sudo提权
su - username属于登陆式shell
su username属于非登陆式shell
区别在于加载的环境变量不一样。
不一样在哪儿?
非登录shell
[[email protected] ~]# su root
/root/.bashrc!!!
/etc/bashrc!!!
/etc/profile.d/1.sh!!!
登录式shell
[[email protected] ~]# su - root
/etc/profile!!!!
/etc/profile.d/1.sh!!!
/root/.bash_profile!!!!
/root/.bashrc!!!
/etc/bashrc!!!
[[email protected] ~]# su - oldboy
[[email protected] ~]$ su - #普通用户su - 直接切换root
Password:
su:
1.必须知道root的密码
2.所有人都得知道root密码,如果某个人还是不小心误操作,无法定位具体人员.
pS: 简单, 内部不安全(切换到root后没有任何的审计/(操作并没有被记录))
sudo 提权:
1.如何埋下hulk的种子呢？
[root@node1 ~]# usermod xuliangwei -G wheel
#日志审计
[root@node1 ~]$ sudo tail -f /var/log/secure
2.埋下了hulk种子后又如何提权使用呢？
#1.切换普通用户
[root@bgx ~]# su - xuliangwei
#2.检查普通用户能提权的命令
[xuliangwei@xuliangwei ~]$ sudo -l
...
User xuliangwei may run the following commands on this host:
(ALL) ALL
#3.普通用户正常情况下是无法删除opt目录的
[xuliangwei@xuliangwei ~]$ rm -rf /opt/
rm: cannot remove `/opt: Permission denied
#4.使用sudo提权，需要输入普通用户的密码。
[xuliangwei@xuliangwei ~]$ sudo rm -rf /opt
------------------------------------------------------------------------------------
3.提升的权限太大，能否有办法限制仅开启某个命令的使用权限？其他命令不允许？
第一种方式:使用sudo中自带的别名操作,将多个用户定义成一个组,这个组只有sudo认可.
1.缩小权限
[root@www ~]# #visudo => vim /etc/sudoers
#1.用户名 2.主机名 3.角色名 4.命令名
oldboy ALL=(ALL) /usr/bin/yum,/usr/sbin/useradd #允许使用sudo执行命令
#oldboy ALL=(ALL) NOPASSWD:/bin/cp, /bin/rm #NOPASSWD不需要使用密码
#2.检查语法
[root@www ~]# visudo -c
/etc/sudoers: parsed OK
#3.使用oldboy用户检查sudo权限
[[email protected] /opt]$ sudo -l
User oldboy may run the following commands on www:
(ALL) /usr/bin/yum, /usr/sbin/useradd
# 1.使用sudo定义分组,这个和group不一样
User_Alias OPS = oldboy,alex,test
User_Alias DEV = bgx,py
# 2.定义可执行的命令组,便于后续调用
Cmnd_Alias NETWORKING = /sbin/ifconfig, /bin/ping
Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/yum
Cmnd_Alias SERVICES = /sbin/service, /usr/bin/systemctl start
Cmnd_Alias STORAGE = /bin/mount, /bin/umount
Cmnd_Alias DELEGATING = /bin/chown, /bin/chmod, /bin/chgrp
Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall
# 3.使用sudo开始分配权限
OPS ALL=(ALL) NETWORKING,SOFTWARE,SERVICES,STORAGE,DELEGATING,PROCESSES
DEV ALL=(ALL) SOFTWARE,PROCESSES
第二种方式:使用groupadd创建一个真实的系统组,然后给组分配对应的权限,如果有新用户加入,直接将用户添加到该组.
1.添加两个真实的系统组, group_dev group_op
[root@www ~]# groupadd group_dev
[root@www ~]# groupadd group_op
2.添加两个用户, group_dev(user_a user_b) group_op(user_c user_d)
[root@www ~]# useradd user_a -G group_dev
[root@www ~]# useradd user_b -G group_dev
[root@www ~]# useradd user_c -G group_op
[root@www ~]# useradd user_d -G group_op
3.记得添加密码
[root@www ~]# echo "1" | passwd --stdin user_a
[root@www ~]# echo "1" | passwd --stdin user_b
[root@www ~]# echo "1" | passwd --stdin user_c
[root@www ~]# echo "1" | passwd --stdin user_d
4.在sudo中配置规则
[root@www ~]# visudo
Cmnd_Alias NETWORKING = /sbin/ifconfig, /bin/ping
Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/yum
Cmnd_Alias SERVICES = /sbin/service, /usr/bin/systemctl start
Cmnd_Alias STORAGE = /bin/mount, /bin/umount
Cmnd_Alias DELEGATING = /bin/chown, /bin/chmod, /bin/chgrp
Cmnd_Alias PROCESSES = /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall
%group_dev ALL=(ALL) SOFTWARE
%group_op ALL=(ALL) SOFTWARE,PROCESSES
[root@www ~]# visudo -c
/etc/sudoers: parsed OK
5.检查user_a,和user_d的sudo权限
[[email protected] ~]$ sudo -l
User user_a may run the following commands on www:
(ALL) /bin/rpm, /usr/bin/yum
[[email protected] ~]$ sudo -l
User user_d may run the following commands on www:
(ALL) /bin/rpm, /usr/bin/yum, /bin/nice, /bin/kill, /usr/bin/kill, /usr/bin/killall