普通用户可以读取/etc/passwd。这是个安全漏洞吗？

Question

当检查/etc/passwd文件权限时，我发现所有用户都拥有对它的读取权限。

$ ls -l /etc/passwd
-rw-r--r--. 1 root root 3381 2015-11-04 11:02 /etc/passwd

这是个安全漏洞吗？为什么或者为什么不？

Answer 1

这是个安全漏洞吗？为什么或者为什么不？

不，它不是，/etc/passwd应该是用户的只读版(-rw-r-r--)。它有时被称为用户数据库。这应该给我们一个线索，为什么它需要为每个人可读的。任何检查文件元数据的实用程序都需要能够读取/etc/passwd (以及/etc/group)，以便能够将内核及其子系统使用的数字in解析为我们所依赖的友好人名。需要查找主目录的工具在/etc/passwd中查找这些信息，而像fingers这样的inet在/etc/passwd中查找您的详细信息。

正如其他地方所指出的，文件中没有特别敏感的数据，因为现代系统将密码散列放在/etc/shadow文件中，该文件由根用户读取。