Linux SU命令安全的几点建议

首先我们看Linux su在man帮助页中的解释su - run a shell with substitute user and group IDs, 也就是说通过su我们不用提供用户和组名就可以启动一个shell程序. su是一个二进制的可执行文件, 命令所在的文件路径是/bin/su, 下面是通过命令行查询su文件的类型及所在路径:

例一:
islab$ which su
/bin/su
例二:
islab$ file /bin/su
/bin/su: setuid ELF 32-bit LSB shared object, Intel 80386, version 1 （SYSV）, for GNU/Linux 2.6.9, stripped
例三:
islab$ll /bin/su
-rwsr-xr-x 1 root root 24060 Jan 10 2007 /bin/su
例三和例二中我们可以看到su是一个setuid程序（setuid位可以使用chmod u+s进行设置, 如ls显示su文件所有者属性起用了setuid位）, 在这种情况下, su可以获得比其所有者更高的权限, 也就是说su运行的时候, 您的权限会被提升, 将与root的权限等同.
例三中我们可以看到文件的类型是ELF 32-bit LSB shared object（设置了setuid位）, 也就是说程序需要libc这样的函数库, 也需要使用了ELF解释器, 并遵守LSB 规范.

问一: 普通用户可以从其它机器拷贝su命令.

答: 他们可以从其它机器拷贝su命令, 但是他们将不能对su进行正确的权限设置比如chown root和chmod u+s等等. 所以拷贝过来su不能够正常工作. 问二: 如何防止普通用户执行su命令.

答:
1）. 你可以建立一个专门的组, 只有组成员才能执行su命令
islab# groupadd wheel
islab# useradd wheel
islab# chown root:mysql /bin/bash
islab# chmod 4750 /bin/su
2）. 只有root用户才能执行su命令.
islab# chmod 4700 /bin/su

Ubuntu下ssh服务的安全增强在BSD上安装Nfsen,对Netflow网络流量分析相关资讯 Linux知识

时光总是太匆匆！Linux已经诞生23 （08/29/2014 14:12:03）
Linux虚拟文件系统之文件打开（sys （02/14/2012 11:41:54）
2012 年 Linux 峰会时间表（02/14/2012 06:47:27）

报告称当前 Linux 人才抢手高薪也（02/15/2012 06:35:56）
解析企业为何选择Linux及其特别之（02/14/2012 08:17:59）
Linux禁用字符闪烁的方法（11/02/2011 10:28:25）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容
本站有权在网站内转载或引用您的评论
参与本评论即表明您已经阅读并接受上述条款