java安全編碼指南之:檔案和共享目錄的安全性

簡介

java程式是跨平台的，可以運作在windows也可以運作在linux。但是平台不同，平台中的檔案權限也是不同的。windows大家經常使用，并且是可視化的權限管理，這裡就不多講了。

本文主要講講linux下面的檔案的權限和安全性問題，并且探讨一下如何在java程式中考慮檔案的安全性。

linux下的檔案基本權限

chmod是linux下面的權限管理指令，我們可以通過chmod來對檔案的權限進行修改。

普通檔案的權限有三種，rwx分别是讀，寫和執行。再加上三個使用者分組：owner，group，other 我們可以很友善的使用三個0-7的數字來表示一個檔案的權限。

舉個例子，我們建立一個檔案：

touch test.log           

看一下預設的檔案權限：

ll test.log
-rw-r--r--  1 flydean  wheel     0B  8 16 10:36 test.log           

預設的檔案權限是644，也就是說owner權限是讀寫，group權限是讀，其他權限是讀。

我們可以使用chmod指令對其進行修改，比如：

chmod 777 test.log
ll test.log
-rwxrwxrwx  1 flydean  wheel     0B  8 16 10:36 test.log           

可以看出權限被修改成為777。

linux檔案的特殊權限

講完普通權限，我們接下來講一下linux檔案中的特殊權限。

Set UID 和 Set GID

考慮一個常用的修改密碼的例子，修改密碼調用的是/usr/bin/passwd,看下這個檔案的權限：

ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 27832 Jun 10  2014 /usr/bin/passwd           

可以看到有個很奇怪的s權限。這個s是什麼意思呢？s實際是x的變種，是一種特殊的可執行權限。

特殊在哪裡呢？passwd是修改使用者的密碼，密碼檔案實際上是存放在 /etc/shadow中的。

我們看下/etc/shadow的權限：

ll /etc/shadow
---------- 1 root root 707 Jan  2  2020 /etc/shadow           

/etc/shadow的owner是root，隻有root才權限強行寫入這個檔案。

那麼問題來了，普通使用者調用passwd是怎麼修改的/etc/shadow呢？

這就是s的妙用，s表示Set UID，簡稱為SUID，這個UID表示User的ID，而User表示這個程式（/usr/bin/passwd）的擁有者（root），那麼我們在調用passwd的過程時候，就會暫時擁有passwd owner的權限，也就是root權限。

注意，SUID隻能用在二進制檔案中，它是對x權限的一個替換，并且SUID對目錄是無效的。

同樣的，我們也可以給group設定UID權限，也就是Set GID。

不同的是SGID可以使用在檔案和目錄兩個地方。

用在檔案中是和SUID一樣的，用在目錄中的意思是在該目錄中所建的檔案或目錄的使用者組都和該目錄的使用者組是一樣的。

Sticky Bit

Sticky Bit表示的是特殊的other權限，用t來表示。

/tmp目錄就是一個Sticky Bit的例子： drwxrwxrwt 。

SBit對目錄的作用是：“在具有SBit的目錄下，使用者若在該目錄下具有w及x權限，則當使用者在該目錄下建立檔案或目錄時，隻有檔案擁有者與root才有權力删除”

這個特性就是為了保護我們在共享目錄下的檔案不被别人删除。

SUID/SGID/SBIT權限設定

怎麼設定這些權限呢？

普通權限我們是用3個數字來表示的，我們可以在3個數字之前再加上一個數字表示SUID/SGID/SBIT權限。

和普通權限一樣，我們用4來表示SUID，2表示SGID，1表示SBIT。

舉個例子：

touch test
chmod 6755 test
ll test
-rwsr-sr-x 1 crawler crawler 0 Aug 16 11:43 test           

注意，有時候我們會遇到大寫的S與T的情況，這種情況出現在user、group以及others都沒有x這個可執行的标志，是以大寫的S和T表示為空。

檔案隐藏屬性

有些linux系統提供了chattr指令來設定檔案隐藏屬性。

我們看下chattr的使用：

Usage: chattr [-RVf] [-+=aAcCdDeijsStTu] [-v version] files...           

