Какова цель пользователя "nobody"?

После прочтения списка всех пользователей-людей я заметил, что в моей системе Ubuntu есть учетная запись с именем «nobody».

Также я заметил, что могу войти в эту учетную запись с терминала, используя следующую команду и мой пароль:

sudo su nobody

Меня это не волнует, но я хочу знать, какова цель этого пользователя? Он создается по умолчанию при новой установке Ubuntu или создается путем установки определенного пакета?

Он там для запуска вещей, которые не требуют каких-либо специальных разрешений. Обычно он зарезервирован для уязвимых сервисов (httpd и т. Д.), Так что если они будут взломаны, они нанесут минимальный ущерб остальной системе.

Сравните это с выполнением чего-либо в качестве реального пользователя, если бы эта служба была скомпрометирована (веб-серверы иногда используются для запуска произвольного кода), она работала бы как этот пользователь и имела бы доступ ко всему, что имел пользователь. В большинстве случаев это так же плохо, как получение root.

Вы можете прочитать немного больше о пользователе nobody в Ubuntu Wiki:

• https://wiki.ubuntu.com/nobody

Чтобы ответить на ваши последующие действия:

Почему я не могу получить доступ к этой учетной записи su nobody?

sudo grep nobody /etc/shadowпокажет вам, что никто не имеет пароля, и вы не можете suбез пароля учетной записи. Самый чистый способ - sudo su nobodyвместо этого. Это оставит вас в довольно пустынной shраковине.

Можете ли вы привести конкретный пример, когда указано использовать этот аккаунт?

Когда разрешения не требуются для операций программы. Это особенно заметно, когда на диске никогда не будет никаких действий.

Реальный мир пример этого memcached(ключ-значение в памяти кэша / базы данных / вещь), сидя на моем компьютере , и мой сервер работает под никому счета. Почему? Потому что ему просто не нужны никакие разрешения, и предоставить ему учетную запись, у которой есть доступ на запись к файлам, будет просто ненужным риском.

Во многих вариантах Unix «никто» - это условное имя учетной записи пользователя, которая не имеет файлов, не имеет привилегированных групп и не имеет никаких возможностей, кроме тех, которые есть у каждого другого пользователя.

Обычно демоны запускаются как никто, особенно серверы, чтобы ограничить ущерб, который может нанести злонамеренный пользователь, получивший контроль над ними. Однако полезность этой техники уменьшается, если более чем один демон запускается таким образом, потому что тогда получение контроля над одним демоном обеспечит контроль над всеми ними. Причина в том, что никому не принадлежащие процессы имеют возможность отправлять сигналы друг другу и даже отлаживать друг друга, позволяя им читать или даже изменять память друг друга.

Информация взята с http://en.wikipedia.org/wiki/Nobody_(username) .

Пользователь никто не зарезервирован только для NFS.

Ответы выше довольно неправильны, потому что они предполагают, что nobodyэто «общий» идентификатор пользователя в стиле анонимного / гостевого стиля

В модели управления доступом UNIX / Linux идентификаторы анонимных / гостевых пользователей не существуют, и это плохие предложения:

• « Обычно запускаются демоны nobody, особенно серверы, чтобы ограничить ущерб, который может нанести злонамеренный пользователь, который получил над ним контроль». Из-за этого следует: « Однако полезность этого метода снижается, если более один демон запускается так, потому что тогда получение контроля над одним демоном обеспечит контроль над всеми ними ».
• « Реальным примером этого является memcached(кэш / база данных / вещи в ключе-значении), сидящий на моем компьютере, а мой сервер работает под nobodyучетной записью. Почему? Потому что ему просто не нужны какие-либо разрешения и давать ему учетная запись, у которой есть доступ на запись к файлам, будет просто ненужным риском ».

Имя nobodyпользователя с идентификатором пользователя 65534 было создано и зарезервировано для определенной цели и должно использоваться только для этой цели: в качестве заполнителя для «несопоставленных» пользователей и идентификаторов пользователей в экспорте дерева NFS.

То есть, если для экспорта дерева NFS не настроено отображение user / id, все файлы в экспорте будут принадлежать nobody. Цель этого состоит в том, чтобы запретить всем пользователям в импортирующей системе доступ к этим файлам (если у них нет «других» разрешений), поскольку ни один из них (кроме root) не может быть / стать nobody.

Поэтому это очень плохая идея использовать nobodyдля каких-либо других целей, потому что его цель - быть именем пользователя / идентификатором пользователя для файлов, которые не должны быть доступны никому.

Запись в вики тоже очень неправильная.

Практика UNIX / Linux заключается в создании новой учетной записи для каждого «приложения» или области приложения, для которой требуется отдельный домен контроля доступа, и никогда не использовать повторно nobodyза пределами NFS .

nobodyПользователя по умолчанию создается на новой установке (проверено на Ubuntu Desktop 13.04).

Во многих * nix вариантах nobodyэто обычное имя учетной записи пользователя, которая не имеет файлов, не имеет привилегированных групп и не имеет никаких возможностей, кроме тех, которые есть у каждого другого пользователя (у nobodyпользователя и группы нет записи в /etc/sudoersфайле) ,

Обычно демоны запускаются как nobodyсерверы, особенно для ограничения ущерба, который может нанести злонамеренный пользователь, получивший контроль над ним. Однако полезность этой техники уменьшается, если более чем один демон запускается таким образом, потому что тогда получение контроля над одним демоном обеспечит контроль над всеми ними. Причина в том, что известные nobodyпроцессы имеют возможность отправлять сигналы друг другу и даже отлаживать друг друга, позволяя им читать или даже изменять память друг друга.

_{Источник : Википедия - Никто (имя пользователя)}

Известные nobodyпроцессы могут отправлять сигналы друг другу и даже отслеживать друг друга в Linux, а это означает, что процесс, не принадлежащий никому, может читать и записывать память другого процесса, не принадлежащего никому.

Это пример записи nobodyпользователя в /etc/passwdфайле:

alaa@aa-lu:~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh

Как вы можете заметить, nobodyпользователь имеет /bin/shв качестве оболочки для входа и /nonexistentв качестве домашнего каталога. Как следует из названия, /nonexistentкаталог не существует, по умолчанию.

Если вы параноик, вы можете установить nobodyоболочку по умолчанию /usr/sbin/nologinи, таким образом, запретить вход в систему через ssh для nobodyпользователя.

_{Источник : LinuxG.net - Linux и Unix Никто не Пользователь}

никто не является специальной учетной записью пользователя и группы. Поскольку это фактическое имя пользователя (и имя группы) и может использоваться процессами и даже пользователями, это буквально никто . Например, в некоторых конфигурациях Apache никто не является пользователем / группой, которой принадлежат файлы и каталоги веб-сайта. Проблема возникает, когда несколько процессов могут использовать пользователя nobody, например каталоги NFS и веб-сервер.

Незначительное исправление: «Пользователь никто не зарезервирован только для NFS. ' ответ. В настоящее время nobodyпользователь также используется для непривилегированных контейнеров с привязными креплениями.

Это взято из systemd-nspawn, в частности, опция монтирования --bind:

Обратите внимание, что когда эта опция используется в сочетании с --private-users, полученные точки монтирования будут принадлежать пользователю nobody. Это связано с тем, что mount, его файлы и каталоги по-прежнему принадлежат соответствующим пользователям и группам хоста, которых нет в контейнере, и, следовательно, они отображаются под универсальным UID 65534 (никто). Если такие привязки монтируются, рекомендуется сделать их доступными только для чтения, используя --bind-ro =.

Systemd-nspawn