110.1 Lektion 1

Neben den traditionellen Berechtigungen Lesen, Schreiben und Ausführen können Dateien in einem Linux-System auch spezielle Berechtigungen wie die SUID oder die SGID Bits haben.

Das SUID-Bit sorgt für die Ausführung der Datei mit den Rechten des Eigentümers. Es wird numerisch durch 4000 und symbolisch entweder durch s oder S auf dem Bit der Ausführungsberechtigung des Besitzers dargestellt. Ein klassisches Beispiel für eine ausführbare Datei mit gesetzter SUID-Berechtigung ist passwd:

Das kleine s in rws zeigt das gesetzte SUID-Bit auf der Datei an — zusammen mit der Ausführungsberechtigung. Ein großes S stattdessen (rwS) würde bedeuten, dass die zugrundeliegende Ausführungsberechtigung nicht gesetzt ist.

Das SGID-Bit kann sowohl für Dateien als auch für Verzeichnisse gesetzt werden. Bei Dateien entspricht sein Verhalten dem von SUID, aber die Rechte sind die der Gruppe. Ist es jedoch für ein Verzeichnis gesetzt, erben alle darin erstellten Dateien die Eigentumsrechte der Gruppe des Verzeichnisses. Wie SUID wird auch SGID symbolisch durch s oder S auf dem Bit der Ausführungsberechtigung der Gruppe dargestellt — numerisch durch 2000. Sie setzen das SGID in einem Verzeichnis mit chmod, indem Sie 2 (SGID) zu den traditionellen Berechtigungen hinzufügen (in unserem Fall 755):

Um Dateien mit einem oder beiden SUID- und SGID-Sätzen zu finden, nutzen Sie den Befehl find mit der Option -perm und geben numerische oder symbolische Werte an. Die Werte übergeben Sie einzeln oder mit einem vorangestellten Trenn- (-) oder Schrägstrich (/). Die Bedeutung ist jeweils die:

Um beispielsweise Dateien zu finden, für die im aktuellen Arbeitsverzeichnis nur SUID gesetzt ist, verwenden Sie den folgenden Befehl:

Da es keine Dateien mit ausschließlich gesetztem SUID gab, haben wir für das Beispiel zuvor eine solche Datei erstellt, un eine Ausgabe zu erhalten. Sie können denselben Befehl mit symbolischer Notation ausführen:

Um Dateien mit SUID (unabhängig von anderen Berechtigungen) im Verzeichnis /usr/bin/ zu finden, führen Sie den folgenden Befehl aus:

Wenn Sie nach Dateien im selben Verzeichnis mit gesetztem SGID-Bit suchen, führen Sie find /usr/bin/ -perm -2000 oder find /usr/bin/ -perm -g+s aus.

Um schließlich Dateien mit einem der beiden Sonderrechte zu finden, fügen Sie 4 und 2 hinzu und verwenden /:

Wie bereits erwähnt, ändern Sie als normaler Benutzer mit passwd Ihr eigenes Passwort. Die Option -S oder --status liefert Ihnen Statusinformationen über Ihr Konto:

Hier eine Aufschlüsselung der sieben Felder dieser Ausgabe:

Abgesehen von den Berichten über den Kontostatus nutzen Sie den Befehl passwd als root für einige grundlegende Aufgaben der Kontoverwaltung. Mit den Optionen -l, -u, -e und -d sperren und entsperren Sie Konten, zwingen einen Benutzer zur Passwortänderung bei der nächsten Anmeldung und löschen das Passwort eines Benutzers.

Bevor wir diese Optionen testen, befassen wir uns kurz mit dem Befehl su, mit dem Sie während einer Sitzung den Benutzer wechseln. Lassen Sie uns also zum Beispiel passwd als root nutzen, um das Passwort von carol zu sperren. Anschließend wechseln wir zu carol und überprüfen unseren Kontostatus, um sicherzustellen, dass das Passwort tatsächlich gesperrt wurde (L) und nicht geändert werden kann. Schließlich kehren wir zum Root-Benutzer zurück und entsperren das Passwort von carol:

Alternativ sperren/entsperren Sie das Passwort eines Benutzers auch mit dem Befehl usermod:

Abgesehen von passwd und usermod ist chage (“change age”) der direkteste Befehl, um die Alterung von Passwörtern und Konten zu verwalten. Nutzen Sie als root chage mit der Option -l (oder --list), gefolgt von einem Benutzernamen, um das aktuelle Passwort und die Informationen zum Ablauf des Kontos dieses Benutzers anzuzeigen — als normaler Benutzer erhalten Sie Auskunft über Ihr eigenes Konto:

Ohne Optionen und nur mit Angabe eines Benutzernamens verhält sich chage interaktiv:

Mit folgenden Optionen ändern Sie die verschiedenen Einstellungen von chage:

Wenn es darum geht, offene Ports im Auge zu behalten, stehen auf den meisten Linux-Systemen vier leistungsfähige Dienstprogramme zur Verfügung: lsof, fuser, netstat und nmap. Wir werden diese im Folgenden behandeln.

lsof steht für “list open files”, was keine Kleinigkeit ist, wenn man bedenkt, dass — unter Linux — alles eine Datei ist. Wenn Sie lsof im Terminal eingeben, erhalten Sie eine umfangreiche Liste regulärer Dateien, Gerätedateien, Sockets usw. In dieser Lektion konzentrieren wir uns auf Ports. Für eine Liste aller “Internet”-Netzwerkdateien führen Sie lsof mit der Option -i aus:

Abgesehen von bootpc, von DHCP genutzt, zeigt die Ausgabe zwei Dienste, die auf Verbindungen warten — ssh und den Apache Webserver (http) — sowie zwei bestehende SSH-Verbindungen. Mit der Notation @ip-address geben Sie einen bestimmten Host an, um nach dessen Verbindungen zu suchen:

Ebenso filtern Sie nach dem Port, indem Sie die Option -i (oder -i@ip-address) dem Argument :port übergeben:

Mehrere Ports trennen Sie durch Kommata, Bereiche geben Sie per Bindestrich an:

Der nächste Befehl in unserer Liste der Netzwerkbefehle ist fuser, mit dem Sie den “Benutzer einer Datei” ermitteln — was einschließt, welche Prozesse auf welche Dateien zugreifen. Der Befehl liefert weitere Informationen, wie etwa die Art des Zugriffs. Um zum Beispiel das aktuelle Arbeitsverzeichnis zu überprüfen, reicht es aus, fuser auszuführen. Für ausführlichere Informationen gibt es die Option -v oder --verbose:

Hier die Aufschlüsselung der Ausgabe:

Die Option -n (oder --namespace) findet Informationen über Netzwerk-Ports/Sockets. Sie müssen auch das Netzwerkprotokoll und die Portnummer angeben — hier ein Beispiel für den Apache Webserver:

Wenden wir uns nun netstat zu, ein sehr vielseitiges Netzwerktool insbesondere zur Ausgabe von “Netzwerkstatistiken”.

Ohne Optionen ausgeführt, zeigt netstat sowohl aktive Internetverbindungen als auch Unix-Sockets an. Wegen der Größe der Liste sollte Sie die Ausgabe durch less leiten:

Um nur “lauschende” Ports und Sockets aufzulisten, nutzen Sie die Optionen -l oder --listening. Mit den Optionen -t/--tcp und -u/--udp filtern Sie nach dem TCP- bzw. UDP-Protokoll (auch im selben Befehl kombinierbar). Mit -e/--extend erhalten Sie ausführlichere Informationen:

Ohne die Option -l erscheinen nur bestehende Verbindungen:

Benötigen Sie nur numerische Informationen über Ports und Hosts, hilft die Option -n oder --numeric, die nur Portnummern und IP-Adressen ausgibt. Beachten Sie die 22 (statt ssh), wenn Sie -n zum obigen Befehl hinzufügen:

Durch die Kombination von Optionen sind sehr nützliche und produktive netstat-Befehle möglich — mehr dazu in den Manpages.

Werfen wir nun abschließend einen Blick auf nmap, den “Network Mapper”. Dieser leistungsfähige Portscanner wird mit der Angabe einer IP-Adresse oder eines Hostnamens ausgeführt:

Neben einem einzelnen Host scannt nmap auch Listen/Bereiche:

Um einen bestimmten Port zu scannen, verwenden Sie den Schalter -p, gefolgt von der Portnummer oder dem Namen des Dienstes (nmap -p 22 und nmap -p ssh liefern die gleiche Ausgabe):

Mit Kommata und Bindetrichen scannen Sie mehrere Ports oder Portbereiche:

Zwei weitere wichtige nmap-Optionen lauten:

Die Ressourcen eines Linux-Systems sind nicht unbegrenzt, so dass Sie als Systemadministrator für ein gutes Gleichgewicht zwischen deren Begrenzung für den Benutzer und dem ordnungsgemäßen Funktionieren des Betriebssystems Sorge zu tragen haben. ulimit hilft Ihnen dabei.

ulimit kennt weiche und harte Limits — angegeben durch die Optionen -S bzw. -H. Ohne Optionen oder Argumente ausgeführt, zeigt ulimit die weichen Dateiblöcke des aktuellen Benutzers an:

Mit der Option -a zeigt ulimit alle aktuellen Softlimits an (entspricht -Sa) — um alle aktuellen Hardlimits anzuzeigen, verwenden Sie -Ha:

Die verfügbaren Shell-Ressourcen geben die folgenden Optionen an:

