Як запобігти новому користувачеві робити щось небезпечне?

Нещодавно я встановив сервер Ubuntu на свій сервер, щоб спробувати Linux як новий користувач. Я слідував підручником про те, як налаштувати веб-сервер, який сказав, що мені потрібно до chmod 777реєстру веб-сервера, щоб він міг записатись.

У всякому разі, я створив новий обліковий запис для одного чувака, щоб він міг бачити деякі файли на сервері, які я розмістив у його домашньому режимі:

adduser francis

Після створення облікового запису я перевірив, який у нього доступ

groups francis

Він сказав "francis: francis", тому я не вважав проблемою, що ubuntu не включив його до жодної групи за замовчуванням, що має сенс, він створив його без додаткових дозволів з точки зору безпеки, тому все добре і денді. Через тиждень, в абсолютному і жахливому жаху, я виявив, що, хоча він не міг робити такі речі, як SUDO або заплутатися в системних каталогах, він мав повний доступ до майже всього іншого на сервері. Наприклад, він мав повний доступ для читання / запису до файлів мого веб-сервера за адресою / var / www (і, таким чином, паролі, що зберігаються у файлах конфігурації php тощо), хоча цей каталог НЕ в його домашній каталог, і я ніколи не додавав його до жодної групи, яка могла б отримати доступ до цього каталогу, і я не надав йому спеціального доступу до чого-небудь після того, як робив аддудера.

У будь-якому випадку, що тут відбувається? Як я вбиваю його доступ до чогось важливого? Він не повинен мати доступ до таких матеріалів, як / media або / var / www. Я подумав, що новим користувачам за замовчуванням заважають робити щось небезпечне або судити там, де вони не повинні бути.

Отже, підсумовуючи, мені потрібно лише дозволити йому доступ до каталогів, які я вручну вказую + до каталогів, які йому потрібні для належного функціонування (його домашній dir, vim, nano тощо.)

Дякую

Це як розроблено. І гірше. chmod 777 означає ... "Я хотів би, щоб власник, хтось із його групи, і хто-небудь взагалі читав, писав та виконував дозволи"

Що досить страшно.

А для веб-сервера 777 не є оптимальним. 755 (Власник має повну групу дозволів, а інші читають і виконують) - це звичайний типовий засіб, але з того, що ви сказали, хочете принаймні читати-писати або виконувати читання-запис для власника (користувача веб-сервера), а може бути група та жодних дозволів для користувача. Є більш повні питання щодо відповідних рівнів дозволів на сервері за замовчуванням, але розглянемо щось на зразок 640 або 740.

проте, ви також можете помістити користувача в його маленький світ - налаштування chroot, щоб утримувати користувача в його просторі в системі. Для цього плавають путівники - наприклад , відмінна відповідь Олі, яка може бути варіантом залежно від ваших потреб.

По суті, він розпадається так:

R = 4 (read)
W = 2 (write)
X = 1 (execute)

Отже, дозволів на читання було б лише 4, читання та запис було б 6, читання та виконання було б 5, а все (читання, запис, виконання) - це 7. Ось як ви обчислюєте значення октету дозволу для власника, групи власника , або всі.

При застосуванні цих дозволів chmodдо місця розташування файлів чи каталогів наведені вище числа обчислюються таким чином, як октет для кожного власника, групи та всіх:

     $ chmod _ _ _ <file or directory>
             | | |
owner--------  | |
owner's group--  |
everyone---------

Тож, якщо я хотів би дати собі та своїй групі читання, запис та виконання дозволів до папки, якою я володів, але я не хотів, щоб усі могли читати її, я б використав:

$ chmod 770 myDirectory

Для отримання додаткової інформації перегляньте головну сторінку для chmod :

$ man chmod

Як уже згадували інші, у вас не повинно бути дозволів 777

Ось корисний довідковий аркуш, який я використовую.

+-----+---+--------------------------+
| rwx | 7 | Read, write and execute  |
| rw- | 6 | Read, write              |
| r-x | 5 | Read, and execute        |
| r-- | 4 | Read,                    |
| -wx | 3 | Write and execute        |
| -w- | 2 | Write                    |
| --x | 1 | Execute                  |
| --- | 0 | no permissions           |
+------------------------------------+
You can use the octal notation, where the three digits correspond to the user, then group, then other. 
Perhaps this might help 
+------------+------+-------+
| Permission | Octal| Field |
+------------+------+-------+
| rwx------  | 700  | User  |
| ---rwx---  | 070  | Group |
| ------rwx  | 007  | Other |
+------------+------+-------+

Щоб ділитися файлами з людиною, якій ви зареєструвались, вам нічого не потрібно робити особливо. У установці Debian за замовчуванням користувачі мають доступ до домашніх каталогів один одного.

Наприклад,

$ ls -ld ~
drwxr-xr-x 65 zwets zwets 4096 Sep 29 12:06 /home/zwets

Дозволи в моєму домашньому каталозі читаються (r) та доступ (x) для будь-якого користувача в моїй системі. Тільки у мене додатково є доступ до запису (w) .

Крім того, за замовчуванням umaskUbuntu є такі, що файли та каталоги, які створюють користувачі, за замовчуванням читаються у всьому світі . Ви можете встановити , umaskщоб , 077якщо ви не хочете цього.

Що це означає, що в налаштуваннях за замовчуванням, якщо користувач youхоче поділитися ~/README.txtзі мною документом , то нічого youробити не потрібно. Я просто можу його переглянути:

$ who am i
zwets    pts/26       2016-09-29 08:05 (:pts/19:S.6)
$ ls -l ~you/README.txt
-rw-r--r-- 1 you you 24 Sep  8 11:23 /home/you/README.txt
$ cat ~you/README.txt
You's shared thoughts.

Я не можу редагувати або видаляти файл, але можу скопіювати його в місце, де я маю дозвіл на запис. Потім я володію копією:

$ echo "Adding my thoughts." >> ~you/README.txt
bash: /home/you/README.txt: Permission denied
$ rm ~you/README.txt
rm: remove write-protected regular file '/home/you/README.txt'? yeah!
rm: cannot remove '/home/you/README.txt': Permission denied
$ cp ~you/README.txt ~zwets
$ ls -l ~/README.txt
-rw-r--r-- 1 zwets zwets 24 Sep  29 14:09 /home/zwets/README.txt

Є вагомі причини, чому більшість системи за замовчуванням читається у всьому світі, як я пояснив в іншій відповіді на AskUbuntu . Однак у спільній системі може бути доцільним зробити домашні каталоги недоступними для власників:

$ chmod o-rwx ~
$ ls -l ~
drwxr-x--- 65 zwets zwets 4096 Sep 29 12:06 /home/zwets

... так як багато користувачів, мабуть, не знають про замовчування - QED ;-). Хоча було б розумніше зрозуміти користувачам, що дозволи файлів не захищають секрети.

У Ubuntu будь-який користувач має привілей суперусерів, які додаються до групи "sudo". Перевірте це, щоб у цій групі не було додано жодного іншого користувача.

Щоб захистити свої файли та каталогів від інших користувачів, ви можете встановити дозвіл, як запропонував містер Журнейман Гек у наведеній вище відповіді.

Ви також можете використовувати спеціальні дозволи для захисту своїх файлів та каталогів від інших.