Unix系統(tǒng)的安全策略之常用命令解析
umask命令
umask設(shè)置用戶文件和目錄的缺省屏蔽值,若將此命令放入profile文件,就可控制該用戶后續(xù)所建文件的存取許可。umask命令與chmod命令的作用正好相反,它告訴系統(tǒng)在創(chuàng)建文件時(shí)不給予某種存取許可。
cp、mv和cpio命令
cp命令拷貝文件時(shí),若目的文件不存在則將同時(shí)拷貝源文件的存取許可,包括SUID和SGID許可。新拷貝的文件屬拷貝的用戶所有,故拷貝別人的文件時(shí)應(yīng)小心,不要被其他用戶的SUID許可破壞自己的文件安全。
mv命令移文件時(shí),新移的文件存取許可與原文件相同,mv僅改變文件名。只要用戶有目錄的寫和搜索許可,就可移走該目錄中某人的文件且不改變其存取許可。若目錄許可設(shè)置不正確,則用戶的文件可被移到一個(gè)他不能修改和刪除的目錄中,將出現(xiàn)安全漏洞。
cpio命令用于將目錄結(jié)構(gòu)拷貝到一個(gè)檔案文件中,然后可再用cpio命令將該檔案文件轉(zhuǎn)成目錄結(jié)構(gòu)。
檔案文件存放每個(gè)文件的信息,包括文件所有者、小組用戶、***修改時(shí)間、***存取時(shí)間和文件存取許可方式。 cpio的安全約定如下:
根據(jù)檔案建立的文件保持存放于檔案中的存取許可方式。
從檔案中提取的每個(gè)文件的所有者和小組用戶設(shè)置給運(yùn)行“cpio -i”命令的用戶,而不是設(shè)置給檔案中指出的所有者和小組用戶。
當(dāng)運(yùn)行“cpio -i”命令的用戶是root時(shí),被建立的文件的所有者和小組用戶是檔案文件所指出的。
檔案中的SUID/SGID文件被重建時(shí),保持SUID和SGID許可,如果重建文件的用戶不是root, SUID/SGID許可是檔案文件指出的用戶/小組的許可。
文件加密
crypt命令可提供給用戶加密文件,該命令用一個(gè)關(guān)鍵詞將標(biāo)準(zhǔn)輸入的信息編碼為不可讀的雜亂字符串,送到標(biāo)準(zhǔn)輸出設(shè)備。再次使用此命令,用同一關(guān)鍵詞作用于加密后的文件,可恢復(fù)文件內(nèi)容。一般來(lái)說(shuō),在文件加密后,應(yīng)刪除原始文件,只留下加密后的版本,且應(yīng)牢記加密關(guān)鍵詞。
crypt程序可能被做成特洛依木馬,故不宜用口令作為關(guān)鍵詞。***在加密前用pack或compress命令對(duì)文件進(jìn)行壓縮，然后再加密。
【編輯推薦】