Um Grenzwerte anzuzeigen, verwenden Sie also ulimit, gefolgt von entweder -S (soft) oder -H (hard) und der Option der gewünschten Ressource. Ist weder -S noch -H angegeben, werden die Softlimits angezeigt:

Um neue Grenzwerte für eine bestimmte Ressource zu setzen, geben Sie entweder -S oder -H an, gefolgt von der entsprechenden Ressourcen-Option und dem neuen Wert. Der Wert kann eine Zahl oder eines der speziellen Wörter soft (aktuelles weiches Limit), hard (aktuelles hartes Limit) oder unlimited (kein Limit) sein. Ist weder -S noch -H angegeben, werden beide Grenzwerte gesetzt. Im Beispiel lesen wir zuerst den aktuellen Wert für die maximale Größe von Dateien aus, die von der Shell und ihren Kindern geschrieben werden können:

Nun ändern wir den Wert von ulimit auf 500 Blöcke, ohne -S oder -H anzugeben. Beachten Sie, dass sich sowohl die weichen als auch die harten Grenzen ändern:

Schließlich senken wir nur das Softlimit auf 200 Blöcke:

Harte Limits darf nur der Root-Benutzer erhöhen. Normale Benutzer hingegen können harte Limits senken und weiche Limits bis zum Wert der harten Limits erhöhen. Damit neue Grenzwerte über Neustarts hinweg bestehen bleiben, tragen Sie diese in der Datei /etc/security/limits.conf ein. Hier vermerken Sie auch Beschränkungen für bestimmte Benutzer.

Zu Ihren Aufgaben als Systemadministrator gehört es auch, den Überblick über die angemeldeten Benutzer zu behalten. Drei Dienstprogramme helfen Ihnen bei dieser Aufgabe: last, who und w.

last gibt eine Liste der zuletzt angemeldeten Benutzer aus, wobei die aktuellsten Informationen oben stehen:

Die gekürzte Ausgabe im Beispiel liefert Informationen über die letzten beiden Benutzer im System. Die ersten beiden Zeilen informieren uns über den Benutzer carol, die nächsten beiden Zeilen über den Benutzer mimi — sie haben die folgende Bedeutung:

Geben Sie last einen Benutzernamen mit, um nur Einträge für diesen Benutzer anzeigen zu lassen:

In der zweiten Spalte (Terminal) steht pts für Pseudo Terminal Slave — im Gegensatz zu einem richtigen TeleTYpewriter oder tty Terminal. 0 bezieht sich auf das erste Terminal (die Zählung beginnt bei Null).

Die Dienstprogramme who und w konzentrieren sich auf die aktuell angemeldeten Benutzer: who zeigt an, wer angemeldet ist, während w auch Informationen darüber liefert, was der Benutzer jeweils gerade macht.

Ohne die Angabe von Optionen zeigt who vier Spalten an, die dem angemeldeten Benutzer, dem Terminal, dem Datum und der Uhrzeit sowie dem Hostnamen entsprechen:

who akzeptiert eine Reihe von Optionen, von denen die folgenden hier hervorgehoben seien:

Im Vergleich zu who erzeugt w eine etwas ausführlichere Ausgabe:

In der obersten Zeile finden Sie Informationen über die aktuelle Uhrzeit (17:56:12), wie lange das System bereits läuft (up 40 min), die Anzahl der derzeit angemeldeten Benutzer (2 users) und die Durchschnittswerte der Auslastung (load average: 0.04, 0.12, 0.09). Diese Werte beziehen sich auf die Anzahl der Aufträge in der Warteschlange, gemittelt über die letzten 1, 5 bzw. 15 Minuten.

Dann folgen acht Spalten:

Wie bei who können Sie auch w Benutzernamen übergeben:

Wie bereits erwähnt, wechseln Sie mit su zu jedem anderen Benutzer im System, sofern Sie das Passwort des Zielbenutzers angeben. Im Fall des Benutzers Root ist es sehr schlechte Sicherheitspraxis, das Passwort an (viele) Benutzer weiterzugeben und das System auf diese Weise zu gefährden. Die grundlegende Verwendung von su ist su - Zielbenutzername — wenn Sie zu root wechseln, ist der Zielbenutzername optional:

Der Bindestrich (-) stellt sicher, dass die Umgebung des Zielbenutzers geladen wird — ohne ihn die Umgebung des alten Benutzers:

Darüber hinaus gibt es den Befehl sudo, mit Sie einen Befehl als Benutzer Root ausführen — oder auch als jeder andere Benutzer. Aus der Sicherheitsperspektive ist sudo die weitaus bessere Option als su:

Die grundlegende Verwendung von sudo ist sudo -u Zielbenutzername Befehl. Um einen Befehl als Benutzer root auszuführen, ist die Option -u Zielbenutzername jedoch nicht zwingend: