110.1 Lição 1

Além do conjunto de permissões tradicional de leitura, escrita e execução, os arquivos de um sistema Linux também podem ter algumas permissões especiais definidas, como os bits SUID ou SGID.

O bit SUID permite que o arquivo seja executado com privilégios de proprietário do arquivo. Numericamente, ele é representado por 4000 e, simbolicamente, por s ou S no bit de permissão de execução do proprietário. Um exemplo clássico de arquivo executável com a permissão SUID definida é passwd:

O s minúsculo em rws indica a presença do SUID no arquivo — junto com a permissão de execução. Se, no lugar dele, houvesse um S maiúsculo (rwS), isso significaria que a permissão de execução presumida não foi definida.

Por outro lado, o bit SGID pode ser definido tanto em arquivos quanto em diretórios. Nos arquivos, seu comportamento é equivalente ao de SUID, mas os privilégios serão os mesmos do proprietário do grupo. Quando definido em um diretório, no entanto, ele permite que todos os arquivos criados ali herdem a propriedade do grupo do diretório. Como o SUID, o SGID é simbolicamente representado por s ou S no bit de permissão de execução do grupo. Numericamente, ele é representado por 2000. Para definir o SGID em um diretório, usamos chmod. É necessário adicionar 2 (SGID) às permissões tradicionais (755, em nosso caso):

Para encontrar arquivos com SUID e/ou SGID definidos, use o comando find com a opção -perm. Podemos incluir valores numéricos e simbólicos. Os valores — por sua vez — podem ser passados sozinhos ou precedidos por travessão (-) ou barra (/). O significado é o seguinte:

Por exemplo, para localizar arquivos com apenas o SUID definido no diretório de trabalho atual, usaríamos o seguinte comando:

Observe que — uma vez que não existiam arquivos contendo exclusivamente o SUID — criamos um para mostrar algumas saídas. Podemos executar o mesmo comando em notação simbólica:

Para encontrar arquivos que correspondam ao SUID (independentemente de quaisquer outras permissões) no diretório /usr/bin/, use um dos seguintes comandos:

Se estiver procurando por arquivos no mesmo diretório com o bit SGID definido, execute find /usr/bin/ -perm -2000 ou find /usr/bin/ -perm -g+s.

Finalmente, para encontrar arquivos com qualquer uma das duas permissões especiais definidas, adicione 4 e 2 e use /:

Como dito acima, o utilitário passwd permite alterar nossa própria senha como um usuário regular. Além disso, com a opção -S ou --status podemos obter informações de status sobre nossa conta:

Eis uma análise dos sete campos obtidos na saída:

Além de relatar o status da conta, o comando passwd empregado com permissão de root serve para realizar algumas manutenções básicas de conta. Ele permite bloquear e desbloquear contas, forçar um usuário a alterar sua senha no próximo login e excluir a senha de um usuário com as opções -l, -u, -e e -d, respectivamente.

Para testar essas opções, é conveniente apresentarmos o comando su neste momento. Através do su, você pode trocar de usuário durante uma sessão de login. Assim, por exemplo, usaríamos passwd como root para bloquear a senha de carol. Em seguida, mudaríamos para a conta de carol para verificar no status da conta se a senha foi — de fato — bloqueada (L) e não pode ser alterada. Finalmente, voltando ao usuário root, desbloqueamos a senha de carol:

Outra alternativa para bloquear e desbloquear a senha de um usuário é o comando usermod:

Além de passwd e usermod, o comando mais direto para lidar com senhas e validade de contas é chage (“change age”, ou alterar idade). Como root, você pode passar para chage a opção -l (ou --list) seguida por um nome de usuário para imprimir na tela a senha atual desse usuário e as informações de expiração da conta; como usuário comum, você pode ver suas próprias informações:

Quando executado sem opções e seguido apenas por um nome de usuário, chage se comporta de maneira interativa:

As opções para modificar as diferentes configurações de chage são as seguintes:

Os administradores de sistema também precisam ficar de olho nas portas abertas e, para isso, existem quatro utilitários muito poderosos na maioria dos sistemas Linux: lsof, fuser, netstat e nmap. Falaremos deles nesta seção.

lsof significa “list open files”, o que não é pouca coisa, já que — para o Linux — tudo é arquivo. Na verdade, se você digitar lsof no terminal, aparecerá uma enorme lista de arquivos comuns, arquivos de dispositivos, sockets etc. Porém, nesta lição, vamos nos concentrar principalmente nas portas. Para imprimir a lista de todos os arquivos de rede da “Internet”, execute lsof com a opção -i:

Além do serviço bootpc — que é usado pelo DHCP — a saída mostra dois serviços ouvindo conexões — ssh e o servidor web Apache (http) — bem como duas conexões SSH estabelecidas. Podemos especificar um determinado host com a notação @ip-address para verificar suas conexões:

Da mesma forma, é possível filtrar por porta, passando para a opção -i (ou -i@ip-address) o argumento :port:

Ao incluir mais de uma porta, nós as separamos com vírgulas (os intervalos são especificados com um traço):

O próximo na lista de comandos de rede é fuser. Seu propósito principal é encontrar um “usuário do arquivo”  — o que envolve saber quais processos estão acessando quais arquivos; ele também fornece algumas outras informações, como o tipo de acesso. Por exemplo, para verificar o diretório de trabalho atual, basta executar fuser .. Mas quando precisamos de mais informações, é aconselhável usar a opção verbose (-v ou --verbose):

Vamos detalhar a saída:

Com a opção -n (ou --namespace), podemos encontrar informações sobre portas/sockets de rede. Também é necessário fornecer o protocolo de rede e o número da porta. Assim, para obter informações sobre o servidor web Apache, o comando seria o seguinte:

Vamos olhar o netstat agora. O netstat é uma ferramenta de rede muito versátil usada principalmente para imprimir “estatísticas de rede”.

Executado sem opções, netstat exibe as conexões ativas da Internet e os sockets Unix. Devido ao tamanho da lista, vale a pena canalizar a saída para less:

Para listar apenas as portas e sockets “ouvintes”, usamos as opções -l ou --listening. As opções -t/--tcp e -u/--udp podem ser adicionadas para filtrar pelos protocolos TCP e UDP, respectivamente (elas também podem ser combinadas no mesmo comando). Da mesma forma, `-e/--extend exibe informações adicionais:

Se você omitir a opção -l, apenas as conexões estabelecidas serão mostradas:

Se você está interessado apenas em informações numéricas sobre portas e hosts, pode usar a opção -n or --numeric para imprimir apenas os números de portas e endereços IP. Note como ssh se transforma em 22 ao adicionarmos -n ao comando acima:

Como vemos, é possível tornar os comandos netstat muito úteis e produtivos combinando algumas de suas opções. Navegue pelas páginas de manual para aprender mais e encontrar as combinações que melhor atendem às suas necessidades.

Finalmente, vamos falar do nmap — ou “mapeador de rede”. Poderosíssimo, este scanner de porta é executado especificando-se um endereço IP ou nome de host:

Além de um host único, o nmap permite escanear:

Para escanear uma porta específica, use a opção -p seguida pelo número da porta ou nome do serviço (nmap -p 22 e nmap -p ssh terão a mesma saída):

Também podemos escanear várias portas ou intervalos de portas usando vírgulas e travessões, respectivamente:

Duas outras opções importantes e úteis do nmap são:

Os recursos de um sistema Linux não são ilimitados, e portanto — como administrador do sistema — você deve garantir um bom equilíbrio entre os limites do usuário no uso dos recursos e o funcionamento adequado do sistema operacional. O ulimit pode ajudá-lo nesse aspecto.

