Che cos'è nessuno utente e gruppo?

37

Sul mio server (Synology DS212) alcuni file e cartelle hanno nobody nobodyutenti e gruppi. Quali sono le caratteristiche di questo utente e gruppo? Chi può scrivere di leggere questo file?

Come posso cambiarlo? Per quale utente e gruppo?

— Guuk
fonte

41

L'utente nessuno è uno pseudo utente in molte distribuzioni Unix e Linux. Secondo la Linux Standard Base , l'utente nessuno e il suo gruppo sono utenti e gruppi mnemonici opzionali. Quell'utente dovrebbe rappresentare l'utente con il minor numero di autorizzazioni sul sistema. Nel migliore dei casi, l'utente e il suo gruppo non sono assegnati a nessun file o directory (come proprietario). Questo utente è nel suo gruppo corrispondente che è (secondo LSB) anche chiamato "nessuno" e in nessun altro gruppo.

Nelle versioni precedenti di Unix e Linux, il demone (ad esempio un server web) era chiamato sotto l'utente nobody. Se un utente malintenzionato acquisisce il controllo su tale demone, il danno che può eseguire è limitato a ciò che il demone può fare. Ma il problema è che quando ci sono più demoni in esecuzione con l'utente nessuno, questo non ha più senso. Ecco perché oggi tali demoni hanno il proprio utente.

All'utente nessuno dovrebbe essere assegnata alcuna shell. Diverse distribuzioni gestiscono ciò in modi diversi: alcuni si riferiscono a /sbin/nologinciò che stampa un messaggio; alcuni si riferiscono a /bin/falseciò che esce semplicemente con 1 (false); o alcuni semplicemente disabilitano l'utente in /etc/shadow.

Secondo Linux Standard Base, l'utente nessuno è "Usato da NFS". In effetti il demone NFS è uno dei pochi che non ha ancora bisogno dell'utente nessuno. Se il proprietario di un file o di una directory in una condivisione NFS montata non esiste nel sistema locale, viene sostituito dall'utente nessuno e dal suo gruppo.

È possibile modificare l'autorizzazione di un file di proprietà dell'utente nessuno semplicemente con l'utente root e chown. Ma sulla macchina che ospita la condivisione NFS, quell'utente potrebbe esistere, quindi fai attenzione.

Uso anche un sistema Synology. Eseguono il web server apache sotto l'utente nessuno.

— caos
fonte

1

"quando ci sono più demoni in esecuzione con l'utente nessuno, questo non ha più senso." - come mai? Un demone compromesso può quindi influenzare altri demoni?

— flow2k

5

L'utente che può accedere come nobodypuò cambiare questi file, ma normalmente il sistema è configurato, quindi questo non è possibile. Sul mio sistema basato su debian la voce nel /etc/passwordfile è:

nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin

e /usr/sbin/nologindà:

This account is currently not available.

Puoi cambiarlo solo come utente root, poiché normalmente nessun altro è membro del gruppo nobody. Tuttavia dubito che dovresti farlo. Normalmente questi file ottengono questa proprietà di proposito.

— chiunque
fonte

Nel mio caso, /etc/passwdho nobody:x:99:99::/:/bin/false. /bin/falsenon restituisce nulla.

— Guuk,

/bin/falseimpedisce anche a qualcuno di accedere, anche se ci sarebbe una password impostata per nobodyin /etc/shadow, che normalmente non esiste.

— chiunque

se per qualche motivo vuoi accedere all'account nessuno, puoi sovrascrivere la shell come sudo su nobody -s /bin/sh (questo sostituisce la "shell predefinita" / usr / bin / nologin con / bin / sh)

— hanshenrik