110.1 Lezione 1

Oltre al tradizionale set di permessi di read, write e execute, i file in un sistema Linux possono anche avere alcuni permessi speciali come i bit SUID o SGID.

Il bit SUID permetterà al file di essere eseguito con i privilegi del proprietario del file. È rappresentato numericamente da 4000 e simbolicamente da s o S sul bit di autorizzazione execute del proprietario. Un esempio classico di un file eseguibile con il permesso SUID impostato è passwd:

La s minuscola in rws indica la presenza del SUID sul file insieme al permesso execute. Una S maiuscola invece (rwS) significherebbe che il sottostante permesso execute non è impostato rendendo il SUID non operativo.

D’altra parte, il bit SGID può essere impostato sia sui file sia sulle directory. Con i file, il suo comportamento è equivalente a quello di SUID ma i privilegi sono quelli del proprietario del gruppo. Quando è impostato su una directory, tuttavia, permetterà a tutti i file creati in essa di ereditare la proprietà del gruppo della directory. Come SUID, SGID è rappresentato simbolicamente da s o S sul bit di autorizzazione execute del gruppo. Numericamente, è rappresentato da 2000. Puoi impostare l’SGID su una directory usando chmod. Devi aggiungere 2 (SGID) ai permessi tradizionali (755 nel nostro caso):

Per trovare file con uno o entrambi i set SUID e SGID puoi usare il comando find e fare uso dell’opzione -perm. Puoi usare sia valori numerici sia simbolici. I valori — a loro volta — possono essere passati da soli o preceduti da un trattino (-) o da uno slash (/). Il significato è il seguente:

Per esempio, per trovare i file con solo SUID impostato nell’attuale directory di lavoro, usa il seguente comando:

Nota come, dato che non c’erano file che avessero esclusivamente il SUID, ne abbiamo creato uno per mostrare qualche output. Puoi eseguire lo stesso comando in notazione simbolica:

Per trovare i file che corrispondono a SUID (indipendentemente da qualsiasi altro permesso) nella directory /usr/bin/, puoi usare uno dei seguenti comandi:

Se stai cercando file nella stessa directory con il bit SGID impostato, puoi eseguire find /usr/bin/ -perm -2000 o find /usr/bin/ -perm -g+s.

Infine, per trovare i file con uno dei due permessi speciali impostati, aggiungi 4 a 2 e usa /:

Come già detto, puoi usare l’utilità passwd per cambiare la tua password come utente normale. Inoltre, puoi utilizzare l’opzione -S o --status per ottenere informazioni sullo stato del tuo account:

Ecco la spiegazione dei sette campi che si ottengono nell’output:

Oltre a riportare lo stato dell’account, userai il comando passwd come root per eseguire alcune operazioni di base di manutenzione degli account. Puoi bloccare e sbloccare gli account, forzare un utente a cambiare la sua password al prossimo login e cancellare la password di un utente rispettivamente con le opzioni -l, -u, -e e -d.

Per testare queste opzioni è conveniente introdurre a questo punto il comando su. Attraverso su si può cambiare utente durante una sessione di login. Quindi, per esempio, usiamo passwd come root per bloccare la password di carol. Poi passeremo a carol e controlleremo lo stato del nostro account per verificare che la password sia stata effettivamente bloccata (L) e non possa essere cambiata. Infine, tornando all’utente root, sbloccheremo la password di carol:

In alternativa, puoi anche bloccare e sbloccare la password di un utente con il comando usermod:

Oltre a passwd e usermod, il comando più diretto per gestire la durata di password e account è chage (“change age”). Come root, puoi passare a chage l’opzione -l (o --list) seguito da un nome utente per avere le sue informazioni sulla scadenza della sua password e dell’account stesso visualizzate sullo schermo; come utente normale, puoi visualizzare le tue informazioni:

Eseguito senza opzioni e seguito solo da un nome utente, chage opererà in modalità interattiva:

Le opzioni per modificare le diverse impostazioni di chage sono le seguenti:

Quando si tratta di tenere d’occhio le porte aperte presenti su un sistema, quattro potenti utility sono presenti sulla maggior parte dei sistemi Linux: lsof, fuser, netstat e nmap.

