A. Linux特殊权限 SUID、SGID、Sticky
文件的特殊权限有三种：1、suid;2、sgid;3、sticky，其中，suid和sgid用于累加提升权限，简单来说就是如果原来的用户可以访问，反而切换到的用户或者组不能访问，这时候照样是可以访问的，下面介绍下这三种权限。
SUID：
1、需要注意的是，只对二进制可执行程序有效，不能为普通文件;
2、发起者对程序文件必须拥有执行权限;
3、启动为进程之后，其进程的宿主为原程序文件的宿主;
4、SUID设置在目录上毫无意义。
SGID：
可以应用在二进制文件和作用在文件夹下，当作用在二进制文件下时，作用和SUID相似，只不过SUID是把发起者临时变为文件的所有者，而SGID是把进程的发起者变成源程序文件的属组，默认情况下，用户创建文件时，其属组为此用户所属的主组，当SGID作用在目录下时，则对此目录有写权限的用户在此目录中创建的文件所属的组为此目录的属组，通常用于创建一个协作目录。
Sticky：
默认情况下用户可以删除具有写权限的目录中的任何文件，无论该文件的权限或拥有权，如果在目录设置Sticky位，只有文件的所有者或root**可以删除该文件，Sticky位是作用在文件夹的，设置在文件上毫无意义。
B. Linux下的umask、特殊权限与ACL权限
在了解到Linux系统上的文件目录权限，有时候你会发现为什么刚创建的文件是 -rw-r--r-- 这个权限，目录是 drwxr-xr-x 权限，有些是 -rwsr-xr-x ，又有些是 drwsrws--T ?这些则与umask、特殊权限有关。
什么是umask？umask一般是用在你初始创建一个目录或者文件的时候赋予他们的权限。它与chmod的效果刚好相反，umask设置的是权限“补码”，而chmod设置的是文件权限码。一般在/etc/profile、
或用户家目录下的.bash_profile或.profile中设置umask值。
默认的umask是0022，0022四个数字代表是赋值初始化准备丢弃的权限。（相对应文件来说，x权限就算没说明出来丢弃一样必须默认丢弃）
第一个0代表suid 丢弃的权限；
第二个0代表本文件/目录拥有者什么权限都没丢弃；
第三个2代表本文件/目录的用户组丢弃了w权限；
第四个2代表本文件/目录的文件/目录的用户组丢弃了w权限。
一般我们会这样表示：
umask +default permission（默认权限） =777(目录)/666(文件)
但存在特殊情况如果把umask设为135呢？
要了解特殊权限需对安全上下文有一个概念：
前提：进程有属主和属组；文件有属主和属组
(1) 任何一个可执行程序文件能不能启动为进程,取决发起者对程序文件是否拥有执行权限
(2) 启动为进程之后，其进程的属主为发起者,进程的属组为发起者所属的组
(3) 进程访问文件时的权限，取决于进程的发起者
(a) 进程的发起者，同文件的属主：则应用文件属主权限
(b) 进程的发起者，属于文件属组；则应用文件属组权限
(c) 应用文件“其它”权限
1.SUID 权限仅对二进制程序(binary program)有效；
2.执行者对于该程序需要具有x 的可执行权限；
3.本权限仅在执行该程序的过程中有效(run-time)；
4.执行者将具有该程序拥有者(owner) 的权限。
5.SUID设置在目录上无意义
权限设定：
chmod u+s FILE...
chmod u-s FILE...
