从原理到实践：深入探索Linux安全机制（一，阿里P8亲自教你

作者：花生_TL007 | 2024-05-27 09:28:06

踩

权限模式：

可以使用数字或符号来指定权限模式。

数字模式：数字模式使用三位数，每一位表示一个权限组（所有者、所属组、其他用户），其中每一位的值为 4（读权限）、2（写权限）和 1（执行权限）的组合。例如，755 表示所有者具有读、写和执行权限，所属组和其他用户具有读和执行权限。
符号模式：符号模式使用类似于 u+rwx、g+rw、o-x 的格式来指定权限。u 代表所有者，g 代表所属组，o 代表其他用户，+ 表示添加权限，- 表示移除权限，r 表示读权限，w 表示写权限，x 表示执行权限。例如，chmod u+rwx file.txt 表示给文件 file.txt 的所有者添加读、写和执行权限。

示例：

将文件 file.txt 的所有者和所属组的权限设置为读写，其他用户无权限：

chmod 660 file.txt

将文件夹 dir 及其子文件夹的所有者、所属组和其他用户的权限设置为读写执行：

chmod -R 777 dir

给文件 script.sh 的所有用户添加执行权限：

chmod a+x script.sh

给文件 file.txt 的所有者和所属组添加读权限，其他用户移除所有权限：

chmod u+r,g+r,o-rwx file.txt

2、在 CentOS 7 中，chown 命令用于修改文件或目录的所有者。

使用方式：

chown [选项] 新所有者文件/目录

常用选项：

-R：递归地修改文件夹及其子文件夹的所有者。
-v：显示每个修改后的文件/目录的所有者。

示例：

将文件 file.txt 的所有者修改为 fanfu：

chown fanfu file.txt

将目录 dir 及其子目录的所有者修改为 fanfu，同时显示修改过程：

chown -Rv fanfu dir

将文件 file.txt 的所有者和所属组修改为 fanfu 和 yzxa：

chown fanfu:yzxa file.txt

chmod 和 chown 是两个在 CentOS（以及其他 Linux 发行版）中常用的命令，用于修改文件或目录的权限和所有者，功能上很相近，但是还是有区别的：

chmod 命令：

作用：chmod 命令用于修改文件或目录的权限。
使用方式：chmod 命令后面跟着权限模式和要修改权限的文件或目录路径。
权限模式：可以使用数字（例如 755）或符号（例如 u+rwx）来指定权限模式。
数字模式：数字模式使用三位数，每一位表示一个权限组（所有者、所属组、其他用户），其中每一位的值为 4（读权限）、2（写权限）和 1（执行权限）的组合。例如，755 表示所有者具有读、写和执行权限，所属组和其他用户具有读和执行权限。
符号模式：符号模式使用类似于 u+rwx、g+rw、o-x 的格式来指定权限。u 代表所有者，g 代表所属组，o 代表其他用户，+ 表示添加权限，- 表示移除权限，r 表示读权限，w 表示写权限，x 表示执行权限。

chown 命令：

作用：chown 命令用于修改文件或目录的所有者。
使用方式：chown 命令后面跟着新的所有者和要修改所有者的文件或目录路径。
所有者：可以使用用户名或用户 ID（UID）来指定新的所有者。

总的来看，chmod 用于修改文件或目录的权限，而 chown 用于修改文件或目录的所有者。它们是不同的命令，用途和参数也不同。在实际应用中，我们可以根据需要选择使用 chmod 或 chown 来对文件或目录进行相应的权限和所有者的修改操作。

SELinux

SELinux（Security-Enhanced Linux）和 AppArmor 都是用于强化 Linux 系统安全性的安全模块，它们提供了额外的安全层来限制程序和进程的权限，以减少系统受到恶意攻击的风险。

它是由美国国家安全局（NSA）开发的安全模块，旨在提供强大的访问控制机制，通过强制访问控制（MAC）实现对系统资源的细粒度控制。SELinux基于安全策略规则，可以限制程序、进程和用户对文件、网络资源以及其他系统资源的访问权限，从而减少潜在的安全漏洞。SELinux的灵活性很高，但配置和管理相对复杂，想要熟练掌握有一定难度。然而这并妨碍你来了解它，如果在使用Linux系统中，遇到一些棘手的问题，这个地方也是一个排查方向。

这里可以先从以下几个方面来理解一下SELinux的工作原理：

安全策略：

SELinux 使用安全策略来定义系统资源和对象之间的访问规则。这些安全策略由 SELinux 策略库（Policy）管理，其中包括了对文件、进程、网络端口等各种资源的访问规则定义，以及用户角色和安全上下文等信息。

安全上下文：

在 SELinux 中，每个对象（如文件、进程）都有一个安全上下文，用于描述该对象的安全属性。安全上下文由标签表示，包括了对象的类型（Type）、角色（Role）和用户（User）等信息。这些安全上下文决定了对象可以执行的操作和被允许的访问权限。

强制访问控制：

SELinux 引入了强制访问控制（MAC），通过强制执行安全策略来限制系统资源的访问。即使用户具有足够的权限（如 root），也无法绕过 SELinux 对资源的访问控制。这种强制控制确保了系统的安全性，减少了恶意软件和攻击的影响范围。

安全上下文转换：

当进程或程序尝试访问某个资源时，SELinux 会根据安全上下文进行访问权限的检查。如果需要访问的资源与进程的安全上下文不匹配，SELinux 可能会进行安全上下文的转换，以确保访问的合法性。

日志和审计：

SELinux 提供了完善的日志和审计功能，可以记录系统中发生的安全事件和违反安全策略的行为。这些日志信息对于系统管理员来说是非常有价值的，可以帮助其监控系统的安全状况，并及时采取措施应对潜在的安全威胁。

以我个人经验来看，在日常工作来说，SELinux的安全策略管理是一个非常重要的地方，之前在搭建vsftp服务的时候，遇到的问题就是vsftp的配置正常，但是无法实现匿名用户的访问、文件上传，经过排查发现原因是SELinux的安全策略中，允许匿名用户写入的权限是关闭的，后来把这个权限打开，问题迎刃而解。因此，我觉得，如果能够掌握SELinux安全策略的基本管理，还是比较实用的。这里就给大家分享一下SELinux安全策略管理常用工具和命令的用法：

1、sestatus

sestatus命令可以查看当前 SELinux 的状态和基本信息，包括是否启用、当前模式等。

sestatus