Read bit = Listedeki isimleri okuyabilirsiniz.
Yazma biti = Eğer yürütme biti ayarlanmışsa, listedeki {ekleyebilir, yeniden adlandırabilir, silebilirsiniz.
Execute bit = Bu dizini çalışma dizininiz yapabilirsiniz.

Not: Kusalananda'nın bahsettiği makale iyi bir okuma.

Bu tabloyu tüm olası izinler ve pratik etkileri ile hazırladım.

(*) Yalnızca dosya adları : Boyut veya tarih gibi diğer özellikler kabul edilemez. Örneğin, otomatik tamamlama için sekme tuşunu kullanabilirsiniz, ancak ls komutunu kullanamazsınız.

Bazı düşünceler :

• İle X sertleşmemiş , R ve W daha çok işe yaramaz.
• Yalnızca X'i devre dışı bırakmak, RW'yi yanlış bir güvenlik hissi verir; çünkü dosya içeriğini gizli olarak okuyabilir ve yazabilir ve alt dizinlere erişebilirsiniz. Dizinin her doğrudan çocuğunun açık izinleri olduğundan emin olmalısınız.
• Nadiren aşağıdakilerden başka değerler kullanacaksınız:
  • 0 : Erişim yok.
  • 1 : Enine erişim sağlayan minimum erişim.
  • 5 : Dizin ağacının yapısını değiştirmemeye, okumasına / yazmasına izin verin.
  • 7 : Tam erişim.

İşte bu konuda iyi bir makale.

Özet:

xBit ayarlı bir dizin , kullanıcının cdbu dizine girmesine (dizini değiştirmesine) ve içindeki dosyalara erişmesine izin verir .

Detaylar:

• Oku ( r)

  Bu dizinde kayıtlı dosyaların adlarını okuyabilme.

• Yaz ( w)

  Yürütme izniniz varsa, dizindeki dosyaları yeniden adlandırma, yeni dosyalar oluşturma veya varolan dosyaları silme özelliği. Yürütme izniniz yoksa, yazma izniniz anlamsızdır.

• Yürüt ( x)

  Yeteneği cdbu dizine ve bu dizindeki dosyalara erişmek.

Anlaşmayı kolaylaştırması gereken birkaç örnek:

# "Full Access".  Reegen can list, create, delete, rename, delete,
# and stat any files in dir.
# Access to file contents is subject to the permissions
# of the file itself.
# New files can be created, any file can be deleted, regardless of
# file permissions.
drwx------  1 reegen    reegen          4096 Jan 01 2003  dir

# Reegen can do everything in the "Full Access" list except create,
# delete, or rename files in this directory.
dr-x------  1 reegen    reegen          4096 Jan 01 2003  dir

# Reegen can do everything in the "Full Access" list except list the
# filenames in this directory.  If she suspects there is a file
# named "program" she can list it, but cannot do an 'ls'
# of the directory itself.  She can access any file (file
# permissions permitting) if she knows its name.  She can
# create new files, or rename/delete existing ones.
d-wx------  1 reegen    reegen          4096 Jan 01 2003  dir

# Reegen cannot create or delete any files in this directory.
# She can access any file (permissions permitting) if she
# knows its name already.
d--x------  1 reegen    reegen          4096 Jan 01 2003  dir

Hacking Linux Exposed makalesinde daha fazla bilgi var .

Gönderen Robert Aşk kitabı 'LINUX Sistem Programlama' bölüm 1 bölüm izne

Bir dosyaya veya dizine erişen herhangi bir işlem için önce dosyanın veya dizinin yolunu çözmesi gerekir. Çözünürlük, kullanıcının son yol bileşeni hariç, yol boyunca tüm dizinlerde izin çalıştırmasını gerektirir. Bu nedenle, dizinler için yürütme bitinin "çözülebilir" anlamına geldiğini düşünebilirsiniz.

Örnek olarak yol alın /a/b/c.txt, kullanıcının 1) üzerinde /ve üzerinde /a; 2) üzerinde okuma izni var /a/b; 3) okuma ve yazma izni /a/b/c.txt.

• Kullanıcı /aokuma izni vermeyecektir , çünkü okuma izni yoktur. Ancak yol çözünürlüğü başarısız olmaz.

• Kullanıcı (listeyi) okumak mümkün olacak /a/bkullanıcı izni yürütmek olduğundan, /, /ave üzerinde okuma izni /a/b. Okurken /a/b, dosya adının c.txtgörünür olduğunu, ancak meta verilerin (örn. Dosya boyutu) ve içeriğin bulunmadığını, çünkü dosya adının dosyayla değil, dosyayla aynı dizinde, ancak meta verilerin dosya dizininde saklandığını unutmayın.

• Kullanıcı okumak için başarısız olur /a/b/c.txt, yolu çözümlerken, çünkü /hiç /aiçin /a/b, en başarısız /a/bkullanıcı yürütme iznine sahip olmadığı için.

Ayrıca bir yol adının bir dosyaya nasıl çözümlendiğine bakın .

Faydalı bir benzetme, her dosyayı bir kitap, her bir dizini de kitapların tutulduğu bir oda olarak düşünmektir.

Bir odadaki tüm isimleri listeleyebilmek için kurallar vardır: dizinler için okunan bit. Bir kitabı odadan çıkarma kuralları: dizinler için yazma biti. Ve bir odaya girip keşfetmek için kurallar: elde edilen dizin bit'i çalıştırır.

Bu kurallar her kitap için kurallardan ayrı ve farklıdır. Birinin bir kitap açmasına ve içeriğini okumasına izin vermek için kurallar vardır: her dosyanın okuma biti (ler) i. Bir kitabın içeriğini değiştirmek için kurallar vardır: her dosya için yazma bit (ler) i. Ve bir dosyayı çalıştırmak için: her bir dosya için çalıştırma bit (ler) i.

Bit (ler) yazarım çünkü her eylem için üç bit vardır. Sahibi için bir okuma biti, gruplar için bir okuma biti ve diğerleri için bir okuma biti var (diğerleri). Bu üç bitten herhangi biri belirli bir kullanıcı için ayarlanmışsa, bu kullanıcı aktif okuma biti vardır. O biraz yoluyla aktif olduğu bulunmuştur nasıl fark etmez u ser veya g RUBU veya o aynı etkili sonuçları vardır ther.

Böylece, bir kullanıcının bir odaya girmesine ve kitapları kütüphaneden çıkarmasına izin verilebilir, ancak aynı kitabın içeriğini okumasına izin verilmez.

Bu nedenle dizinler için okuma biti gereklidir: oda içeriğini kimlerin listeleyebileceğini kontrol etmek için (kitap başlıkları).

Ve yürütme biti, kitap odasına kimlerin girebileceğini kontrol etmek için kullanılır.

Yürütme dizini için anlamı oldukça açıktır. Traverse izni olmadığından, Windows'un aksine bir şeyi aşırı yüklemelisiniz. Tasarımcılar, Yürütmeyi seçtiler, bu sonsuz karışıklığa neden oluyor. Bir bilgisayar güvenlik görevlisi olarak, Gerçekleştirmek niyetinde olmadığınız bir şey için Yürütme haklarını atama, çok tehlikeli görünüyor.