lsof sta per “list open files”, che non è una cosa da poco considerando che — per Linux — tutto è sostanzialmente un file. Infatti, se si digita lsof nel terminale, si otterrà un grande elenco di file normali, file di dispositivi, socket, ecc. Tuttavia, per lo scopo di questa lezione, ci concentreremo principalmente sulle porte. Per visualizzare l’elenco di tutti i file di rete “Internet”, esegui lsof con l’opzione -i:

A parte il servizio bootpc - che è usato da DHCP - l’ouput mostra due servizi in ascolto per le connessioni - ssh e il server web Apache (http) - così come due connessioni SSH stabilite. Puoi specificare un particolare host con la notazione @ip-address per controllare le sue connessioni:

Allo stesso modo, puoi filtrare per porta passando all’opzione -i (o -i@ip-address) l’argomento :port:

Le porte multiple sono separate da virgole (e gli intervalli sono specificati usando un trattino):

Il prossimo nella lista dei comandi di rete è fuser. Il suo scopo principale è quello di trovare un “utente del file” — il che implica sapere quali processi stiano accedendo a quali file; ti dà anche alcune altre informazioni come il tipo di accesso. Per esempio, per controllare la directory di lavoro corrente, è sufficiente eseguire fuser . Tuttavia, per ottenere qualche informazione in più, è conveniente usare l’opzione verbose (-v o --verbose):

Scomponiamo l’output:

Con l’opzione -n (o --namespace), puoi trovare informazioni sulle porte/socket di rete. Devi anche fornire il protocollo di rete e il numero di porta. Così, per ottenere informazioni sul server web Apache eseguirai il seguente comando:

Passiamo ora a netstat. netstat è uno strumento di rete molto versatile che viene usato principalmente per visualizzare “statistiche di rete”.

Eseguito senza opzioni, netstat mostrerà sia le connessioni Internet attive sia i socket Unix. A causa della dimensione dell’elenco, potresti voler convogliare il suo output verso less:

Per elencare solo le porte e i socket “in ascolto”, si useranno le opzioni -l o --listening. Le opzioni -t/--tcp e -u/--udp possono essere aggiunte per filtrare rispettivamente per protocollo TCP e UDP (possono anche essere combinate nello stesso comando). Allo stesso modo, -e/--extend mostrerà informazioni aggiuntive:

Se ometti l’opzione -l, saranno mostrate solo le connessioni stabilite:

Se sei interessato solo alle informazioni numeriche riguardanti porte e host, puoi usare l’opzione -n o --numeric per stampare solo i numeri di porta e gli indirizzi IP. Nota come ssh si trasforma in 22 quando aggiungi -n al comando precedente:

Come puoi vedere, è possibile creare comandi netstat molto utili e produttivi combinando alcune delle sue opzioni. Sfoglia le pagine man per saperne di più e trova le combinazioni che meglio si adattano alle tue esigenze.

Infine nmap — o network mapper. Questo port scanner viene eseguito specificando un indirizzo IP o un hostname:

A parte un singolo host, nmap permette di fare la scansione di:

Per scansionare una particolare porta, usa l’opzione -p seguita dal numero della porta o dal nome del servizio (nmap -p 22 e nmap -p ssh ti daranno lo stesso risultato):

Puoi anche scansionare più porte o intervalli di porte usando rispettivamente virgole e trattini:

Altre due importanti e pratiche opzioni nmap sono:

Le risorse su un sistema Linux non sono illimitate quindi — come sysadmin — dovresti assicurare un buon equilibrio tra i limiti dell’utente sulle risorse e il corretto funzionamento del sistema operativo. ulimit può aiutarti in questo senso.

ulimit si occupa dei limiti soft e hard, specificati rispettivamente dalle opzioni -S e -H. Eseguito senza opzioni o argomenti, ulimit mostrerà il limite soft dei file a blocchi dell’utente corrente:

Con l’opzione -a, ulimit mostrerà tutti i limiti soft attuali (lo stesso di -Sa); per visualizzare tutti i limiti hard attuali, usa -Ha:

