Как работают права на файловом сервере?

Question

[Вася Пупкин]

Предоставили доступ к сетевой папке \\share1\Папка1\Папка2 я щелкаю на ссылку папка открывается.
Но если я захожу на \\share1 и пытаюсь зайти в "Папка1" то выдается ошибка доступа.

Почему так? Разве может быть доступ в конечную папку, если на среднюю отсутствует доступ на просмотр? Как я могу дойти до Папка2, если на Папка1 прав нет. Как в серверной винде с ролью "Файловый сервер" работает разграничение прав?

Comments

[CityCat4]

Разве может быть доступ в конечную папку, если на среднюю отсутствует доступ на просмотр?

Может. File Traversal называется. Придуман специально для того, чтобы не раскрывать каталог вышележащих папок тем, кого пустили куда-то в нижележащую папку. Ты можешь перейти в каталог, но не можешь его прочитать, то есть для успешного попадания туда нужно тупо знать имя той папки, куда можно.

Это примерно как можно обьяснить на бытовом уровне: вот тебя пустили в лупанарий. Тебе позволено зайти в коридор, куда выходят двери местных шестиминуток, на каждой из которых написано ее настоящее имя. Но в коридоре полная темнота и света зажигать не положено. Если ты знаешь как дойти до "своей" двери (типа "пятьдесят шагов вперед, поворот направо, дернуть ручку") - попадешь куда надо...

Answer 1

[Akina]

Как в серверной винде с ролью "Файловый сервер" работает разграничение прав?

Так же, как и везде. Есть права - есть доступ, нет - значит нет.

Разве может быть доступ в конечную папку, если на среднюю отсутствует доступ на просмотр?

Для доступа в подпапку не требуется доступ к её родителю. Папку тебе отдаёт сервер - а у него проблем с доступом к файловой системе нет. "Папку я прочитал, но я её тебе не отдам, потому что у тебя прав нету.."

Но если я захожу на \\share1 и пытаюсь зайти в "Папка1" то выдается ошибка доступа.

Попробуй из \\share1\Папка1\Папка2 подняться вверх по дереву каталогов - точно так же будет ошибка доступа.

Comments

[Вася Пупкин]

О как, а я думал если нет права на чтение, то это не работает. Понял, спасибо.

Т.е. условно если мне нужно будет дать доступ для доменного пользователя на папку \\share1\папка1\папка2\папка3 то я просто захожу в свойства "папка3" и даю права на чтение, при этом игнориую все предыдущие и там можно вообще не настраивать "наследование" для всех ниже лежаших, так?

[Akina]

Вася Пупкин, да, конечно.

Правда, есть тонкость. При отсутствии прав на промежуточные каталоги клиент не может найти разрешённый ресурс, идя от корня шары. Для доступа он должен сразу указать точный полный адрес - тогда он попадает в разрешённую ему область, минуя недоступные промежуточные уровни. А потому обычно на шару даются минимальные права на чтение с наследованием вниз по дереву каталогов. Если же чтение имён объектов не имеющим на них права доступа клиентом трактуется как нарушение безопасности, то это решается созданием прямых шар на подкаталоги с нужными назначениями для каждой комбинации прав и запретом перемещения за пределы шары (т.е. ресурс шары монтируется как корневой каталог).

[Ziptar]

Akina,
> Если же чтение имён объектов не имеющим на них права доступа клиентом трактуется как нарушение безопасности, то это решается созданием прямых шар на подкаталоги
Ну, в смб есть возможность не отображать для клиентов подкаталоги, на которые у них нет прав на чтение. Правда, это работает только внутри шары, сами шары в корне будут видны все.

Answer 2

[Adler]

Для доступа в папку вложенную в папку к которой нет доступа, нужны не право на ее чтение, а на траверс папок