ฉันจะทำให้ไฟล์ไม่สามารถแก้ไขได้อย่างไร

ในขณะที่เข้าสู่ระบบฉันสามารถทำสิ่งต่อไปนี้:

mkdir foo
touch foo/bar
chmod 400 foo/bar 
chmod 500 foo

จากนั้นฉันสามารถเปิดเป็นกลุ่ม (ไม่เป็นroot) แก้ไขbarบังคับให้เขียนด้วยw!และไฟล์จะถูกแก้ไข

ฉันจะทำให้ระบบปฏิบัติการไม่อนุญาตให้แก้ไขไฟล์ได้อย่างไร?

อัพเดท 02 มี.ค. 2560

1. chmod 500 foo เป็นปลาเฮอริ่งแดง: สิทธิ์ในการเขียนในไดเรกทอรีไม่มีส่วนเกี่ยวข้องกับความสามารถในการปรับเปลี่ยนเนื้อหาของไฟล์ - เฉพาะความสามารถในการสร้างและลบไฟล์

2. chmod 400 foo/barในความเป็นจริงจะป้องกันเนื้อหาของไฟล์จากการเปลี่ยนแปลง แต่ไม่ได้ป้องกันการอนุญาตของไฟล์จากการเปลี่ยนแปลง - เจ้าของไฟล์สามารถเปลี่ยนแปลงการอนุญาตของไฟล์ได้ตลอดเวลา (สมมติว่าพวกเขาสามารถเข้าถึงไฟล์ได้เช่นเรียกใช้งานการอนุญาตในไดเรกทอรีบรรพบุรุษทั้งหมด) ในความเป็นจริง strace (1) แสดงให้เห็นว่านี่คือสิ่งที่กลุ่ม (7.4.576 Debian Jessie) กำลังทำอยู่ - vim เรียก chmod (2) เพื่อเพิ่มสิทธิ์การเขียนสำหรับเจ้าของไฟล์ชั่วคราวแก้ไขไฟล์แล้วเรียก chmod ( 2) อีกครั้งเพื่อลบสิทธิ์การเขียน นั่นคือเหตุผลที่ใช้chattr +iงาน - เฉพาะ root เท่านั้นที่สามารถโทรchattr -iได้ ในทางทฤษฎีเป็นกลุ่ม (หรือโปรแกรมใด ๆ ) สามารถทำสิ่งเดียวกันกับ chattr เช่นเดียวกับ chmod ในไฟล์ที่ไม่เปลี่ยนรูปถ้าเรียกใช้เป็นราก

คุณสามารถตั้งค่าแอตทริบิวต์ "ไม่เปลี่ยนรูป" กับระบบไฟล์ส่วนใหญ่ใน Linux

chattr +i foo/bar

หากต้องการลบแอตทริบิวต์ที่ไม่เปลี่ยนรูปแบบคุณใช้-แทน+:

chattr -i foo/bar

หากต้องการดูแอตทริบิวต์ปัจจุบันของไฟล์คุณสามารถใช้ lsattr:

lsattr foo/bar

chattr (1) manpage ให้รายละเอียดของคุณลักษณะทั้งหมดที่มีอยู่ นี่คือคำอธิบายสำหรับi:

   A  file with the `i' attribute cannot be modified: it cannot be deleted
   or renamed, no link can be created to this file  and  no  data  can  be
   written  to  the  file.  Only the superuser or a process possessing the
   CAP_LINUX_IMMUTABLE capability can set or clear this attribute.

คุณสามารถ:

1. เปลี่ยนเจ้าของไฟล์เป็นrootหรือผู้ใช้ที่สร้างขึ้นใหม่
2. เก็บกลุ่มที่ถูกต้อง
3. ใช้chmod 440เพื่ออนุญาตให้อ่านเป็นกลุ่ม (ซึ่งก็คือคุณ)

หากผู้ใช้ที่ถูกต้องไม่ใช่คนเดียวในกลุ่มนี้คุณควรสร้างกลุ่มใหม่และเพิ่มเฉพาะเขาในกลุ่มและใช้กลุ่มนี้ อย่างไรก็ตามคุณไม่ใช่เจ้าของไฟล์ดังนั้นคุณviไม่สามารถเปลี่ยนเจ้าของไฟล์ได้

วิธีสร้างแผนผังไดเรกทอรีทั้งแบบอ่านอย่างเดียว:

cd <directory>
find ./ -print0 | sudo xargs -I {} -0 chattr +i {}

เพื่อให้อ่านอีกครั้งการเปลี่ยนแปลงไป+i-i