Linux File Permissions: chmod, chown, chgrp, umask, SUID, SGID आणि Sticky Bit सोप्या भाषेत

By Ravindra Bagale, trainer · LinkedIn · Last updated: 25 October 2026

1. रोजचं उदाहरण: family photo album

हे का लागतं?

आई family album ठेवते. ती बघू शकते, photos टाकू आणि काढू शकते. Family (बाबा, मुलं) बघू आणि photos टाकू शकतात, पण काढू शकत नाहीत. Guests फक्त बघू शकतात. Living room मधल्या table वरचा album shared, पण प्रत्येक जण स्वतः टाकलेलेच photos काढू शकतो.

हे काय आहे?

आई = owner (user). Family = group. Guests = others. बघणं = read (r). टाकणं किंवा काढणं = write (w). Album उघडणं = folder वर execute (x). Shared table rule = sticky bit, /tmp सारखा.

कसं करायचं (step by step)

2. ls -l: permission string वाचा

हे का लागतं?

प्रत्येक 'Permission denied' ची सुरुवात हे 10 characters वाचून.

हे काय आहे?

-rwxr-x--- म्हणजे: type (- file, d folder, l link), मग owner rwx, group r-x, others ---. मग link count, owner, group, size, date आणि नाव. ls -ld FOLDER folder स्वतः दाखवतो, आतलं नाही. ls -n नावांऐवजी numbers.

कसं करायचं (step by step)

1. एक script.

ls -l deploy.sh

Output:

-rwxr-x--- 1 ravi devs 812 Oct 25 10:10 deploy.sh

याचा अर्थ: ravi पूर्ण, devs वाचू आणि चालवू, others काही नाही.

2. Folder स्वतः.

ls -ld /srv/shared

Output:

drwxrwsr-x 2 root devs 4096 Oct 25 10:12 /srv/shared

याचा अर्थ: Group x जागी s = SGID (पुढे).

3. नावं नाहीत, numbers.

ls -ln deploy.sh

Output:

-rwxr-x--- 1 1001 3001 812 Oct 25 10:10 deploy.sh

याचा अर्थ: User delete झाला असेल तेव्हा उपयोगी.

3. Files vs folders वर r, w, x

हे का लागतं?

लोक folder ला r देतात आणि cd का fail होतं ते विचारतात. Folders साठी अर्थ बदलतो.

हे काय आहे?

File: r content वाचा, w content बदला, x program म्हणून चालवा. Folder: r नावं list (ls), w आत entries बनवा, delete, rename, x आत जा आणि आतल्या files पर्यंत पोचा (cd, path ने open). File delete करायला FOLDER वर w लागतो, file वर नाही.

कसं करायचं (step by step)

1. r आहे पण x नाही.

chmod 744 box && sudo -u priya ls box; sudo -u priya cat box/a.txt

Output:

ls: cannot access 'box/a.txt': Permission denied
a.txt
cat: box/a.txt: Permission denied

याचा अर्थ: नावं दिसतात पण उघडता येत नाहीत.

2. x आहे पण r नाही.

chmod 711 box && sudo -u priya ls box; sudo -u priya cat box/a.txt

Output:

ls: cannot open directory 'box': Permission denied
hello

याचा अर्थ: List करता येत नाही, पण माहीत नाव उघडता येतं.

3. Delete ला folder वर w.

ls -ld /etc && rm /etc/passwd-test

Output:

dr-xr-xr-x. ... root root /etc
rm: cannot remove '/etc/passwd-test': Permission denied

याचा अर्थ: इथे file चे bits महत्त्वाचे नाहीत.

4. Numbers (octal) ने chmod

हे का लागतं?

Numbers तिन्ही groups एकदम set करतात आणि docs, tickets हेच वापरतात: 644, 755, 600.

हे काय आहे?

r=4, w=2, x=1. प्रत्येक set साठी बेरीज: 7=rwx, 6=rw-, 5=r-x, 4=r--, 0=---. तीन digits म्हणजे owner, group, others. पुढचा चौथा digit special bits (4 SUID, 2 SGID, 1 sticky). -R पूर्ण tree (जपून).

