Auto chmod 777

[DeQu]

Hei!

 

Lurte egentlig bare på om det er mulig å gjøre det sånn at når jeg/serveren oppretter en mappe så blir den automatisk chmoddet til 777?

 

Har en "hard time" pga dette iom at jeg har endel andre brukere som ikke har rettigheter til å endre dette selv, og ønsker ikke å gi dem root rettigheter.

 

kjører forresten Ubuntu

 

Så hvis noen vet hvordan man fikser dette så blir jeg kjempe glad!

Endret 12. september 2010 av DeQu

[*F*]

Hvis du har en mappe som 777 tror jeg alle undermapper blir satt til chmoddet til 777 automatisk. (Usikker, men tror det er slik)

[hockey500]

du kan hvertfall starte med å sette umask til 000 i /etc/profile

[Varj]

777 er en idiotisk ting å bruke, lag heller fornuftige grupper.

[Kaptein...]

777 er en idiotisk ting å bruke, lag heller fornuftige grupper.

 

Er nå egentlig enig. Men om han har 2 eller 3 nære venner som bruker dette kan jeg ikke se noen problemer i å gi de fulle rettigheter. Regner med at det er snakk om en FTP server eller noe lignende :-)

 

Det du kan gjøre er å lage en liten simpel cron-script-combo. Cron er i linux en planlagt oppgave med fast intervall. Lag et script som sier "chmod -R 777 /foo" og opprett en cron job som kjører dette som en fast intervall.

 

 

Lykke til :-)

Endret 12. september 2010 av Kaptein...

[Sokkalf™]

umask 0

Så kan du opprette filer/mapper med fulle rettigheter så mye du orker.

 

 

Noen god idé syns jeg derimot ikke det er. Som Varj påpeker, er det en fordel å lære seg hvordan man bruker users/groups.

[DeQu]

Takker for svar! skal prøve

 

Varj: Er ikke en web server filene ligger på. Faktisk er det helt "umulig" å manipulere dem på noen måte om du ikke er autorisert bruker. Grunnen til at jeg vil ha 777 er pga det er til en game server, og serveren tillater tydeligvis ikke at game serveren skriver og kjører filer.

 

Hadde det vært en web server ville jeg selvfølgelig ikke auto chmoddet 777 på filer og mapper gud og hver mann har tilgang til.

[Sokkalf™]

Likevel er 777 "overkill" i de fleste situasjoner.

 

Si at du er eieren av denne "gameserveren" (Altså, brukeren som eier fila/filene), og den ligger i mappen "~/gameserver" :

 

groupadd gameadmins
usermod -a -G gameadmins dittbrukernavn
usermod -a -G gameadmins bruker1
usermod -a -G gameadmins bruker2
usermod -a -G gameadmins bruker3

chown -R dittbrukernavn:gameadmins ~/gameserver
chmod 774 ~/gameserver
chmod g+s ~/gameserver

(chmod g+s gjør at filer som blir opprettet i denne mappen "arver" gruppetilhørigheten)

 

Vips, så har du, bruker1, bruker2 og bruker3 full tilgang, mens evt. andre brukere har read-only-tilgang.

 

777 er kanskje "nok" i ditt tilfelle, men dette er fornuftig å lære seg.

[cyclo]

Varj: Er ikke en web server filene ligger på. Faktisk er det helt "umulig" å manipulere dem på noen måte om du ikke er autorisert bruker. Grunnen til at jeg vil ha 777 er pga det er til en game server, og serveren tillater tydeligvis ikke at game serveren skriver og kjører filer.

 

Hadde det vært en web server ville jeg selvfølgelig ikke auto chmoddet 777 på filer og mapper gud og hver mann har tilgang til.

At det ikke er en webserver filene ligger på spiller ingen rolle. Det er en rekke tjenester som kjører på en standardmaskin som kan utnyttes. Det er langt i fra "umulig" å manipulere dem, det er faktisk ganske sannsynlig at noen "manipulerer" dem. ftp, ssh, mail, smb, etc, etc, er eksempler på tjenester (som du garantert kjører en del av) som kan utnyttes. Har brukerne dine trygge passord? Virkelig trygge? Passord kan brute forces.

 

Regelen er ganske enkel: Har maskinen nettilgang, ikke bruk 777-rettigheter. 777-rettigheter kan til nøds brukes på en maskin som ikke er på nett, men det finnes ikke noen grunn til det.

 

Jeg har kjørt GNU/Linux-server siden slutten av 90-tallet, og brukt GNU/Linux på desktopen de siste 5-6 årene, og jeg har aldri opplevd en situasjon hvor 777-rettigheter var påkrevd (med unntak av de første par årene da jeg egentlig ikke visste hva jeg holdt på med). Derimot har jeg sett hvor ille det kan gå når 777 brukes.

