sudo提权实战讲解 对用户对组的权限配置分析
Linux是多用户多任务的操作系统, 共享该系统的用户往往不只一个。
出于安全性考虑, 有必要通过useradd创建一些非root用户, 只让它们拥有不完全的权限; 如有必要，再来提升权限执行。
sudo就是来解决这个需求的: 这些非root用户不需要知道root的密码，就可以提权到root，执行一些root才能执行的命令。
用公式讲解/etc/sudoers的内容
sudo的权限控制可以在/etc/sudoers文件中查看到。
如果想要控制某个用户(或某个组用户)只能执行root权限中的一部分命令, 或者允许某些用户使用sudo时不需要输入密码,就需要对该文件有所了解。
一般来说，通过cat /etc/sudoers指令来查看该文件, 会看到如下几行代码:
root ALL=(ALL:ALL) ALL
%wheel ALL=(ALL) ALL
%sudo ALL=(ALL:ALL) ALL
对/etc/sudoers文件进行编辑的代码公式可以概括为:
授权用户/组 主机=[(切换到哪些用户或组)] [是否需要输入密码验证] 命令1,命令2,...
凡是[ ]中的内容, 都能省略; 命令和命令之间用,号分隔;
为了方便说明, 将公式的各个部分称呼为字段1 - 字段5:
授权用户/组 主机 =[(切换到哪些用户或组)] [是否需要输入密码验证] 命令1,命令2,...
字段1 字段2 =[(字段3)] [字段4] 字段5
字段3、字段4，是可以省略的。
在上面的默认例子中, "字段1"不以%号开头的表示"将要授权的用户", 比如例子中的root；
以%号开头的表示"将要授权的组", 比如例子中的%wheel组 和 %sudo组。
"字段2"表示允许登录的主机, ALL表示所有; 如果该字段不为ALL,表示授权用户只能在某些机器上登录本服务器来执行sudo命令. 比如:
wmy myliux=/usr/sbin/reboot,/usr/sbin/shutdown
表示: 普通用户wmy在主机(或主机组)mylinux上, 可以通过sudo执行reboot和shutdown两个命令。"字段3"和"字段4"省略。
"字段3"如果省略, 相当于(root:root)，表示可以通过sudo提权到root; 如果为(ALL)或者(ALL:ALL), 表示能够提权到(任意用户:任意用户组)。
请注意，"字段3"如果没省略,必须使用( )双括号包含起来。这样才能区分是省略了"字段3"还是省略了"字段4"。
"字段4"的可能取值是NOPASSWD:。请注意NOPASSWD后面带有冒号:表示执行sudo时可以不需要输入密码。比如:
wmy ALL=(ALL) NOPASSWD: /bin/useradd
表示: 普通用户wmy可以在任何主机上, 通过sudo执行/bin/useradd命令, 并且不需要输入密码.
又比如:
wmy ALL=(ALL) NOPASSWD: ALL
表示: 普通用户wmy可以在任何主机上, 通过sudo执行任何命令, 并且不需要输入密码。
"字段5"是使用逗号分开一系列命令,这些命令就是授权给用户的操作; ALL表示允许所有操作。
你可能已经注意到了, 命令都是使用绝对路径, 这是为了避免目录下有同名命令被执行，从而造成安全隐患。
如果你将授权写成如下安全性欠妥的格式:
wmy ALL=(ALL) chown,chmod,useradd
那么用户就有可能创建一个他自己的程序, 也命名为userad, 然后放在它的本地路径中, 如此一来他就能够使用root来执行这个"名为useradd的程序"。这是相当危险的!
命令的绝对路径可通过which指令查看到: 比如which useradd可以查看到命令useradd的绝对路径: /usr/sbin/useradd
公式还要扩充
例子1:
wmy ALL=(root) NOPASSWD: /bin/chown,/usr/sbin/useradd
表示: 用户wmy能在所有可能出现的主机上, 提权到root下执行/bin/chown, 不必输入密码; 但运行/usr/sbin/useradd 命令时需要密码.
这是因为NOPASSWD:只影响了其后的第一个命令: 命令1.
上面给出的公式只是简化版，完整的公式如下:
授权用户/组 主机=[(切换到哪些用户或组)] [是否需要输入密码验证] 命令1, [(字段3)] [字段4] 命令2, ...
在具有sudo操作的用户下, 执行sudo -l可以查看到该用户被允许和被禁止运行的命令.
