Unix系統中,有些程序由系統作為root進程運行.這些程序并不總是具有suid許可,因為其不少程序僅由root運行,系統管理員需要清楚這些程序做什么,以及這些程序還將運行其它什么程序.

(1)啟動系統

當某些unix系統(如sco unix/xenix)啟動時,是以被稱為單用戶的方式運行,在這種方式中普通用戶不能登錄,唯有的進程是init,swapper,以及一些由系統管理員從控制臺運行的進程.unix系統的單用戶方式啟動,使系統管理員能在允許普通用戶登錄以前,先檢查系統操作,確保系統一切正常,當系統處于單用戶方式時,控制臺作為超級用戶,命令揭示是"#",有些unix系統不要確認超級用戶口令就認可控制臺是root,給出#提示符.這就可能成為一個安全問題.

(2)init進程

unix系統總是以某種方式或稱為某種級運行,系統有若干種運行級,這些運行級由init進程控制.unix系統啟動時以單用戶方式運行,也叫1級或s級.對于其他用戶登錄進入系統,unix有一種多用戶運行方式,也叫2級init進程控制系統運行級,它讀入文件/etc/inittab,該文件詳細地規定了哪些進程在哪一級運行.當root敲入init n(數字),系統就進入n級.init讀該文件以確定終止哪些進程,啟動哪些進程.

有效的運行級的數值是從0到6與s.

注意:由init建立的進程以uid為0運行(root)從/etc/inittab運行的程序也作為root運行,所以系統管理員要確保自己知道/etc/inittab中的程序做什么工作,確保這些程序以及這些程序所在的目錄直到/和/etc/inittab除root外無人可寫.

(3)進入多用戶

當unix系統進入多用戶方式時,將寢化一系列事件,接著開始執行gettys,允許其他用戶登錄進入系統.如果再看看/etc/inittab文件,會看到gettys定義在運行級2,至少三個shell程/etc/brc,/etc/bcheckrc,/etc/rc*也定義在運行級2.這些程序都在gettys啟動前運行.這些shell程序作為root運行,也不能僅對root可寫還應當檢查shell程序運行的命令,因為這些命令也將作為root運行.

(4)shutdown命令

用shutdown命令關系統,shutdown shell程序發送警告通知所有用戶離開系統,在"給定的期限時間"到了后,就終止進程,拆卸文件系統,進入單用戶方式或關機狀態.一旦進入單用戶方式,所有的gettys停止運行,用戶再不能登錄.

進入關機狀態后可將系統關電.

shutdown僅能由作為root登錄的用戶從系統控制臺上運行.所以任何的shutdown運行的命令僅能對root可寫.

(5)系統v的cron程序

cron在unix系統是多用戶方式時運行,根據規定的時間安排執行指定的命令,每隔一分鐘檢查一次文件/usr/lib/crontab,尋找是否有應當運行的程序?

如果找到要運行的程序,就運行該程序,否則睡眠等待一分鐘.實際的/usr/lib/crontab用于根據全天的規則時間表運行程序,也可在夜晚運行白天不愿運行怕降低其他用戶速度的程序.通常由cron運行的程序是如記帳,存文件這樣的程序.cron一般在系統進入多用戶后由/etc/rc啟動,當shutdown運行killall命令時便終止運行.由cron運行的程序作為root,所以應當注意放什么程序在crontab中,還要確保/usr/lib/crontab和該表中列出的任何程序對任何人不可寫.

如果用戶需要由cron執行一個程序,系統管理員可用su命令在crontab表中建立一個入口,使用戶的程序不能獲得root的權限.

(6)系統v版本2之后的cron程序

在系統v版本2中,cron被修改成允許用戶建立自己的crontab入口,/usr/lib/crontab文件不再存在,由目錄/usr/spool/cron/crontabs中的文件代替.這些文件的格式與crontab相同,但每個文件與系統中的一個用戶對應,并以某用戶的名義由cron運行.

如果想限制能建立crontab的用戶,可在文件/usr/lib/cron/cron.allow文件中列出允許運行crontab命令的用戶.任何未列于該文件的用戶不能運行crontab.反之,若更愿意列出不允許運行crontab命令的用戶,則可將他們列入/usr/lib/cron/cron.deny文件中,未列于該文件的其他用戶將被允許建立crontab.

注意:若兩個文件都存在,系統將使用cron.allow,忽略cron.deny.如果兩個文件都不存在,則只有root可運行crontab.所以,若要允許系統中的所有用戶都可運行crontab命令,應當建立一個空的cron.deny文件,如果cron.allow也存在,則刪除該文件.

這個版本的cron命令的安全程度比前一個高,因為用戶只能看自己的crontab,系統管理員也不必擔心其他用戶的程序是否會作為root運行,由于允許每個系統登錄用戶有自己的crontab,也簡化了對程序必須由cron運行,但不必作為root運行的系統程序的處理.

必須確保root的crontab文件僅對root可寫,并且該文件所在的目錄及所有的父目錄也僅對root可寫.

(7)/etc/profile

每當用戶(包括root在內)登錄時,由shell執行/etc/profile文件,應確保這個文件以及從這個文件運行的程序和命令都僅對root可寫. 5./etc/passwd文件/etc/passwd文件是unix安全的關鍵文件之一.該文件用于用戶登錄時校驗用戶的口令,當然應當僅對root可寫.文件中每行的一般格式為:logname:password:uid:gid:userinfo:home:shell

每行的頭兩項是登錄名和加密后的口令,后面的兩個數是uid和gid,接著的一項是系統管理員想寫入的有關該用戶的任何信息,***兩項是兩個路徑名:一個是分配給用戶的home目錄,第二個是用戶登錄后將執行的shell(若為空格則缺省為/bin/sh).