Calculateur chmod

Chaque chiffre correspond à une classe : le propriétaire, puis le groupe, puis les autres. Dans un chiffre, la lecture vaut 4, l'écriture 2 et l'exécution 1 : 7 vaut donc 4+2+1 (lecture, écriture, exécution), 5 vaut 4+1 (lecture et exécution) et 0 ne donne rien. 755 permet donc tout au propriétaire, tandis que le groupe et tous les autres peuvent lire et exécuter, mais pas modifier. C'est le mode habituel d'un programme et de presque tous les répertoires d'un système.

Uniquement le bit d'exécution. 644 donne au propriétaire la lecture et l'écriture, et la lecture à tous les autres ; 755 ajoute l'exécution pour les trois classes. Les fichiers de données veulent 644 ; un bit d'exécution sur un PDF ou une photo ne fait que semer la confusion. Les programmes, les scripts shell et tous les répertoires veulent 755, car on ne peut pas entrer dans un répertoire sans exécution, même si l'on peut le lister.

Il accorde l'écriture à tous les comptes de la machine, y compris les comptes de service qu'un attaquant atteint en premier. Un serveur web tournant sous www-data qui peut réécrire l'application qu'il sert transforme une petite faille d'import de fichiers en exécution de code arbitraire. Recourir à 777 signifie aussi que la vraie cause (généralement le mauvais propriétaire ou le mauvais groupe) n'est jamais trouvée, si bien que l'exposition demeure longtemps après que l'erreur d'origine a été oubliée. Corrigez la propriété avec chown et accordez le mode le plus restreint qui fonctionne.

Seulement pour définir setuid (4000), setgid (2000) ou le sticky bit (1000). Écrire 755 ou 0755 revient au même, car un chiffre initial absent vaut zéro. C'est en retirant ces bits que la surprise arrive : GNU chmod laisse volontairement intacts le setuid et le setgid d'un répertoire si vous ne les nommez pas, donc sous Linux ni chmod 755 ni chmod 0755 ne retirent le setgid d'un répertoire ; il faut chmod g-s, chmod =755 ou le chmod 00755 à cinq chiffres. Le chmod de BSD, macOS compris, les retire au contraire avec un simple mode à trois chiffres. Sur un fichier ordinaire, toutes les versions les retirent.

Cela signifie que le bit spécial est activé mais pas le bit d'exécution correspondant, si bien que le bit spécial ne peut pas agir. rwSr--r-- est un fichier setuid que le propriétaire ne peut pas exécuter ; drwxrwxrwT est un répertoire sticky sans exécution pour les autres. Un s ou un t minuscule signifie que les deux bits sont activés et que le comportement est effectif. Une majuscule signifie généralement que le bit d'exécution a été retiré après l'activation du bit spécial, ou qu'un mode à quatre chiffres a été saisi sans le x correspondant ; dans les deux cas, le mode ne fait pas ce qu'il semble faire.

Parce que supprimer n'est pas une opération sur le fichier, mais sur le répertoire qui contient le nom. L'écriture plus l'exécution sur le répertoire suffisent pour délier n'importe quelle entrée qu'il contient, quoi qu'en dise le fichier lui-même. C'est précisément la brèche que referme le sticky bit : dans un répertoire 1777 comme /tmp, seul le propriétaire d'une entrée, le propriétaire du répertoire ou root peut la supprimer.

Il accorde la traversée : le droit de résoudre un nom à l'intérieur et d'atteindre tout ce qui se trouve plus bas. La lecture et l'exécution sont indépendantes : la lecture sans l'exécution vous permet de lister les noms sans pouvoir les utiliser, donc ls fonctionne mais l'ouverture de n'importe quel résultat échoue. L'exécution sans la lecture est l'inverse, et c'est une vraie technique : le mode 711 sur un répertoire personnel permet à un serveur web d'atteindre public_html sans laisser quiconque lister le reste de son contenu. Chaque répertoire d'un chemin a besoin de l'exécution, sinon la recherche échoue à ce niveau.

chmod définit un mode directement ; umask ne fait que retirer des bits, et seulement au moment où quelque chose est créé. Le noyau propose 666 pour un nouveau fichier et 777 pour un nouveau répertoire, puis efface chaque bit désigné par le masque : c'est pourquoi le umask courant de 022 produit des fichiers 644 et des répertoires 755, et pourquoi les nouveaux fichiers ne sont jamais exécutables. C'est un réglage propre à chaque processus : le modifier dans un shell affecte ce shell et ses processus enfants, et rien de ce qui existe déjà.