कसं करायचं (step by step)

1. Key private.

chmod 600 ~/.ssh/id_ed25519 && ls -l ~/.ssh/id_ed25519

Output:

-rw------- 1 ravi ravi 411 Oct 25 id_ed25519

याचा अर्थ: इतरांना वाचता येणारी key SSH नाकारतो.

2. सगळे चालवू शकतील अशी script.

chmod 755 backup.sh && ls -l backup.sh

Output:

-rwxr-xr-x 1 ravi ravi 540 Oct 25 backup.sh

याचा अर्थ: 7 owner, 5 group, 5 others.

3. App group वाचू शकेल अशी config.

sudo chmod 640 /etc/billing/db.conf && ls -l /etc/billing/db.conf

Output:

-rw-r----- 1 root billing 210 Oct 25 db.conf

याचा अर्थ: Others ना DB password दिसत नाही.

4. हे कधीच नको.

chmod -R 777 /var/www

Output:

(no output)

याचा अर्थ: कोणीही site बदलू शकतो. Folders 755, files 644.

5. Letters (symbolic) ने chmod

हे का लागतं?

अनेकदा बाकीला हात न लावता एक right जोडायचा किंवा काढायचा, जसं script runnable.

हे काय आहे?

कोण: u owner, g group, o others, a all. Action: + जोडा, - काढा, = नेमकं set. काय: r w x, X (फक्त folders किंवा आधीच executable files ला x), s, t. Combine: chmod u=rwx,g=rx,o= file.

कसं करायचं (step by step)

1. Script runnable.

chmod u+x run.sh && ls -l run.sh

Output:

-rwxr--r-- 1 ravi ravi 120 Oct 25 run.sh

याचा अर्थ: फक्त owner ला x.

2. Others चे rights काढा.

chmod o-rwx salary.xlsx && ls -l salary.xlsx

Output:

-rw-r----- 1 hr hr 88K Oct 25 salary.xlsx

याचा अर्थ: Others चं सगळं गेलं.

3. नेमकं set.

chmod u=rw,g=r,o= report.pdf && stat -c '%A %a' report.pdf

Output:

-rw-r----- 640

याचा अर्थ: = त्या set चे जुने bits बदलतो.

4. एका command मधे web tree fix.

chmod -R u=rwX,g=rX,o=rX /var/www/site

Output:

(no output)

याचा अर्थ: Capital X फक्त folders ला x, म्हणून files 644, folders 755.

ls -l plan.txt

-rw-r--r-- 1 arjun team 900 Oct 25 plan.txt

chmod g+w plan.txt && stat -c %a plan.txt

664

chmod 640 plan.txt && ls -l plan.txt

-rw-r----- 1 arjun team 900 Oct 25 plan.txt

chmod u=rw,g=r,o= plan.txt && stat -c %a plan.txt

640

6. stat: नेमक्या permissions आणि times

हे का लागतं?

ls number आणि काही details लपवतो. stat octal mode, owner IDs आणि तिन्ही times दाखवतो.

हे काय आहे?

stat FILE size, inode, mode, UID/GID आणि access/modify/change times. stat -c '%a %U %G %n' custom line: %a octal, %A letters, %U owner, %G group.

कसं करायचं (step by step)

1. पूर्ण details.

stat /etc/passwd | sed -n '1p;4p'

Output:

  File: /etc/passwd
Access: (0644/-rw-r--r--)  Uid: (    0/    root)   Gid: (    0/    root)

याचा अर्थ: Numbers मधे 0644.

2. अनेक files साठी short form.

stat -c '%a %U:%G %n' /etc/shadow /etc/sudoers

Output:

0 root:root /etc/shadow
440 root:root /etc/sudoers

याचा अर्थ: Audits साठी छान.

7. chown: owner आणि group बदला

हे का लागतं?

Root ने copy केलेल्या files, web server चे uploads, किंवा restored backups चुकीच्या owner चे होतात आणि app लिहू शकत नाही.

हे काय आहे?

sudo chown USER FILE owner बदलतो. chown USER:GROUP FILE दोन्ही. chown :GROUP FILE फक्त group. -R tree. --reference=OTHER दुसऱ्या file चा owner. Files दुसऱ्याला फक्त root देऊ शकतो.

कसं करायचं (step by step)

1. App folder app user ला.

sudo chown -R deploy:deploy /srv/app && ls -ld /srv/app

Output:

drwxr-xr-x 5 deploy deploy 4096 Oct 25 /srv/app

याचा अर्थ: आतलं सगळं deploy चं.

2. Uploads साठी owner आणि group.

sudo chown nginx:www /srv/app/uploads

Output:

(no output)

याचा अर्थ: Web server uploads लिहू शकतो.

3. Normal user देऊ शकत नाही.

chown priya notes.txt

Output:

chown: changing ownership of 'notes.txt': Operation not permitted

याचा अर्थ: Owner फक्त root बदलू शकतो.

4. दुसऱ्या file चं ownership.

sudo chown --reference=/etc/nginx/nginx.conf /etc/nginx/conf.d/shop.conf

Output:

(no output)

याचा अर्थ: nginx.conf सारखेच owner आणि group.

ls -l /srv/blog/index.html

-rw-r--r-- 1 root root 2.1K Oct 25 /srv/blog/index.html

sudo chown -v www-data:www-data /srv/blog/index.html

changed ownership of '/srv/blog/index.html' from root:root to www-data:www-data

sudo chown :editors /srv/blog/drafts && ls -ld /srv/blog/drafts

drwxrwxr-x 2 www-data editors 4096 Oct 25 /srv/blog/drafts

sudo chown -Rc www-data:www-data /srv/blog

changed ownership of '/srv/blog/drafts' from www-data:editors to www-data:www-data

8. chgrp: फक्त group बदला

हे का लागतं?

Team folder team group चा हवा म्हणजे सगळ्या members ना group rights.

हे काय आहे?

chgrp GROUP FILE group बदलतो. File आपली असेल आणि नव्या group चे member असाल तर normal user पण करू शकतो. -R tree.

कसं करायचं (step by step)

1. Report finance ला.

chgrp finance q3.xlsx && ls -l q3.xlsx

Output:

-rw-r----- 1 ravi finance 40K Oct 25 q3.xlsx

याचा अर्थ: Finance members आता वाचू शकतात.

2. Member नाही.

chgrp hr q3.xlsx

Output:

chgrp: changing group of 'q3.xlsx': Operation not permitted

याचा अर्थ: hr मधे हवं, किंवा sudo.

9. umask: नव्या files चे default rights

हे का लागतं?

App किंवा user ने बनवलेल्या files ना rights umask मधून. चुकीचा umask secrets world-readable करतो, किंवा team files वाचता येत नाहीत.

हे काय आहे?

नव्या files 666 पासून, folders 777 पासून, आणि umask bits काढले जातात. umask 022 ने files 644, folders 755. umask 027 ने 640 आणि 750. umask 077 ने 600 आणि 700. umask -S letters. ~/.bashrc, /etc/login.defs किंवा systemd unit (UMask=) मधे set.

कसं करायचं (step by step)

1. तुमचा umask.

umask; umask -S

Output:

0022
u=rwx,g=rx,o=rx

याचा अर्थ: नेहमीचा default.

2. Action मधे बघा.

umask 077; touch secret.txt; mkdir private; ls -ld secret.txt private

Output:

-rw------- 1 ravi ravi 0 secret.txt
drwx------ 2 ravi ravi 4096 private

याचा अर्थ: फक्त तुम्ही.

3. Team साठी umask.

umask 002; touch shared.txt; ls -l shared.txt

Output:

-rw-rw-r-- 1 ravi devs 0 shared.txt

याचा अर्थ: Group पण लिहू शकतो.

4. Service साठी set.

sudo systemctl edit billing  # add: [Service] UMask=0027

Output:

(editor opens)

याचा अर्थ: Service च्या files 640.

10. SUID (4000): file owner म्हणून चालवा

हे का लागतं?

passwd ला /etc/shadow लिहायचं, जे फक्त root करू शकतो. SUID normal user ला तो program root च्या power ने चालवू देतो, फक्त त्या program पुरता.

हे काय आहे?

Executable वर SUID असेल तर तो owner च्या UID ने चालतो. Owner x जागी s दिसतो (x नसेल तर S). chmod u+s किंवा chmod 4755 ने. Scripts वर आणि nosuid mount वर ignore. प्रत्येक extra SUID binary attack target: audit करा.