s 标志在文件拥有者的x 项目为SUID，那s 在群组的x 时则称为Set GID
[root@centos7 ~]# ls -l /usr/bin/locate
-rwx--s--x. 1 root slocate 40496 Jun 10 2014 /usr/bin/locate
与SUID 不同的是，SGID 可以针对文件或目录来设定！如果是对文件来说， SGID 有如下的功能：
-1.SGID 对二进制程序有用；
-2.程序执行者对于该程序来说，需具备x 的权限；
-3.执行者在执行的过程中将会获得该程序群组的支持！
[root@centos7 ~]# ll /usr/bin/locate /var/lib/mlocate/mlocate.db
-rwx--s--x. 1 root slocate 40496 Jun 10 2014 /usr/bin/locate
-rw-r-----. 1 root slocate 2349055 Jun 15 03:44 /var/lib/mlocate/mlocate.db
与SUID 非常的类似，使用xiaoming 这个账号去执行locate 时，那xiaoming将会取得slocate 群组的支持， 因此就能够去读取 mlocate.db 。
SGID 也能够用在目录上，这也是非常常见的一种用途
目录设定了SGID 的权限后，他将具有如下的功能：
-1. 用户若对于此目录具有r 与x 的权限时，该用户能够进入此目录；
-2.用户在此目录下的有效群组(effective group)将会变成该目录的群组；
-3.用途：若用户在此目录下具有w 的权限(可以新建文件)，则使用者所建立的新文件，该新文件的群组与此目录的群组相同。
这个 Sticky Bit, SBIT 目前只针对目录有效，sticky 设置在文件上无意义。SBIT 对于目录的作用是：
-1.当用户对于此目录具有w, x 权限，亦即具有写入的权限时；
-2.当用户在该目录下建立文件或目录时，仅有自己与root 才有权力删除该文件
SUID/SGID/SBIT 权限设定
-rwSrwSrwT 1 root root 0 Jun 16 02:53 test
设定权限成为 -rws--x--x 的模样：
[root@centos7 tmp]# chmod u=rwxs,go=x test; ls -l test
-rws--x--x 1 root root 0 Jun 16 02:53 test
承上，加上 SGID 与 SBIT 在上述的文件权限中！
[root@centos7 tmp]# chmod g+s,o+t test; ls -l test
-rws--s--t 1 root root 0 Jun 16 02:53 test
1】ACL 是Access Control List 的缩写，主要的目的是在提供传统的owner,group,others 的read,write,execute 权限之外的细部权限设定。ACL 可以针对单一使用者，单一文件或目录来进行
ACL 主要可以针以下来控制权限呢：
1.使用者 (user)：可以针对使用者来设定权限；
2.群组 (group)：针对群组为对象来设定其权限；
3.默认属性(mask)：还可以针对在该目录下在建立新文件/目录时，规范新数据的默认权限；
及1.ACL：Access Control List，实现灵活的权限管理；2.CentOS7默认创建的xfs和ext4文件系统具有ACL功能；3.CentOS7之前版本，默认手工创建的ext4文件系统无ACL功能,需手动增加tune2fs –o acl/dev/sdb1
mount –o acl/dev/sdb1 /mnt/test
4.ACL生效顺序：所有者，自定义用户，自定义组，其他人
为多用户或者组的文件和目录赋予访问权限rwx
2】ACL 的设定技巧： getfacl, setfacl
-x ：删除后续的 acl 参数，不可与 -m 合用；
-b ：移除『所有的』 ACL 设定参数；
-k ：移除『预设的』 ACL 参数，
-R ：递归设定 acl ，亦即包括次目录都会被设定起来；
-d ：设定『预设 acl 参数』的意思！只对目录有效，在该目录新建的数据会引用此默认值
例：[root@centos7 ~]# touch acl_test1
[root@centos7 ~]# ll acl_test1
-rw-r--r--. 1 root root 0 Jul 21 17:33 acl_test1
[root@centos7 ~]# setfacl -m u:xiaoming:rx acl_test1
[root@centos7 ~]# ll acl_test1
-rw-r-xr--+ 1 root root 0 Jul 21 17:33 acl_test1