參數：

• ： 增加某個特殊參數，其他原本存在的參數不動。
• ： 删除某個特殊參數，其他原本存在的參數不動。

= ： 設定一定，且僅有後面接的參數

A ： 當設定了A屬性時，這個檔案（或目錄）的存取時間atime（access）将不可被修改，可避免例如手提電腦有磁盤I/O錯誤的情況發生。

S ： 這個功能有點類似sync.就是将資料同步寫入磁盤中。可以有效地避免資料流失。

a ： 設定a之後，這個檔案将隻能增加資料，而不能删除，隻有root才能設定這個屬性。

c ： 這個屬性設定之後，将會自動将此檔案“壓縮”，在讀取的時候将會自動解壓縮，但在存儲的時候，将會先進行壓縮後再存儲（對于大檔案有用）。

d ： 當執行dump（備份）程式的時候，設定d屬性将可使該檔案（或目錄）具有轉儲功效。

i ： i的作用很大。它可以讓一個檔案“不能被删除、改名、設定連接配接，也無法寫入或新增資料”。對于系統安全性有相當大的幫助。

j ： 當使用ext3檔案系統格式時，設定j屬性将會使檔案在寫入時先記錄在journal中。但是，當檔案系統設定參數為data=journalled時，由于已經設定日志了，是以這個屬性無效。

s ： 當檔案設定了s參數時，它将會從這個硬碟空間完全删除。

u ： 與s相反，當使用u來設定檔案時，則資料内容其實還存在磁盤中，可以用來還原删除。

特殊檔案

linux中還有一些特殊的檔案，比如連結檔案和裝置檔案。

在處理連結檔案的時候，我們需要注意判斷連結檔案的真實指向。

而裝置檔案我們需要注意不合理的授權通路。

java中在共享目錄中使用檔案要注意的問題

共享目錄中因為所有人都有操作檔案的權限，是以，我們需要特别注意在java中共享目錄中檔案的操作。

根據java的規範， java.nio.channels.FileLock可以用來表示檔案的鎖定。

通常來講，鎖定有兩種，一種是排他鎖，一種是共享鎖。

共享鎖可防止其他同時運作的程式擷取重疊的排他鎖，但确實允許它們擷取重疊的共享鎖。排他鎖可防止其他程式擷取任一類型的重疊鎖。

共享鎖支援來自多個程序的并發讀取通路；獨占鎖支援獨占寫通路。

但是，加鎖是否真正的阻塞其他程式對該檔案的通路，實際是取決于作業系統。

在使用中，我們需要對使用者使用者傳入的檔案進行一些必要的校驗，比如是否是正常檔案：

String filename = /* Provided by user */;
Path path = new File(filename).toPath();
try {
  BasicFileAttributes attr = Files.readAttributes(
      path, BasicFileAttributes.class, LinkOption.NOFOLLOW_LINKS);

  // Check
  if (!attr.isRegularFile()) {
    System.out.println("Not a regular file");
    return;
  }
  // Other necessary checks

  // Use
  try (InputStream in = Files.newInputStream(path)) {
    // Read file
  };
} catch (IOException x) {
  // Handle error
}           

上面的例子中，我們通過擷取File的屬性，來判斷這個屬性是否regularFile,注意，我們在讀取檔案屬性的時候，傳入了一個LinkOption.NOFOLLOW_LINKS，表示的是不要follow連結。

雖然我們首先判斷了file的權限，然後再對其進行操作，但是上面的例子還是會有問題的。因為存在時間差的問題，如果惡意使用者在判斷之後将檔案替換成了惡意的連結檔案，就會出現問題。

安全目錄

為了保證使用者的檔案操作安全性，我們引入一個安全目錄的概念，所謂安全目錄就是目錄除了使用者本身和超級管理者之外，沒有其他使用者的寫通路權限，并且給定檔案的父目錄不會被除了系統管理者之外的其他任何使用者删除或重命名。

在下方的源碼連結中，我提供了一個檢視安全目錄的class，大家可以自行檢視。

本文的代碼：

learn-java-base-9-to-20/tree/master/security

本文已收錄于 http://www.flydean.com/java-security-code-line-file-security/

最通俗的解讀，最深刻的幹貨，最簡潔的教程，衆多你不知道的小技巧等你來發現！

歡迎關注我的公衆号:「程式那些事」,懂技術，更懂你！