कसं करायचं (step by step)

1. Classic उदाहरण.

ls -l /usr/bin/passwd

Output:

-rwsr-xr-x. 1 root root 32648 /usr/bin/passwd

याचा अर्थ: s: प्रत्येक user साठी root म्हणून.

2. सगळ्या SUID files.

sudo find / -xdev -perm -4000 -type f 2>/dev/null | head -4

Output:

/usr/bin/passwd
/usr/bin/sudo
/usr/bin/su
/usr/bin/mount

याचा अर्थ: Known-good list शी compare.

3. Risky copy वरून SUID काढा.

sudo chmod u-s /opt/tools/oldping && ls -l /opt/tools/oldping

Output:

-rwxr-xr-x 1 root root 7k oldping

याचा अर्थ: आता root म्हणून नाही.

11. SGID (2000): group inheritance

हे का लागतं?

Team folder मधे प्रत्येकाने बनवलेल्या files त्याच्या group च्या होतात, आणि teammates edit करू शकत नाहीत. Folder वर SGID हे fix करतो.

हे काय आहे?

Folder वर SGID असेल तर आतल्या नव्या files आणि folders folder चा group घेतात (नव्या sub-folders ना पण SGID). Program वर तो file च्या group ने चालतो. Group x जागी s. chmod g+s किंवा chmod 2775.

कसं करायचं (step by step)

1. Team folder.

sudo mkdir /srv/devs && sudo chgrp devs /srv/devs && sudo chmod 2775 /srv/devs && ls -ld /srv/devs

Output:

drwxrwsr-x 2 root devs 4096 Oct 25 /srv/devs

याचा अर्थ: Group भागात s.

2. नव्या files ना team group.

touch /srv/devs/plan.md && ls -l /srv/devs/plan.md

Output:

-rw-rw-r-- 1 ravi devs 0 Oct 25 plan.md

याचा अर्थ: Group devs, ravi नाही.

3. umask 002 सोबत.

umask 002; echo hi > /srv/devs/notes.txt; ls -l /srv/devs/notes.txt

Output:

-rw-rw-r-- 1 ravi devs 3 notes.txt

याचा अर्थ: Teammates edit करू शकतात.

12. Sticky bit (1000): फक्त owners delete

हे का लागतं?

सगळे लिहू शकतात अशा folder मधे, /tmp सारख्या, कोणीही कोणाच्याही files delete करू शकेल. Sticky bit ते थांबवतो.

हे काय आहे?

Folder वर sticky म्हणजे फक्त file owner, folder owner किंवा root file delete किंवा rename करू शकतो. Others x जागी t. chmod +t किंवा chmod 1777.

कसं करायचं (step by step)

1. /tmp वर बघा.

ls -ld /tmp

Output:

drwxrwxrwt. 18 root root 4096 Oct 25 /tmp

याचा अर्थ: शेवटी t.

2. Shared upload folder.

sudo mkdir /srv/drop && sudo chmod 1777 /srv/drop

Output:

(no output)

याचा अर्थ: सगळे टाकू शकतात, फक्त owners काढू शकतात.

3. दुसऱ्याची file delete.

sudo -u priya rm /srv/drop/ravi.txt

Output:

rm: cannot remove '/srv/drop/ravi.txt': Operation not permitted

याचा अर्थ: Sticky bit ने वाचवलं.

13. सगळं एकत्र: safe permission recipes

हे का लागतं?

बहुतेक खरी कामं याच काही patterns. एकदा शिका.

हे काय आहे?

Web root: owner deploy, group nginx, folders 2750, files 640. SSH: ~/.ssh 700, keys 600, authorized_keys 600. Secrets: 600 किंवा app group सह 640. Team share: SGID 2775 आणि umask 002. Shared drop: 1777.

कसं करायचं (step by step)

1. SSH folder rights fix.

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys && stat -c '%a %n' ~/.ssh ~/.ssh/authorized_keys

Output:

700 /home/ravi/.ssh
600 /home/ravi/.ssh/authorized_keys

याचा अर्थ: हे जास्त open असतील तर sshd keys ignore करतो.

2. Web root recipe.

sudo chown -R deploy:nginx /srv/www && sudo find /srv/www -type d -exec chmod 2750 {} + && sudo find /srv/www -type f -exec chmod 640 {} +

Output:

(no output)

याचा अर्थ: nginx वाचू शकतो, फक्त deploy लिहू शकतो.