[root@centos7 ~]# setfacl -m u::rwx acl_test1
[root@centos7 ~]# ll acl_test1
-rwxr-xr--+ 1 root root 0 Jul 21 17:33 acl_test1
设定值中的 u 后面无使用者列表，代表设定该文件拥有者
2.getfacl 指令用法余setfacl一样
例：[root@centos7 ~]# getfacl acl_test1
file: acl_test1 <==说明档名而已！
owner: root <==说明此文件的拥有者，亦即 ls -l 看到的第三使用者字段
group: root <==此文件的所属群组，亦即 ls -l 看到的第四群组字段
user::rwx <==使用者列表栏是空的，代表文件拥有者的权限
user:xiaoming:r-x <==针对xiaoming 的权限设定为 rx ，与拥有者并不同！
group::r-- <==针对文件群组的权限设定仅有 r
mask::r-x <==此文件预设的有效权限 (mask)
other::r--
3】特定的单一群组的权限设定：『g:群组名:权限』
4】主要的文件操作命令cp和mv都支持ACL，只是cp命令需要加上-p 参数。但是tar等常见的备份工具是不会保留目录和文件的ACL信息
getfacl -R /tmp/dir1 > acl.txt
setfacl -R -b /tmp/dir1
清除dir目录的ACL权限
setfacl -R --set-file=acl.txt /tmp/dir1
setfacl --restore acl.txt
getfacl -R /tmp/dir1
C. Linux的几个特殊权限
在Linux系统中，setuid与setgid权限是文件的一种特殊属性，通过这些权限可以让执行该命令的用户以该命令拥有者的权限去执行。
以/etc/passwd和/usr/bin/passwd为例，/etc/passwd的权限为-rw-r--r--，所有者拥有读写的权限，而用户组成员和其它成员只有查看的权限。当用户需要修改某个用户的密码时，无论是root用户还是普通用户，都可以通过执行/usr/bin/passwd someuser命令来修改/etc/passwd文件。这里就用到了setuid，setuid的作用是让执行该命令的用户以命令拥有者的权限去执行。因此，普通用户执行passwd命令时会拥有root的权限，从而可以修改/etc/passwd文件。setuid标志为s，会出现在x的位置。
setgid与setuid类似，setgid的作用是让执行文件的用户以文件所属组的权限去执行。setgid标志同样为s，会出现在x的位置。
stick bit（粘滞位）主要用于目录，如/tmp。临时文件目录/tmp允许所有用户拥有所有权限，但存在一个安全问题：如果用户A在该目录下创建了一个文件，用户B将该文件删除了，这显然是不允许的。为了防止这种情况，引入了粘滞位的概念。如果目录设置了粘滞位，则该目录下的文件除了文件的创建者和root用户可以删除和修改，其他用户均不能动别人的文件。
设置上述特殊权限的方法如下：
需要注意的是，有时你设置了s或t权限，你会发现它变成了S或T，这是因为你在该位置上没有给它x（可执行）的权限。如果没有x权限，这样的设置是无效的。你可以先给它赋上x的权限，然后再给s或t的权限。
D. Linux的特殊权限SUIDSGID和SBIT讲解
1、SUID，就重要的作用就是让其它用户在执行这个授有SUID的程序时拥有该程序拥有者的权限。
就直接的例子就是passwd这命令：[root@localhost www]# ll /usr/bin/passwd
-rwsr-xr-x 1 root root 31736 8月 22 2010 /usr/bin/passwd
passwd只有root才有执行权，但它授了SUID权限，其它用户执行的时候就会暂时拥有root的权限
2、SGID，对目录使用，使目录下面的程序在执行时暂时获得拥有者的权限：[root@localhost www]# ll /usr/bin/locate
-rwx--s--x 1 root slocate 38464 8月 24 2010 /usr/bin/locate
3、SBIT，对也是目录使用，该目录下的文件只有自己和root才可以删除：[root@localhost www]# ll / | grep "tmp"
drwxrwxrwt. 6 root root 4096 11月 18 15:38 tmp
授权方法：
4-SUID
2-SGID
1-SBIT
chmod 4755 filename
今天对这三个东西有了个重新的认识。