☰

普通用户可以读取 /etc/passwd。这是一个安全漏洞吗？

tag-icon • tag-icon permissions
普通用户可以读取 /etc/passwd。这是一个安全漏洞吗？

当检查 /etc/passwd 文件权限时，我发现所有用户对它都有读取权限。

$ ls -l /etc/passwd
-rw-r--r--. 1 root root 3381 2015-11-04 11:02 /etc/passwd

这是安全漏洞吗？为什么或为什么不？

答案1

这是安全漏洞吗？为什么或为什么不？

不，不是。/etc/passwd应该对用户只读（-rw-r--r--）。它有时被称为用户数据库。这应该能让我们明白为什么它需要对每个人都可读。任何检查文件元数据的实用程序都需要能够读取/etc/passwd（等等/etc/group），以便能够将内核及其子系统使用的数字 ID 解析为我们依赖的人性化名称。需要查找您的主目录的工具会在中查找该信息/etc/passwd，而 inet 微型服务器会fingers在中查找您的详细信息/etc/passwd。

正如其他地方指出的那样，文件中没有特别敏感的数据，因为现代系统将密码哈希放在/etc/shadow文件中，该文件仅由 root 读取。

相关内容