🐧 Linux · 20 вопросов · ~45 мин · ⏱ Таймер 45:00 · Лёгкий · 👥 2 прошли

Пользователи, группы и права

Доступ в Linux определяется не одной строкой rwx. На решение влияют действующие UID и группы, права каталога, ACL, специальные биты, umask и точная граница административной команды. Тест предлагает разбирать реальные ситуации доступа, а не угадывать разрешение по внешнему виду файла.

Отвечено: 0 из 20

⏱ --:--

💡 Инструкция: Выбери один ответ из четырёх. На 20 вопросов отведено 45 минут. Не меньше половины заданий требуют разобрать команды, сценарий Bash, конфигурацию или диагностический вывод. После завершения откроются общий процент, четыре тематические шкалы, правильные ответы и краткий разбор каждого решения.

Вопрос 1 из 20

Почему getent passwd alice надёжнее простого grep alice /etc/passwd в системе с централизованными учётными записями?

getent passwd alice
id alice
getent group developers

getent проверяет пароль пользователя перед выводом записи /etc/passwd хранит данные лишь о root getent использует все источники NSS getent показывает только активные сеансы

Вопрос 2 из 20

Где в обычной современной системе хранятся хеши локальных паролей?

awk -F: '$1=="alice" {print $1,$2}' /etc/passwd
sudo awk -F: '$1=="alice" {print $1,$2}' /etc/shadow

/etc/shadow /etc/passwd /var/log/auth.log /etc/group

Вопрос 3 из 20

Команда id запущена без имени пользователя внутри обычной оболочки. Какие сведения она покажет?

UID, основной GID и дополнительные группы текущего процесса Всех локальных пользователей из /etc/passwd PID оболочки и идентификатор её родителя Владельца текущего каталога и его права

Вопрос 4 из 20

Нужно выполнить одну команду от имени пользователя backup, не открывая интерактивную оболочку. Какой вариант точнее?

sudo -u backup -- test -r /srv/archive/index.json

su backup без команды chmod u+s command sudo -u backup -- command args export USER=backup; command

Вопрос 5 из 20

Служебной учётной записи не нужен интерактивный вход. Какая мера прямо уменьшает риск?

Удалить UID из /etc/passwd после запуска службы Добавить учётную запись в группу sudo на случай ремонта Назначить оболочку вроде /usr/sbin/nologin и выдавать только нужные права на данные Сделать домашний каталог доступным всем на запись

Вопрос 6 из 20

Пользователя добавили в группу developers, но уже открытая оболочка не видит членство. Почему?

sudo usermod -aG developers alice
# в старом сеансе alice:
id -nG
newgrp developers
id -nG

Дополнительные группы работают лишь для root Группы применяются только после перезагрузки ядра Команда usermod меняет только отображаемое имя Группы зафиксированы в сеансе; нужен новый вход или newgrp

Вопрос 7 из 20

Какую группу обычно получает новый файл в обычном каталоге без setgid и специальных настроек наследования?

Группу владельца родительского каталога Группу root независимо от автора Первую дополнительную группу пользователя Действующий GID создающего процесса

Вопрос 8 из 20

Что даёт setgid-бит на общем каталоге?

chgrp developers /srv/shared
chmod 2775 /srv/shared
stat -c '%A %a %G' /srv/shared

Новые объекты наследуют группу каталога, а не случайную основную группу автора Каждый файл становится исполняемым от имени группы Только владелец каталога может читать имена Новые файлы наследуют у каталога групповой бит исполнения, а не группу

Вопрос 9 из 20

Почему chmod 777 общего каталога хуже, чем группа developers и режим 2770?

777 открывает запись всем, 2770 — только группе 777 отключает журналирование файловой системы 2770 запрещает создавать подкаталоги Группы не работают для каталогов

Вопрос 10 из 20

Нужно временно запустить оболочку с новой основной группой для создаваемых файлов. Какая команда предназначена для этого?

newgrp developers <<'EOF'
touch /srv/shared/from-newgrp
stat -c '%G' /srv/shared/from-newgrp
EOF

chgrp developers groups developers usermod developers newgrp developers

Вопрос 11 из 20

У каталога права drwx------. Пользователь знает полное имя файла внутри, но не владелец. Сможет ли он открыть файл с правами 644?

namei -l /srv/private/report.txt

Да, 644 файла достаточно для любого чтения Нет, без x на каталоге нельзя пройти к записи файла Да, если не выполнять ls Нет только потому, что отсутствует r на каталоге

Вопрос 12 из 20

Что означает право w на каталог вместе с x?

Возможность создавать, переименовывать и удалять записи каталога независимо от записи в сам файл Автоматическую смену владельца новых файлов Возможность менять содержимое любого файла без других проверок Разрешение только перечислять имена

Вопрос 13 из 20

Какой восьмеричный режим соответствует rw-r-----?

chmod 640 secret.txt
stat -c '%A %a' secret.txt

604 660 740 640

Вопрос 14 из 20

Зачем sticky bit установлен на /tmp?

Сохраняет файлы /tmp между перезагрузками Запрещает запуск исполняемых файлов из /tmp Заставляет новые файлы наследовать группу каталога Не даёт пользователю удалять чужие записи в общем каталоге

Вопрос 15 из 20

ACL содержит user:alice:rwx, но mask::r-x. Какие эффективные права у alice?

getfacl project
# user::rwx
# user:alice:rwx        #effective:r-x
# group::r-x
# mask::r-x
# other::---

rw- r-x rwx ---

Вопрос 16 из 20

При umask 027 какие права обычно получит новый обычный файл, создаваемый с базой 666?

umask 027
touch sample
stat -c '%a' sample

750 650 600 640

Вопрос 17 из 20

При той же umask 027 какие права обычно получит новый каталог с базой 777?

750 640 700 755

Вопрос 18 из 20

Почему sudo echo value > /root/file часто завершается Permission denied?

printf '%s\n' value | sudo tee /root/file >/dev/null

Перенаправление открывает текущая оболочка до запуска sudo echo sudo запрещает символ > sudo повышает права всей строки, включая перенаправление > echo сбрасывает права root после вывода

Вопрос 19 из 20

Какое правило sudoers ближе к принципу минимальных привилегий для перезапуска одной службы?

%operators ALL=(root) /usr/bin/systemctl restart myapp.service

Точный systemctl restart myapp.service без иных аргументов Добавить пользователя в группу root Разрешить /bin/systemctl * myapp.service с произвольным действием Разрешить ALL=(ALL) NOPASSWD: ALL

Вопрос 20 из 20

Почему root-скрипт, запускаемый через sudo, не должен быть доступен пользователю на запись?

namei -l /usr/local/sbin/rotate-private
stat -c '%U %G %A' /usr/local/sbin/rotate-private

sudoers сверяет контрольную сумму скрипта перед каждым запуском Пользователь сможет изменить код, который затем выполнится с повышенными правами sudo проверяет только расширение файла Bash проверяет владельца скрипта, но не права записи на него

Ответьте на все 20 вопросов, чтобы получить результат

🔗 Встроить тест на свой сайт (iframe) ▼

Скопируйте код и вставьте в любое место на вашем сайте:

Также доступна прямая ссылка на embed-страницу