3. Fix करायच्या world-writable files.

sudo find /srv -xdev -type f -perm -o+w

Output:

/srv/www/config.php

याचा अर्थ: chmod o-w ने fix.

14. अनेक industries मधली खरी उदाहरणं

हे का लागतं?

तेच Linux skill प्रत्येक प्रकारच्या company मध्ये लागतं. वेगवेगळ्या ठिकाणी पाहिलं की लक्षात राहतं.

हे काय आहे?

प्रत्येक row म्हणजे एक काल्पनिक team. कोण हे वापरतं आणि कसं ते दाखवते.

कसं करायचं (step by step)

15. नेहमीच्या errors आणि त्यांचे fixes

हे का लागतं?

हे errors सगळ्यांना येतात. कारण माहीत असलं की तास वाचतात.

हे काय आहे?

आधी नेमका message वाचा. मग खालच्या row शी जुळवा.

कसं करायचं (step by step)

16. Troubleshooting step by step

हे का लागतं?

'Permission denied' साठी / पासून file पर्यंत path फिरा आणि user, group, प्रत्येक bit तपासा.

हे काय आहे?

वरून खाली जा. ज्या step ला problem दिसतो तिथे थांबा.

कसं करायचं (step by step)

1. Process कोणत्या user म्हणून?

ps -o user,group,comm -C nginx

2. Path वरचा प्रत्येक folder.

namei -l /srv/www/site/index.html

3. File चा नेमका mode आणि owner.

stat -c '%A %a %U:%G' /srv/www/site/index.html

4. Group problem आहे का?

id nginx

5. त्या user म्हणून test.

sudo -u nginx cat /srv/www/site/index.html

6. अजून denied? ACLs आणि SELinux.

getfacl /srv/www/site/index.html; ls -Z /srv/www/site/index.html

17. Lab 1: Team share बनवा

हे का लागतं?

सगळे devs members files बनवू आणि edit करू शकतील, others ना दिसणार नाही असा folder.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. Users आणि group.

sudo groupadd -f devs && sudo useradd -m -G devs dev1 && sudo useradd -m -G devs dev2

Output:

(no output)

2. SGID सह folder.

sudo mkdir -p /srv/team && sudo chgrp devs /srv/team && sudo chmod 2770 /srv/team && ls -ld /srv/team

Output:

drwxrws--- 2 root devs 4096 Oct 25 /srv/team

3. dev1 file बनवतो.

sudo -u dev1 bash -c 'umask 002; echo v1 > /srv/team/plan.txt' && ls -l /srv/team

Output:

-rw-rw-r-- 1 dev1 devs 3 plan.txt

4. dev2 edit करतो.

sudo -u dev2 bash -c 'echo v2 >> /srv/team/plan.txt' && cat /srv/team/plan.txt

Output:

v1
v2

5. बाहेरचा block.

sudo -u nobody ls /srv/team

Output:

ls: cannot open directory '/srv/team': Permission denied

18. Lab 2: Numbers, letters, umask आणि special bits

हे का लागतं?

chmod दोन्ही प्रकारे, umask results, आणि SUID, sticky bits शोधा.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. Numbers.

mkdir -p ~/lab15 && cd ~/lab15 && touch a && chmod 640 a && stat -c '%A %a' a

Output:

-rw-r----- 640

2. Letters.

chmod u+x,g-r a && stat -c '%A %a' a

Output:

-rwx------ 700

3. umask 027.

(umask 027; touch b; mkdir c) && stat -c '%a %n' b c

Output:

640 b
750 c

4. Sticky folder.

mkdir d && chmod 1777 d && ls -ld d

Output:

drwxrwxrwt 2 ravi ravi 4096 d

5. SUID count.

sudo find /usr/bin -perm -4000 | wc -l

Output:

14

19. नेहमी विचारले जाणारे प्रश्न

20. मुलाखत प्रश्न आणि उत्तरं

Beginner level

Mid level level

Senior level

21. संबंधित chapters

• DevOps साठी Linux Ops Refresh
• Automation साठी Bash Scripting
• Linux grep आणि find Commands Examples सह
• Linux Servers मध्ये Passwordless SSH

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.