2

システム管理者から、ファイルやディレクトリへのアクセス制御を設定するときは注意するようにアドバイスされています。彼は私に例を示し、私は混乱しました。これは、保護モード 730 のディレクトリに含まれる保護モード 644 (8 進数) のファイルです。つまり、次のことを意味します。

  • ファイル: 110 100 100 (所有者、グループ、その他: rw- r-- r--)
  • ディレクトリ: 111 011 000 (所有者、グループ、その他: rwx -wx ---)

この場合、どのようにファイルが危険にさらされる可能性がありますか?

4

2 に答える 2

9

それはあなたが「妥協」とは何を意味するかによって異なり、誰がグループに属しているかによって異なります。

ディレクトリのアクセス許可は重要です。グループのメンバーはディレクトリ('x')にアクセスでき、ディレクトリ('w')を変更できるため、ディレクトリを一覧表示できなくても('r'はありません)、グループのメンバーがファイルの名前。ファイルを削除するにはディレクトリへの書き込み権限が必要なため、その人もファイルを削除できます。ファイルの権限は重要ではありません(「rm」などのコマンドは、書き込み権限がない場合に通知します。 'unlink()'システムコールには関係ないので、これは礼儀です。

したがって、グループのメンバー(より正確には、ディレクトリが属するグループのメンバー)は、ファイルの名前を知っていれば、ファイルを削除できます。また、名前がわかっている場合はファイルを読み取ることができ、元のファイルが既に欠落している場合は同じ名前のファイルを作成できます。ファイルのアクセス許可から、ファイルを読み取ることができることは妥協していないように見えます。それが重要な場合は、グループ読み取りアクセス(およびパブリック読み取りアクセス)を拒否しているはずです。

グループメンバーはファイルを変更できませんが、ファイルを削除して同じ名前で新しいファイルを作成できるため、結果は基本的にファイルを変更できるのと同じであることに注意してください。主な違いの1つは、そのユーザーがファイルを所有するため、どのユーザーがいたずらをしたかがわかることです。(まあ、そのユーザーIDにアクセスできる誰かがいたずらをしました。)

于 2010-03-14T21:49:59.033 に答える
1

ディレクトリは書き込み可能であるため、攻撃者がディレクトリ所有者のグループに属している場合、ファイルは単純に別のファイルで上書きされる可能性があります。

于 2010-03-14T21:16:44.533 に答える