Как проверить установленные права на /etc/shadow?

Question

[fokin_nikolay1989]

Доброго времени суток подскажите, а как написать условие проверки прав на файл /etc/shadow ?
Если права на файл не go-rwx , то chmod go-rwx /etc/shadow.

Заведомо огромное спасибо!

Comments

[Rsa97]

А зачем? Просто всегда выставляйте нужные права. Вот только не факт, что после этого всё будет нормально работать. Этот файл принадлежит группе shadow, у которой должно быть право на чтение. Как минимум, эти утилиты работают от группы shadow:

$ find /usr/bin/ -group shadow | xargs ls -l
-rwxr-sr-x 1 root shadow 72184 ноя 24  2022 /usr/bin/chage
-rwxr-sr-x 1 root shadow 23136 ноя 24  2022 /usr/bin/expiry
$ find /usr/sbin/ -group shadow | xargs ls -l
-rwxr-sr-x 1 root shadow 22680 фев  2  2023 /usr/sbin/pam_extrausers_chkpwd
-rwxr-sr-x 1 root shadow 26776 фев  2  2023 /usr/sbin/unix_chkpwd

[pfemidi]

Rsa97, отучаемся говорить за всех, то есть за все дистрибутивы Linux.

pfemidi@localhost:~$ ls -l /etc/shadow
---------- 1 root root 1445 Nov 29 15:43 /etc/shadow
pfemidi@localhost:~$ cat /etc/redhat-release 
Fedora release 39 (Thirty Nine)
pfemidi@localhost:~$

[fokin_nikolay1989]

pfemidi, я предполагал сравнение прав через условие и если не корректны информировать через echo

[CityCat4]

Rsa97, В генте нет такой группы, а права на /etc/shadow - 0600. Так что согласен с @pfemidi

UPD:

# ls -l /usr/bin/chage
-rws--x--x 1 root root 72696 May  6  2022 /usr/bin/chage

[fokin_nikolay1989]

CityCat4, я правильно понимаю, если необходимо проверить права на /etc/shadow, то:
go-rwx - добавить права для группы и остальных пользователей на чтение, запись, выполнение
Соответственно, если конвертировать
ls -l /etc/shadow
---------- 1 root root 1445 Nov 29 15:43 /etc/shadow
результат будет 0
Может и стоит написать условие, если группа владельцев shadow и назначенные права 0, то гуд. Иначе, chmod go-rwx /etc/shadow ?

[Rsa97]

pfemidi, CityCat4, Согласен. Но всё равно, прежде чем менять права, надо убедиться что в конкретном дистрибутиве их изменение не повлияет на работу системы.
Некоторые программы могут просто обидеться, увидев, что права отличаются от ожидаемых.

[CityCat4]

Rsa97, Да, это запросто. sudo, увидев, что права на /etc/sudoers отличаются от 0440 - просто работать не будет :)

[CityCat4]

fokin_nikolay1989, Здесь нужно подходить в зависимости от дистриба.
В генте нормальные права на /etc/shadow - 0600, а вот в центосе (даже в старом, el6) - 0000. Где-то есть группа shadow (в генте и центосе - нет) и владелец там root:shadow, в генте и центосе - владелец root:root

Других дистрибов под рукой нет.

Answer 1

[jcmvbkbc]

Если права на файл не go-rwx

разрешения на файл не могут быть go-rwx, эта запись означает "отнять rwx у g и o". Разрешения могут быть u=rw,go=. Получить их можно например так: stat -c %A /etc/shadow, а проверить условие -- командой test, например: if [ `stat -c %A /etc/shadow` != "-rw-------" ], или командой grep, например:

if ! stat -c %A /etc/shadow | grep -q '^....------$'

.

Кроме того, можно не париться и просто всегда делать chmod go-rwx /etc/shadow.