通配符和取消命令
例子2:
wmy ALL=/usr/sbin/,/sbin/,!/usr/sbin/fdisk
用例子2来说明通配符*的用法, 以及命令前面加上!号表示取消该命令。
该例子的意思是: 用户wmy在所有可能出现的主机上, 能够运行目录/usr/sbin和/sbin下所有的程序, 但fdisk除外.
开始编辑
讲了这么多,但是在实践中,我去编辑/etc/sudoers文件，系统提示我没权限啊，怎么办
这是因为/etc/sudoers的内容如此敏感，以至于该文件是只读的。所以，编辑该文件前，请确认清楚你知道自己正在做什么。
强烈建议通过visudo命令来修改该文件，通过visudo修改，如果配置出错，会有提示。
不过，系统文档推荐的做法，不是直接修改/etc/sudoers文件，而是将修改写在/etc/sudoers.d/目录下的文件中。
如果使用这种方式修改sudoers，需要在/etc/sudoers文件的最后行，加上#includedir /etc/sudoers.d一行(默认已有):
#includedir /etc/sudoers.d
注意了，这里的指令#includedir是一个整体, 前面的#号不能丢，并非注释，也不能在#号后有空格。
任何在/etc/sudoers.d/目录下，不以~号结尾的文件和不包含.号的文件，都会被解析成/etc/sudoers的内容。
文档中是这么说的:
This will cause sudo to read and parse any files in the /etc/sudoers.d
directory that do not end in '~' or contain a '.' character.
Note that there must be at least one file in the sudoers.d directory (this
one will do), and all files in this directory should be mode 0440.
Note also, that because sudoers contents can vary widely, no attempt is
made to add this directive to existing sudoers files on upgrade.
Finally, please note that using the visudo command is the recommended way
to update sudoers content, since it protects against many failure modes.
其他小知识
输入密码时有反馈
当使用sudo后输入密码，并不会显示任何东西 —— 甚至连常规的星号都没有。有个办法可以解决该问题。
打开/etc/sudoers文件找到下述一行:
Defaults env_reset
修改成:
Defaults env_reset,pwfeedback
修改sudo会话时间
如果你经常使用sudo 命令，你肯定注意到过当你成功输入一次密码后，可以不用再输入密码就可以运行几次sudo命令。
但是一段时间后，sudo 命令会再次要求你输入密码。默认是15分钟，该时间可以调整。添加timestamp_timeout=分钟数即可。
时间以分钟为单位，-1表示永不过期，但强烈不推荐。
比如我希望将时间延长到1小时，还是打开/etc/sudoers文件找到下述一行:
Defaults env_reset
修改成:
Defaults env_reset,pwfeedback,timestamp_timeout=60
转载于:https://blog.51cto.com/13754503/2157719
相关文章：
【Qt】在Ubuntu16.04中安装QSerialPort模块
1、问题描述 在pro中添加：QT serialport 编译时报错：Project ERROR Unknown module(s) in QT:serialport 2、解决方法 安装QSerialPort模块库 sudo apt-get install libqt5serialport5-dev
Velocity文档（3）
2019独角兽企业重金招聘Python工程师标准>>> velocity.properties 的一些配置项 velocimcro.library属性：指定自己的模板库，多个模板库以逗号分隔。默认情况下，velocity查找唯一的一个库：VM_global_library.vmvelocima…
Java 24岁！Google加持的Kotlin真能取代它？
作者 | 屠敏出品 | CSDN（ID：CSDNnews）1995 年 5 月 23 日，Sun 公司在 Sun world 会议上正式宣布了 Java 的到来，从此一代编程语言界的翘楚就此诞生。而在不断地迭代与适配中，今时今日，Java 以需…
三，ES6中需要注意的特性（重要）