O ulimit lida com os limites soft (flexíveis) e hard (rígidos) — especificados pelas opções -S e -H, respectivamente. Quando executado sem opções ou argumentos, o ulimit exibe os blocos de arquivos flexíveis do usuário atual:

Com a opção -a, o ulimit mostra todos os limites flexíveis atuais (o mesmo que -Sa); para exibir todos os limites rígidos atuais, use -Ha:

Os recursos de shell disponíveis são especificados por opções como:

Assim, para exibir os limites, usaríamos ulimit seguido por -S (soft) ou -H (hard) e a opção referente ao recurso; se nenhum -S ou -H for fornecido, os limites flexíveis (soft) serão mostrados:

Da mesma maneira, para definir novos limites para um recurso determinado, especificamos -S ou -H seguidos pela opção de recurso desejada e o novo valor. Esse valor pode ser um número ou as palavras especiais soft (limite flexível atual), hard (limite rígido atual) ou unlimited (sem limite). Se nem -S nem -H forem especificados, ambos os limites serão definidos. Por exemplo, vamos primeiro ler o valor do tamanho máximo atual para os arquivos gravados pelo shell e seus filhos:

Agora, vamos alterar o valor de unlimited para 500 sem especificar -S ou -H. Observe como os limites flexíveis e rígidos são alterados:

Por fim, diminuímos apenas o limite flexível para blocos de 200:

Os limites rígidos só podem ser aumentados pelo usuário root. Por outro lado, os usuários comuns podem diminuir os limites rígidos e aumentar os limites flexíveis até o valor dos limites rígidos. Para tornar persistentes os novos valores de limites após a reinicialização, eles devem ser gravados no arquivo /etc/security/limits.conf. Este também é o arquivo usado pelo administrador para aplicar restrições a usuários específicos.

Outra de suas funções como administrador do sistema envolve manter o controle dos usuários conectados. Há três utilitários que podem ajudá-lo com essas tarefas: last, who e w.

O last imprime uma lista dos últimos usuários logados, com as informações mais recentes no topo:

Considerando a listagem truncada, obtemos informações sobre os dois últimos usuários do sistema. As duas primeiras linhas trazem informações sobre a usuária carol; as duas linhas seguintes, sobre a usuária mimi. As informações são as seguintes:

Podemos passar um nome de usuário a last para ver apenas as entradas referentes a ele:

Em relação à segunda coluna (terminal), pts significa Pseudo Terminal Slave — em oposição a um terminal TeleTYpewriter ou tty; 0 refere-se ao primeiro (a contagem começa em zero).

Os utilitários who e w concentram-se nos usuários atualmente logados e são bastante semelhantes. O primeiro exibe quem está conectado, ao passo que o último também exibe informações sobre o que eles estão fazendo.

Quando executado sem opções, o who exibe quatro colunas correspondentes ao usuário conectado, terminal, data e hora e nome do host:

O who aceita uma série de opções, dentre as quais podemos destacar as seguintes:

Comparado ao who, o w fornece uma saída um pouco mais detalhada:

A linha superior fornece informações sobre a hora atual (17:56:12), há quanto tempo o sistema está ativo (up 40 min), o número de usuários atualmente logados (2 users) e os números médios de carga (load average: 0.04, 0.12, 0.09). Esses valores referem-se ao número médio de trabalhos na fila de execução nos últimos 1, 5 e 15 minutos, respectivamente.

Vêm em seguida oito colunas; elas se dividem desta forma:

Como no caso do who, podemos passar nomes de usuários ao w:

Como já observado nesta lição, su permite alternar para qualquer outro usuário no sistema, desde que você forneça a senha do usuário de destino. No caso do usuário root, ter sua senha distribuída ou conhecida por (muitos) usuários põe o sistema em risco e é uma péssima prática de segurança. O uso básico de su é su - nome-de-usuário. Ao alternar para root, porém, o nome de usuário de destino é opcional:

O uso do traço (-) garante que o ambiente do usuário de destino seja carregado. Sem ele, será mantido o ambiente do antigo usuário:

Por outro lado, existe o comando sudo. Com ele, é possível executar um comando como usuário root — ou qualquer outro usuário. Do ponto de vista da segurança, sudo é uma opção muito melhor do que su, pois apresenta duas vantagens principais:

O uso básico de sudo é sudo -u target-username command. Porém, para executar um comando como usuário root, a opção -u target-username não é necessária: