Quyền chính xác cho / tmp là gì? Tôi vô tình thiết lập tất cả công khai đệ quy

Tôi đã lạm dụng sudo.

Tôi đã tạo một thư mục tạm thời thực sự ngắn mà tôi muốn chia sẻ giữa một số người dùng trong vài giờ ... và tôi đặt tên cho thư mục này /some/path/tmp

Thật không may, tôi đã đưa ra sudo chown 777 -R /tmpthay vì sudo chown 777 -R tmp, vì vậy /tmptập tin của tôi bây giờ hoàn toàn công khai.

Tôi sử dụng phổ biến /tmpkhá thường xuyên (mỗi ngày, gần như mỗi giờ) cho các tệp cuộc sống ngắn, tập lệnh, rất nhiều tập lệnh.

Nó có phải là một mối quan tâm bảo mật bây giờ khi nó hoàn toàn được đặt thành công khai? Tôi có nên thay đổi lại thành các cài đặt an toàn hơn hoặc như các cài đặt mặc định phổ biến cho bản phân phối Debian hoặc Ubuntu - (Tôi không biết chúng là gì)? Các quyền chính xác là /tmpgì?

Các cài đặt bình thường cho /tmplà 1777, lshiển thị là drwxrwxrwt. Đó là: mở rộng, ngoại trừ việc chỉ chủ sở hữu của một tệp có thể loại bỏ nó (đó là ý tnghĩa của bit bổ sung này cho một thư mục).

Vấn đề với /tmpchế độ 777 là người dùng khác có thể xóa một tệp mà bạn đã tạo và thay thế nội dung họ chọn.

Nếu bạn /tmplà một hệ thống tập tin tmpfs, khởi động lại sẽ khôi phục lại mọi thứ. Nếu không, chạy chmod 1777 /tmp.

Ngoài ra, rất nhiều tập tin /tmpcần phải ở chế độ riêng tư. Tuy nhiên, ít nhất một thư mục cực kỳ cần phải có thể đọc được trên thế giới: /tmp/.X11-unixvà có thể một số thư mục tương tự khác ( /tmp/.XIM-unix, v.v.). Lệnh sau chủ yếu nên đặt đúng mọi thứ:

chmod 1777 /tmp
find /tmp -mindepth 1 -name '.*-unix' -exec chmod 1777 {} + -prune -o -exec chmod go-rwx {} +

Tức là làm cho tất cả các tệp và thư mục riêng tư (loại bỏ tất cả các quyền cho nhóm và khác), nhưng làm cho tất cả các ổ cắm X11 có thể truy cập được. Kiểm soát truy cập trên các ổ cắm này được thực thi bởi máy chủ, không phải bởi các quyền của tệp. Có thể có các ổ cắm khác cần phải được công khai. Chạy find /tmp -type s -user 0để khám phá các ổ cắm thuộc sở hữu gốc mà bạn có thể cần để truy cập trên toàn thế giới. Cũng có thể có ổ cắm thuộc sở hữu của người dùng hệ thống khác (ví dụ: để giao tiếp với xe buýt hệ thống); khám phá với find /tmp -type s ! -user $UID( $UIDID người dùng của bạn ở đâu ).

/tmpvà /var/tmpnên đọc, viết và thực thi quyền cho tất cả mọi người; nhưng bạn thường sẽ thêm bit dính ( o+t), để ngăn người dùng xóa các tệp / thư mục thuộc về người dùng khác. Vì vậy chmod a=rwx,o+t /tmpnên làm việc.

Đối với việc thay đổi quyền theo cách đệ quy ... Miễn là chủ sở hữu / nhóm vẫn giữ nguyên các tệp và thư mục, thì đó không phải là vấn đề. Nhưng có lẽ bạn có thể thay đổi sự cho phép của mọi thứ bên dưới /tmp(không phải / tmp) để đảm bảo quyền riêng tư của người dùng, bằng cách xóa rxquyền của người khác và có lẽ cả nhóm.

Tìm là một cách tốt để làm điều này. Là root, làm:

cd /tmp
find . -type f -exec chmod u=rw,go= {} \;   # (or u=rw,g=r,o= {})
find . -type d -exec chmod u=rwx,go= {} \;  # (or u=rwx,g=rx,o= {})

[root@Niflheim tmp]# ls -alF .
total 1632
drwxrwxrwt 15 root root    4096 Apr  7 04:24 ./
drwxr-xr-x 28 root root    4096 Apr  2 21:02 ../
[root@Niflheim tmp]# stat -c '%A %a %n' .
drwxrwxrwt 1777 .

Từ máy CentOS 5.9.