-----书接上文，前文中我们总结了关于JS的组成部分以及如何快速开展学习JS，相信已经有很多朋友掌握到这些方法。接下来就从更深的ECMAScript开始说起。 1.什么是ES6? ECMAScript(European Computer Manufacturers Association) 6: 是JavaScript语言的下一…
【SVN】在阿里云上创建svn服务器
1、创建用户及相关设置 阿里云搭建ubuntu18.04工作台，默认只有root超级用户。为了安全起见，我们使用普通用户来创建svn： useradd hello // 创建用户hello mkdir -p /home/hello // 在hello用户的根目录 cd /home/hello chown hello . // 设…
【转】on delete cascade
关系表的级联更新： on update cascade on delete cascade 是级联删除的意思 意思是 当你更新或删除主键表时，那么外键表也会跟随一起更新或删除 CREATE TABLE Countries(CountryId INT PRIMARY KEY) INSERT INTO Countries (CountryId) VALUES (1) INSER…
倒计时1天！CTA核心技术及应用峰会报名通道即将关闭（附参会攻略）
全球智能化趋势当前，人工智能技术正蓬勃发展。为了直击开发者在机器学习与人工智能技术研究与落地过程中的痛点与瓶颈，深入解析机器学习和知识图谱技术在行业中的实践和落地。2019 年 5 月 26 - 27 日，由中国 IT 社区 CSDN 与数字经济人才发展…
【Qt】在QtCreator中使用Ctrl+Shift+f快捷键打开高级查找窗口失效的解决方法
1、问题描述 Win10操作系统环境下，在QtCreator中使用Ctrl+Shift+f快捷键打开高级查找窗口失效。 2、原因分析 Ctrl+Shift+f快捷键在各种输入法中，常用来做中文简体和繁体输入的切换。QtCreator中该快捷键失效的的原因，多半是因为和输入法的快捷键冲突。可以在输入法的快捷…
Python修行之字符串(一):连接、切割、大小写、排版
字符串:1.是由一个个字符组成有序的序列，是字符的集合2.字符串是不可变对象3.使用单引号、双引号、三引号引住的字符序列4.python3中、字符串就是unicode类型、在2中分两种一种unicode一种非unicode字符串元素访问--下标:1.字符串支持使用索引访问2.有序的字符集合&…
UI自动化测试随笔
昨天给开发的同事讲我们正在做的自动化测试，同事问了句：为什么API的测试不需要写代码了，而UI的测试还需要写那么多代码呢？ 能不写代码么？ 目前我们的自动化测试的现状： 目前主要覆盖两个部分：A…
【跃迁之路】【554天】程序员高效学习方法论探索系列（实验阶段311-2018.08.13）...
(跃迁之路)专栏 【跃迁之路】奖励金计划正式开始 从2018.7.1起，【跃迁之路】奖励金计划正式起航，从今以后，， 每月1日，我会将自己个人上月收入的1%计入【跃迁之路】奖励金池，积累到足够金额后，将…
TensorFlow 2.0来了，为什么他却说“深度学习框架之争，现在谈结果为时尚早”？...
记者 | 琥珀出品 | AI科技大本营（ID:rgznai100）半个多世纪前，浙江大学老校长竺可桢曾有两个非常经典的教育问题：“诸位在校，有两个问题应该自己问问，第一，到浙大来做什么？第二&#…
【FFmpeg】ffmpeg工具源码分析（一）：main函数
ffmpeg工具经常用来转换、生成媒体文件，下面是它的源码分析（一）：main函数 ffmpeg版本：4.2.1 int main(int argc, char **argv) {int i, ret;BenchmarkTimeStamps ti; # 用于基准测试init_dynload(); # 初始化动态库加载路径，只在win3
Android之传感器(一)
传感器的种类：1. 动作传感器加速度传感器、重力传感器和陀螺仪（判断手机姿态）等2. 位置传感器方向传感器和磁力传感器3. 环境传感器温度传感器 、压力传感器和亮度传感器 使用传感器的方法：1. 获取SensorManager对象SensorManage…
【Qt】Qt单例模式三种实现
1、饿汉式 在头文件中：将构造函数私有化，并创建静态函数instance来获取实例 class A : public QObject {Q_OBJECT public:static A* instance(QObject *parent = nullptr);private:explicit A(QObject *parent = nullptr); }
程序员敲代码时，戴着耳机究竟在听什么？
今天，某妹子突然凑到我的耳边轻声说：“我们公司的程序员，清一色的戴着耳机，你说他们是不是故意不想听我们提的需求？”我很方，因为我也喜欢戴耳机。（思考ing）思考了一秒钟后ÿ…
关于Oracle.ManagedDataAccess数据库表加字段后，必须重启的问题
关于Oracle.ManagedDataAccess数据库表加字段后，必须重启的问题，解决方法如下：在数据库连接字串中，增加一个参数：Metadata Poolingfalse如“Data Source(DESCRIPTION(ADDRESS_LIST(ADDRESS(PROTOCOLTCP)(HOST1.1.6.200…
配置导出MOSS2010列表数据到Excel并根据列表记录自动刷新数据
第一章 简介 场景描述 根据最近客户的需求，他们需要自动维护MOSS2010列表数据导出到Excel的数据实时同步，就是列表添加记录后，导出的Excel列表自动同步数据过来。 第二章 配置方法 1. 打开MOSS2010站点http://moss:8001的要导出的列表 2. 点【…
一个让Python代码运行更快的最佳方式！
作者 | Serdar Yegulalp译者 | 姜松浩，责编 | 屠敏转载自 CSDN（ID：CSDNnews）Python因其强大、灵活且易于使用等特性，而赢得了声誉。这些优点使其在各种各样的应用程序、工作流程和领域中得到了广泛应用。但是就语言的设…
《Python基础教程第二版》第五章-条件、循环和其他语句(一)
print和import print打印多个表达式，用逗号,隔开 print abc:, 42, nonono #输出在每个参数之间添加空格 print在结尾处加上逗号,,接下来的语句会与前一条语句打印在同一行 print hello, print word! #hello word! import从模块中导入函数 import module from module…
【Qt】QStackedWidget：将多个窗口控件放入堆中，每次只显示一个窗口控件
1、简介 QStackedWidget可以容纳多个窗口控件，每次只显示其中一个。例如：登录页面、各种功能页面等不同时显示的窗口，可以放入QStackedWidget中。 2、demo // 创建三个页面 QWidget *firstPageWidget = new QWidget; QWidget *secondPageWidget = new QWidget; QWidget *…
Android模仿iPhone View旋转刷新数据动画详解
因为小马很喜欢在不同的页面之间跳转时加点好玩的动画，今天无意间看到一个动画效果感觉不错，几种效果图如下，既然好玩就写在博客中，直接说就是：该效果类似于iPhone中View的切换动画效果，今天就只介绍上面展…
【SQL】sql语句LEFT JOIN（拼接表）详解
1、语法 SELECT column_name(s) FROM table1 LEFT JOIN table2 ON table1.column_nametable2.column_name;2、说明 按照一定规则，将表table1和表table12拼接起来。下面以学生管理系统为例，学生管理系统数据库各表如下 课程表： 学生表 成绩…
找啊找啊找木偶，图灵奖得主G. Hinton第一篇论文曝光！
作者 | Geoffrey Hinton 译者 | 李倩编辑 | 一一出品 | AI科技大本营（ID:rgznai100）摘要针对在具有重叠结构的透明矩形中寻找木偶这一问题，Hinton大神想到使用松弛算法，通过从冲突局部解释网络中提取全局最佳图形的方式找木偶。介…
终于，「最近邻搜索」有通用方法了
作者：Kevin Hartnett 编译：Bing 如果你打算开一家咖啡馆，你一定想知道：“附近最近的一家咖啡馆在哪？”了解这些信息有助于应对商业竞争。 这种现象是计算机科学中广泛研究的问题，称为“最近邻搜索”。它的问…
tar自动打包指定文件夹中的文件到指定目录
这是我离开上一家公司，到XX人寿保险公司的第一个工作内容，很简单，可以减少每天重复的工作量。写一个脚本，将指定文件夹下的所有文件打包成以日期命名的格式并存放到其父目录中，自动检测该压缩包，保留时间为…
【SQL】sql语句GROUP BY
1、语法 SELECT column_name, aggregate_function(column_name) FROM table_name GROUP BY column_name;2、说明 先对数据集分组，再根据规则批量处理每组数据。 “Group By”从字面意义上理解就是根据“By”指定的规则对数据进行分组，所谓的分组就是将…
色情低俗、暴力恐怖内容...如何用AI“一网打尽”？
作者 | Rachel、Just出品 | AI科技大本营（ID:rgznai100）移动互联网时代催生了大量的多媒体数据，每天在社交平台、长短视频、直播平台、新闻资讯等内容平台产生了数以亿计的图片和视频，这些数据的内容审核面临严峻的挑战。人工审核…
想要学好Go语言的必须知道的一个小技巧
2019独角兽企业重金招聘Python工程师标准>>> 由于我转Go语言比较早，很多认识我的，转Go或学习Go的同学遇到问题，经常会过来问我，然后，我发现。 除了学习Go语言可以看那些资料，这个问题以外&#…
【CSS3教程】CSS3基础常用技巧实例集合
为什么80%的码农都做不了架构师？>>> CSS3常用技巧 CSS3下条纹&方格斜纹背景的实现 一、效果抢先：CSS3下的条纹背景demo 这些美丽的纹饰全部都是由CSS实现的，没有一点点的图片。 二、原理简述 主要是应用了两个CSS3的属性&…