OTOthoTools
Language
enen-AUen-GBen-CAdede-CHithipt-BRnlno
◇

Rettighetsinspektør

Forklar oktale tillatelser
Resultatsymbolsk
rwxr-x---
  • ✓Ingen kritiske problemer funnet

Innledning

Rettighetsinspektøren dekoder en oktal modus (for eksempel 0750) til symbolsk form og merker bitene som oftest betyr noe i sikkerhetsgjennomganger: verdensskrivbare tillatelser og setuid-biten.

Oktale moduser består av tre eller fire sifre, der hvert siffer er en sum av lese (4), skrive (2) og utføre (1) for én brukerklasse: eier, gruppe og andre. Et ledende fjerde siffer koder spesialbiter: setuid (4), setgid (2) og sticky (1).

Mål

  • Oversett enhver oktal modus med tre eller fire sifre til rwx-symbolsk notasjon.
  • Identifiser spesialbitene (setuid, setgid, sticky) når de er til stede.
  • Merk verdensskrivbare tillatelser med høy alvorlighetsgrad og setuid som en advarsel.

Inndata

  • En oktal modus med tre eller fire sifre, for eksempel 0750 eller 644.
  • Sifrene må være 0–7; bokstaver eller symboler avvises.

Slik fungerer det

Verdien utfylles til fire sifre (0750 blir 0750, 644 blir 0644). Hvert siffer dekomponeres til sine lese-/skrive-/utføre-biter: for eksempel 7 = rwx, 5 = r-x, 0 = ---.

Det første sifferet mapper til spesialbitene: 4 legger til suid, 2 legger til sgid, 1 legger til sticky.

Hvis klassen "andre" har skrivetillatelse (en 2, 3, 6 eller 7 i det siste sifferet), rapporterer verktøyet et høyt funn: enhver lokal bruker kan endre objektet. Hvis setuid er satt, ber en advarsel deg verifisere eierskap og integritet.

Testbart eksempel

Prøv det — analysen kjører lokalt i nettleseren din.

Eksempel

Modus: 4755

Forventet utdata

Symbolsk: suid rwxr-xr-x
Høyt: SUID er satt. Verifiser eierskap og integriteten til kjørbar fil.
Merk: eier- og gruppeklassene er ikke skrivbare av andre.

Les utdataene

  • Den symbolske linjen forteller deg nøyaktig hvem som kan lese, skrive og utføre.
  • En verdensskrivbar fil eller mappe (siste siffer 2, 3, 6 eller 7) betyr at enhver lokal bruker kan endre den — vanligvis en feil, med mindre det er en bevisst delt mappe som /tmp.
  • Setuid-kjørbare filer kjører med filens eiers rettigheter; en kompromittert setuid-binærfil er en vei til privilegieeskalering, så eierskapet må være root og den kjørbare filen må være pålitelig.

Risikoer

  • Verdensskrivbare filer tillater tukling fra enhver lokal konto, inkludert en kompromittert.
  • En uventet setuid-bit på en kjørbar fil som ikke eies av root, er en klassisk privilegieeskaleringsvektor.
  • En sticky-bit på /tmp er normalt; en sticky-bit andre steder kan være tilfeldig.

Begrensninger

  • Verktøyet tolker en modus, ikke en ekte fil — det kan ikke fortelle deg den faktiske eieren eller gruppen.
  • Det tar ikke hensyn til ACL-er (setfacl), som overstyrer den tradisjonelle rwx-modellen.
  • Advarsler om spesialbiter avhenger av kontekst; verktøyet kan ikke vite om en setuid-binærfil er tilsiktet.

Offisielle referanser

FAQ

Hva gjør spesialbitene?

setuid får et program til å kjøre med filens eiers identitet (vanligvis root); setgid gjør det samme for gruppen, og på mapper får det nye filer til å arve mappens gruppe; sticky-biten på en mappe begrenser sletting til fileieren (som på /tmp).

Hvorfor er 644 ofte greit for filer, men ikke 666?

644 gir eieren skrivetilgang og alle andre kun lesetilgang. 666 gjør filen skrivbar for alle — enhver lokal bruker kan erstatte eller endre den.

Sjekker verktøyet den ekte filen?

Nei. Lim inn en modus for å forstå den; bruk ls -l eller stat på den ekte filen når du reviderer systemet ditt.