 

Det tar kanskje en halvtime ekstra å sette opp fornuftig bruk av grupper og rettigheter de første par gangene man gjør det, men den halvtimen er ingenting i forhold til arbeidet man må legge ned når serveren blir tatt av noen.

 

 

Det var dagens lille "rant" fra min side Lykke til med prosjektet.

 

Er nå egentlig enig. Men om han har 2 eller 3 nære venner som bruker dette kan jeg ikke se noen problemer i å gi de fulle rettigheter. Regner med at det er snakk om en FTP server eller noe lignende :-)

Og alle nettjenere kjører tjenester, som f. eks. ja, nettopp, FTP. Og da er man ikke trygg. Han gir ikke fulle rettigheter til et par nære venner, han gir potensielt rettigheter til hele verden.

[DeQu]

Aha,

 

takker sokkalf

 

cyclo: Takker for svar! Men er det virkelig så utrygt å opprette filer og mapper (som ikke er av viktig betydning) i en folder som /home/username/gameserver1/ som er chmoddet 777?

Når jeg i tillegg har gjort det sånn at brukeren som har tilgang til mappen ikke har tilgang til å se "høyere" mapper eller hva jeg skal si.

 

Men greit, kan ærlig innrømme at 777 er å ta litt hardt i. Skal prøve det sokkalf kom med, så får vi håpe jeg slipper kapring av filer!

[cyclo]

cyclo: Takker for svar! Men er det virkelig så utrygt å opprette filer og mapper (som ikke er av viktig betydning) i en folder som /home/username/gameserver1/ som er chmoddet 777?

Når jeg i tillegg har gjort det sånn at brukeren som har tilgang til mappen ikke har tilgang til å se "høyere" mapper eller hva jeg skal si.

Problemet er at du gir en hvilken som helst bruker med tilgang til maskinen (også brukerne som benyttes for å kjøre bakgrunnsprosesser slik som ftp, ssh, etc, etc) mulighet for å endre en fil, og deretter kjøre samme filen, og det kan medføre mye skummelt.

 

Et helt trivielt og kanskje ikke så farlig eksempel:

echo -e "#!/bin/bash\nrm -rf /home" > /home/username/gameserver1/enelleranneneksisterendefil;/home/username/gameserver1/enelleranneneksisterendefil

og vips er alle filene til alle brukerne som username har skriverettigheter til borte.

 

Dette kan også utnyttes av utenforstående ved å finne feil i en av tjenestene som kjører på maskinen (f. eks. ftp serveren).

 

Så tar vi et ikke så kult eksempel (bare sånn for å skremme litt ):

echo -e "#!/bin/bash\nwget --mirror –w 2 –p http://snusketebarnepornoside" > /home/username/gameserver1/enelleranneneksisterendefil;/home/username/gameserver1/enelleranneneksisterendefil

Noen angriper din ftp-server (eller ganske enkelt bruteforcer en av dine brukeres passord) for å kjøre kommandoen over. Vips er du i en veldig klein og ukul situasjon.

 

Husk at de aller aller fleste som er ute etter å få uautorisert tilgang til en maskin er på ingen som helst måte ute etter å ødelegge den maskinen. De er ute etter å få delvis kontroll over maskinen uten at du merker det, slik at maskinen kan brukes til noe ulovlig (spam, barnepornografi, piratkopiering, visakortsvindel, mv). Det er veldig veldig vanlig at folk tenker "hvorfor skulle noen bry seg om å bryte seg inn på maskinen min? Jeg har jo ikke noe hemmelig der", men er ikke klar over at det er nettopp slike maskiner man ønsker tilgang til. Jo mindre du bryr deg om maskinen din, jo større sjanse er det for at et innbrudd går udetektert og maskinen kan brukes til snusk.

Endret 15. september 2010 av cyclo

[DeQu]

Tatt til ettertanke! Heretter blir det ikke mer 777 på meg

 

Men fortsatt, skal prøve å sette det opp som du foreslo tidligere !

 

Hjertelig takk for alle svar!

[Øsse]

(chmod g+s gjør at filer som blir opprettet i denne mappen "arver" gruppetilhørigheten)

 

Hva er forskjellen mellom å bruke chmod s og å sette umask på mappen?

[Sokkalf™]

Forskjellen er at når setgid (som settes med chmod g+s) er satt på en mappe, så vil nye filer/undermapper som blir opprtettet i denne arve gruppetilhørigheten til mappen.

 

"By default" vil gruppetilhørigheten bli satt til primærgruppen til den brukeren som oppretter filene/mappene.