Setuid设置和Solaris操作系统安全

羊肉泡妞

Setuid设置和Solaris操作系统安全
        在Solaris中,文件除了读、写、执行权限外，还有一些特殊权限。 Setuid和setgid是其中的一类。它与Solaris系统的安全关系紧密。
        Setuid是指设置程序的有效的执行用户身份（uid）为该文件的主人，而不是调用该程序的进程的uid。Setgid与之类似。Setuid和setgid用ls –l显示出来为s权限，存在于主人和属组的执行权限的位置上。
        这种权限的设置方法如下：
只设setuid：        chmod 4xxx filename  (xxx为一般读、写、执行权限)
只设setgid：        chmod 2xxx filename
同时设setuid和setgid： chmod 6xxx filename
取消两种权限：        chmod 0xxx filename
        这种权限怎么用？
举个例子来说，假如某一命令（程序）的主人是root用户，并且该文件有setuid属性，但是该文件的读、写、执行权限的属性表明普通用户user1可以执行该命令，那么就表示：当该用户执行该命令时，他具有root的执行身份，并获得相应的权限。一旦该命令执行完成，该身份也随之消失。
为什么系统中需要有这样的权限呢？请执行以下操作：
1. $ ls –l /etc/shadow  /bin/passwd
-r-sr-sr-x    3  root   sys   99792   1999  2月 12   /bin/passwd
-r--------    1  root   sys     261     1月 3 13：12 /etc/shadow
/etc/shadow文件由于存有用户的加密口令信息，对系统的安全至关重要，因此权限很严，只有root凭其对系统的至高无上的权限才得以对/etc/shadow可读可写。但是系统必须允许普通用户也能修改自己的口令。要让他们对/etc/shadow可写，又不能可读，而且可写又不能允许他们改别人的口令，怎么办？系统就采取这样一个办法：做一个程序， 也就是/bin/passwd，通过它可以在不显示文件内容的情况下直接修改/etc/shadow文件。可是这个程序怎么能有这样的权限？因为系统赋予它setuid权限，而且它属于root.这样，用户在使用/bin/passwd改口令时就有root权限.由于/bin/passwd命令本身功能的局限性，用户并不能用它做更多的不利于系统安全的事。
2. 用普通用户身份修改口令
$ passwd
Enter login password: ****
New password:******
Re-enter new password:******
Passwd(SYSTEM): passwd successfully changed for xxx .
可以成功。
        3. 用超级用户修改/bin/passwd的权限
        # chmod 0555 /bin/passwd
        4. 再重复2，是否还成功？当然不。
        5．把/bin/passwd的权限恢复原状。
        # chmod 6555 /bin/passwd

对此可以打一个生动的比喻：有一个绝密机关，不得已必须有一些不能见这些秘密的人进来做一些事情。于是授权一些特殊的“车辆”（没有窗户，门紧闭，所以看不到外面。只有一个小洞允许乘坐的人伸出一只手臂），带着所乘坐的人开到要去的地方，允许它办完事情马上带他出来。这样是不是很安全？不一定。如果“车辆”没有经过精挑细选是有很多“门窗”，那系统可就危险了。
这种安全威胁在Solaris中也有可能出现。比如做一下下面这个实验：
6. $ vi /etc/shadow
/etc/shadow: Permission denied.
7. 用超级用户身份
# chmod 6555 /bin/vi
# chown root /bin/vi
8. 这次再用普通用户身份试一试第6步，有什么结果？这次你能以普通用户身份修改/etc/shadow了！！但是
$ more /etc/shadow仍然不成功，说明在执行/bin/passwd时有超级用户权限，平时仍是普通用户身份。

        再来看一个令人不安的情况：
        9．用超级用户身份
        # chmod 6555 /bin/ksh
        # chown root /bin/ksh
10. 用普通用户身份
$ ksh
#
发生了什么情况？？普通用户不需要root口令就变成了root！！！
好可怕。如果有一个用户曾有一次获得超级用户权限，并通过类似的方式给自己设置了后门（也可能放了一个类似的文件在他自己的家目录中），以后他就可以随时变成超级用户了。
怎么能避免setuid的不安全影响，又利用其方便的地方？这里有几点建议：
关键目录应严格控制写权限。比如/，/usr等。
对不管是root帐号还是普通用户帐号的保密都有足够的重视。最好不要设置类似于guest、public、test之类公用的容易猜出口令的帐号。
对系统中应该具有setuid权限的文件作一列表，定时检查有没有这之外的文件被设置了setuid权限。
下面有一个自己编的小程序与大家分享。
程序功能描述：检查有没有/usr/secu/masterlist文件记录之外的其它文件被设置了setuid权限
事先要求：在系统调试完成，所有需要安装的软件安装好以后，执行下面命令生成检查对照文件
# mkdir –p /usr/secu
# find / -perm –4000 –print >; /usr/secu/masterlist
程序：
cd /tmp
[ -f secrcheck ] &&  rm secrcheck  find / -perm -4000 -print >;secrcheck  for f in `cat secrcheck`  do grep -w $f /usr/secu/masterlist >;/dev/null           if [ "$?" != "0" ]; then   echo $f is not in list
fi   done
rm secrcheck  在需要对系统做检查时，执行本shell程序。也可以放在定时进程中定时检查。程序由于需要在整个文件系统中做查找操作，需要比较长的时间。
        请您作完本文中的实验后，别忘把文件的权限改回原状。

ralph55

楼住， 请教cd /tmp
[ -f secrcheck ] &&  rm secrcheck  find / -perm -4000 -print >;secrcheck  for f in `cat secrcheck`  do grep -w $f /usr/secu/masterlist >;/dev/null           if [ "$?" != "0" ]; then   echo $f is not in list
fi   done
rm secrcheck
能给解释解释吗？ 不胜感激
[ -f secrcheck ] &&  rm secrcheck      secrcheck 存在不存在， 如存在  删除。
find / -perm -4000 -print >secrcheck       这句就算了。。
for f in `cat secrcheck`  do grep -w $f /usr/secu/masterlist >;/dev/null           if [ "$?" != "0" ]; then   echo $f is not in list
fi   done
这一句能不能帮我详细的解释一下， 我是指细节，，不胜感激。。 晚上看有无回贴。。呵呵
shell编程正在学习中。。。

tramax

for f in `cat secrcheck`  
do
  grep -w $f /usr/secu/masterlist  > /dev/null       精确匹配,grep出来的东西不显示.   
  if [ "$?" != "0" ]                                                  grep不到就显示 is not in list
  then   echo $f is not in list
  fi   
done

welcome008

为什么系统中需要有这样的权限呢？请执行以下操作：
1. $ ls –l /etc/shadow  /bin/passwd
-r-sr-sr-x    3  root   sys   99792   1999  2月 12   /bin/passwd
-r--------    1  root   sys     261     1月 3 13：12 /etc/shadow
问：
但我们看到只有owner和group才有s权限，那other，也就是一般普通用户的权限是x,那么怎么可以提升root权限呢？谢谢。

wangyl1977

顶! 写得不错,比喻得更不错!!