Le risorse della shell disponibili sono specificate da opzioni come:

Per visualizzare i limiti userai ulimit seguito da -S (soft) o -H (hard) e dall’opzione resource; se non viene fornito né -S né -H, verranno mostrati i limiti soft:

Allo stesso modo, per impostare nuovi limiti su una particolare risorsa si specificherà o -S o -H, seguito dall’opzione della risorsa corrispondente e dal nuovo valore. Questo valore può essere un numero o le parole speciali soft (limite soft corrente), hard (limite hard corrente) o unlimited (nessun limite). Se non viene specificato né -S né -H, verranno impostati entrambi i limiti. Per esempio, leggiamo prima il valore della dimensione massima corrente per i file scritti dalla shell e dai suoi figli:

Ora, cambiamo il valore da unlimited a 500 blocchi senza specificare né -S né -H. Nota come entrambi i limiti soft e hard vengono cambiati:

Infine, diminuiremo solo il limite soft a 200 blocchi:

I limiti hard possono essere aumentati solo dall’utente root. D’altra parte, gli utenti regolari possono diminuire i limiti hard e aumentare i limiti soft fino al valore dei limiti hard. Per rendere i nuovi valori dei limiti persistenti attraverso i riavvii, è necessario scriverli nel file /etc/security/limits.conf. Questo è anche il file usato dall’amministratore per applicare restrizioni a particolari utenti.

Un altro dei tuoi compiti come sysadmin consiste nel tenere traccia degli utenti connessi. Ci sono tre utility che possono aiutarti in questi compiti: last, who e w.

last mostra un elenco degli ultimi utenti connessi, a partire dalle informazioni più recenti:

Considerando l’elenco troncato, otteniamo informazioni sugli ultimi due utenti del sistema. Le prime due linee ci parlano dell’utente carol; le due linee successive, dell’utente mimi. Le informazioni sono le seguenti:

Puoi passare a last un nome utente per far visualizzare solo le voci che lo riguardano:

Per quanto riguarda la seconda colonna (terminal), pts sta per Pseudo Terminal Slave — al contrario di un vero e proprio terminale TeleTYpewriter o tty; 0 si riferisce al primo (il conteggio inizia da zero).

Le utilità who e w si concentrano sugli utenti attualmente connessi e sono abbastanza simili. La prima mostra chi è connesso, mentre la seconda mostra anche informazioni su che cosa stanno facendo.

Quando viene eseguito senza opzioni, who mostrerà quattro colonne corrispondenti all’utente connesso, al terminale, alla data e all’ora e al nome dell’host:

who accetta una serie di opzioni, tra le quali possiamo evidenziare le seguenti:

Rispetto a who, w dà un output un po' più dettagliato:

La linea superiore fornisce informazioni sull’ora corrente (17:56:12), da quanto tempo il sistema è attivo e funzionante (up 40 min), il numero di utenti attualmente loggati (2 users) e i numeri di carico medio (load average: 0.04, 0.12, 0.09). Questi valori si riferiscono al numero di lavori nella coda di esecuzione in media rispettivamente negli ultimi 1, 5 e 15 minuti.

Seguono otto colonne:

Proprio come con who, si possono passare nomi utente w:

Come già evidenziato in questa lezione, su ti permette di passare a qualsiasi altro utente del sistema purché tu fornisca la password dell’utente di destinazione. Nel caso dell’utente root, avere la sua password distribuita o conosciuta da (molti) altri utenti mette a rischio il sistema ed è una pessima pratica di sicurezza. L’uso base di su è su - target-username. Quando si passa a root — però — il nome utente di destinazione è opzionale:

L’uso del trattino (-) assicura che l’ambiente dell’utente di destinazione sia caricato. Senza di esso, verrà mantenuto l’ambiente del vecchio utente:

Con il comando sudo si può eseguire un comando come utente root o qualsiasi altro utente. Dal punto di vista della sicurezza, sudo è un’opzione di gran lunga migliore di su in quanto presenta due vantaggi principali:

L’uso di base di sudo è sudo -u target-username command. Tuttavia, per eseguire un comando come utente root, l’opzione -u target-username non è necessaria: