当存在noexec时，为什么需要用nosuid挂载分区？

我正在使用Fedora Core。我要创建一个分区/ data，用户在其中发布一些数据（都具有r + w权限）。因此，出于安全目的，我必须使其不可执行。

我从Linux安全性中了解到，noexec并且nosuid在安装过程中必须同时为/ data启用。我了解noexec并启用了它。但是我没有nosuid启用。

任何理由都noexec和nosuid应/数据启用？这还noexec不够nosuid吗？因为用户将无法运行脚本和其他程序，这没有关系吗？

linux security partitioning

— Zethra
source

您会这样认为（这nosuid是多余的），是的。您是否可以引用任何建议您nosuid即使noexec已启用也需要启用的参考？

— Celada

其实我到处都看到了。甚至CIS基准测试也将nosuid声明为对/ tmp分区的另一种检查。其他参考文献都只是谷歌搜索：techrepublic.com/blog/opensource/...

— zethra

我不得不猜测它们只是安全的：因此，如果您忘记设置noexec，至少还可以nosuid。尽管这是一个很弱的论点，因为两个标志都配置在同一位置，因此，如果您忘记了一个，则很可能也会忘记另一个！

— Celada

根据安装手册页

Noexec

不允许在已挂载的文件系统上直接执行任何二进制文件。（直到最近，仍可以使用/lib/ld*.so / mnt / binary之类的命令来运行二进制文件。此技巧自Linux 2.4.25 / 2.6.0起失败。）

因此，当noexec没有停止所有二进制文件的运行（至少它们不是使用root privs运行）时，这似乎是旧建议。

— 皮特
source

如果您使用该技巧运行可执行文件，它将获得set-uid权限吗？

— Barmar