🔐 Linux 파일 권한 완전 정복 — chmod, chown, SUID/SGID/Sticky bit까지

-rwxr-xr-- 1 alice devteam 4096 Apr  3 10:00 deploy.sh
drwxr-s--- 2 root  devteam 4096 Apr  3 10:00 secrets/
-rwsr-xr-x 1 root  root    8192 Apr  3 10:00 /usr/bin/passwd

-rwxr-xr-- 1 alice devteam 4096 Apr  3 10:00 deploy.sh
│││││││││
│││││││││└─ other: r--
││││││└────  group: r-x
│││└───────  owner: rwx
││└────────  파일 타입
│└─────────  (없음)

r = 4 (100)
w = 2 (010)
x = 1 (001)
- = 0 (000)

chmod 755 deploy.sh     # -rwxr-xr-x
chmod 600 ~/.ssh/id_rsa # -rw-------
chmod -R 644 ./logs/    # 디렉토리 하위 전체 재귀 적용

chmod u+x script.sh       # owner에 실행 권한 추가
chmod go-w sensitive.txt  # group, other에서 쓰기 제거
chmod a=r readme.txt      # 모두 읽기 전용으로 지정
chmod u=rwx,go=r-x app    # owner는 rwx, group/other는 r-x

chown alice deploy.sh           # owner를 alice로
chown alice:devteam deploy.sh   # owner + group 동시 변경
chown :devteam deploy.sh        # group만 변경
chgrp devteam deploy.sh         # group만 변경 (chgrp)

chown -R www-data:www-data /var/www/html  # 재귀 적용

파일 기본 최대: 666 (rw-rw-rw-)
디렉토리 기본 최대: 777 (rwxrwxrwx)

umask = 022

파일:      666 - 022 = 644 (rw-r--r--)
디렉토리:  777 - 022 = 755 (rwxr-xr-x)

umask        # 0022
umask -S     # u=rwx,g=rx,o=rx (기호 방식)

umask 027    # 새 파일은 640, 디렉토리는 750

-rwsr-xr-x 1 root root /usr/bin/passwd
     ^
     s = SUID

chmod u+s /path/to/file   # SUID 설정
chmod 4755 /path/to/file  # 숫자 방식 (앞에 4)

drwxr-sr-x 2 root devteam secrets/
        ^
        s = SGID (디렉토리에 설정)

chmod g+s /shared/project   # SGID 설정
chmod 2755 /shared/project  # 숫자 방식 (앞에 2)

drwxrwxrwt 1 root root /tmp
          ^
          t = sticky bit

chmod +t /shared/uploads    # sticky bit 설정
chmod 1777 /shared/uploads  # 숫자 방식 (앞에 1)

# 잘못된 예
-rw-rw-r-- 1 alice alice ~/.ssh/id_rsa
# WARNING: UNPROTECTED PRIVATE KEY FILE!

# 올바른 설정
chmod 600 ~/.ssh/id_rsa    # -rw-------
chmod 700 ~/.ssh/          # drwx------
chmod 644 ~/.ssh/id_rsa.pub
chmod 600 ~/.ssh/authorized_keys

# Nginx/Apache 기준
chown -R www-data:www-data /var/www/html

# 정적 파일
find /var/www/html -type f -exec chmod 644 {} \;

# 디렉토리
find /var/www/html -type d -exec chmod 755 {} \;

# 업로드 디렉토리 (쓰기 허용, 실행 금지)
chmod 775 /var/www/html/uploads
chmod -R a-x /var/www/html/uploads  # 업로드된 파일에 실행 권한 없애기

# 시스템 전체 SUID 파일 목록
find / -perm -4000 -type f 2>/dev/null

# 일반적으로 있어야 하는 것들:
# /usr/bin/passwd
# /usr/bin/sudo
# /usr/bin/su

# 이외 의심스러운 SUID 파일이 있다면 확인 필요

# 1. 그룹 생성 및 멤버 추가
groupadd devteam
usermod -aG devteam alice
usermod -aG devteam bob

# 2. 공유 디렉토리 생성
mkdir /shared/project
chown root:devteam /shared/project

# 3. 그룹 쓰기 + SGID + sticky bit
chmod 2775 /shared/project  # rwxrwsr-x
chmod +t /shared/project    # 삭제 보호 추가 → rwxrws--t (3775)

# 결과: devteam 멤버는 파일 생성/수정 가능,
#       자기가 만든 파일만 삭제 가능,
#       새 파일은 자동으로 devteam 그룹 소유

# 잘못된 예 - 파일에도 실행 권한이 붙는다
chmod -R 755 /var/www/html

# 올바른 예
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

chmod -x /some/dir  # 이러면 cd도 못 하고 안에 있는 파일도 못 읽는다