Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- admin_grundlagen:dateirechte [2020/12/08 09:29] – [Beispiel: Gruppenzugehörigkeiten kleben am Prozess länger als man denkt] holger_jakobs
+++ admin_grundlagen:dateirechte [2021/02/17 10:55] (aktuell) – [Übung: Weniger Rechte für Eigentümer und Gruppe] ingo_wichmann
@@ Zeile 21: / Zeile 21: @@
   * Dateien die Berechtigung ''%%rw- r-- -w-%%'' und
   * Verzeichnisse die Berechtigung ''rwx r-x -w-''
-bekommen.
+bekommen?
 ====== Befehle Dateirechte ======
 ^ Dateizugriffsrechte betrachten |
@@ Zeile 99: / Zeile 99: @@
 ====== Übung: Weniger Rechte für Eigentümer und Gruppe ======
-Erzeuge eine Datei ''/tmp/datei356'' mit folgendem Inhalt:
+Erzeuge ein Verzeichnis ''/srv/open'' mit großzügigen Berechtigungen:
-<file txt /tmp/datei356>
+  mkdir -m 777 /srv/open
+Erzeuge eine Datei ''/srv/open/datei356'' mit folgendem Inhalt:
+<file txt /srv/open/datei356>
 #!/bin/bash
 echo executable
@@ Zeile 106: / Zeile 108: @@
 Setze die Berechtigungen zu ''356'':
-  chmod 356 /tmp/datei356
+  chmod 356 /srv/open/datei356
 Wer darf was?
@@ Zeile 115: / Zeile 117: @@
 Tip:
-Das Schreiben von Dateien kann man zerstörungsfrei mit
+Das Lesen (''r'') von Dateien kann man mit
-  >> /tmp/datei356
+  head -0 /srv/open/datei356
+testen. ((''head -0'' zeigt die ersten 0 Zeilen, also nichts, aber öffnet die Datei. Im Fehlerfall erscheint eine Meldung. ))
+Das Schreiben (''w'') von Dateien kann man zerstörungsfrei mit
+  >> /srv/open/datei356
 testen.
-Das Lesen von Dateien kann man mit
-  tail  /tmp/datei356
-  head -0 /tmp/datei356
-testen. ''head -0'' zeigt die ersten 0 Zeilen, also nichts, aber öffnet die Datei. Im Fehlerfall erscheint allerdings eine Meldung, die man ggf. umlenken muss, wenn einem der Exit Status genügt.
 ((
   sysctl fs.protected_regular
@@ Zeile 130: / Zeile 131: @@
 https://www.kernel.org/doc/Documentation/sysctl/fs.txt:
 //This protection is similar to protected_fifos, but it
-avoids writes to an attacker-controlled regular file, where a program
+avoids writes to an attacker-controlled regular file, where a program expected to create one.
-expected to create one.
 When set to "0", writing to regular files is unrestricted.
-When set to "1" don't allow O_CREAT open on regular files that we
+When set to "1" don't allow O_CREAT open on regular files that we don't own in world writable sticky directories, unless they are owned by the owner of the directory.
-don't own in world writable sticky directories, unless they are
-owned by the owner of the directory.
 When set to "2" it also applies to group writable sticky directories.//
 ))
+Das Ausführen (''x'') kann man testen, in dem man
+  /srv/open/datei356
+ausführt.
 ====== Beispiel: Gruppenzugehörigkeiten kleben am Prozess länger als man denkt ======
   groupadd projekt
@@ Zeile 165: / Zeile 164: @@
   ls -l /home
-Daher sollte man nach dem Löschen einer Benutzerkennung sämtliche Dateien, die diesem Benutzer gehörten, als ''root'' übernehmen oder einem anderen, für diesen Zweck erstellten technischen Benutzer übereignen.
+Daher sollte man vor oder nach dem Löschen einer Benutzerkennung sämtliche Dateien, die diesem Benutzer gehörten, als ''root'' übernehmen oder einem anderen, für diesen Zweck erstellten technischen Benutzer übereignen.
 ====== Beispiel: SUID-Bit Dateien finden und SUID-Bit dauerhaft entfernen ======
 SUID-Bit Dateien finden (als root):