sudo 命令、配置

冷不防 2021-06-24 16:10 577阅读 0赞

**一、su 命令**

su命令是用来切换用户。如果超级权限用户root向普通用户切换不需要密码；而普通用户切换到其它任何用户都需要密码验证（A用户切换到B时，需要输入B的密码）。

**1、su 的用法：**

su \[OPTION选项参数\] \[用户\]，参数说明：

*  \- 或者 -l：登录并改变到所切换的用户环境；
 *  \-c： 切换到对应的用户环境，执行一个命令，然后退出；

注意：

1.  su 在不加任何参数，默认为切换到root用户，但没有转到root用户家目录下，也就是说这时虽然是切换为root用户了，但并没有改变root登录环境；
2.  su - root 和su - 是一样的功能，都是切换到root用户，并且改变到root用户的环境；

示例一：

[root@localhost ~]# useradd test
    [root@localhost ~]# passwd test
    Changing password for user test.
    New password: 
    BAD PASSWORD: The password is shorter than 8 characters
    Retype new password: 
    passwd: all authentication tokens updated successfully.
    [root@localhost ~]# useradd u1
    [root@localhost ~]# passwd u1
    Changing password for user u1.
    New password: 
    BAD PASSWORD: The password is shorter than 7 characters
    Retype new password: 
    passwd: all authentication tokens updated successfully.
    [root@localhost ~]# su - test
    [test@localhost ~]$ pwd
    /home/test
    [test@localhost ~]$ su - u1
    Password: 
    [u1@localhost ~]$ pwd
    /home/u1
    [u1@localhost ~]$ exit
    logout

示例二：

[u1@localhost ~]$ touch u1_log
    [u1@localhost ~]$ exit
    logout
    [test@localhost ~]$ su -c "ls /home/u1" u1
    Password: 
    u1_log
    [test@localhost ~]$

**2、SUID：**

我们先来看一个问题：

有时我们使用su切换用户，输入密码后一直提示"incorrect password"，原因是su这个命令的权限设置问题。要能使用su命令切换成根用户，需要su这个命令设置suid特殊权限位，具体方法如下：

\#chmod 4755 /bin/su

reoot

重启后我们查看su命令，有了一个“s”的标识：

\[root@localhost ~\]\# ll /bin/su

\-rwsr-xr-x. 1 root root 32184 Apr 11 2018 /bin/su

我们再来看一个案例：

我们的密码都是存放在 /etc/passwd文件中的，/etc/passwd文件只有root有写权限，其他用户都只有读权限，那么我们使用passwd命令修改密码后如何写到该文件中的呢？

原来passwd命令有一个特殊的权限标记s ，存在于文件所有者的权限位上。这是一类特殊的权限SetUID ，可以这样来理解它：当一个具有执行权限的文件设置SetUID权限后，用户执行这个文件时将以文件所有者的身份执行。passwd命令具有SetUID权限，所有者为root（Linux中的命令默认所有者都是root），也就是说当普通用户使用passwd更改自己密码的时候，那一瞬间突然灵魂附体了，实际在以passwd命令所有者root的身份在执行，root当然可以将密码写入/etc/shadow文件（不要忘记root这个家伙是superuser什么事都可以干），命令执行完成后该身份也随之消失。

**二、sudo 命令、配置**

有的时候我们只需要切换到某个用户，执行一个命令，然后就退出。上面我们知道可以使用su来切换用户，但是需要知道用户的密码，特别是切换到root时需要知道root的密码才可以，这样做比较不安全。 这个时候我们可以使用sudo。

通过sudo，我们能把某些超级权限有针对性的下放，并且不需要普通用户知道root密码，所以sudo 相对于权限无限制性的su来说，还是比较安全的。sudo 执行命令的流程是当前用户切换到root（或其它指定切换到的用户），然后以root（或其它指定的切换到的用户）身份执行命令，执行完成后直接退回到当前用户；而这些的前提是要通过sudo的配置文件**/etc/sudoers来进行授权**。

注：sudo程序本身就是一个设置了SETUID位的二进制文件。它的所有者是root，所以每个用户都可以像root那样执行该程序，我们可以检查一下它的权限：

$ls -l /usr/bin/sudo

\---s--x--x 2 root root 106832 02-12 17:41 /usr/bin/sudo

**1、sudo命令：**

1）参数：

*  sudo -u username\#uid User 以指定用户的身份执行命令。后面的用户是除root以外的，可以是用户名，也可以是\#uid。
 *  sudo -k Kill 清除“入场卷”上的时间，下次再使用sudo时要再输入密码。
 *  sudo -K Sure kill 与-k类似，但是它还要撕毁“入场卷”，也就是删除时间戳文件。
 *  sudo -b command 在后台执行指定的命令。

2）特点：

*  sudo能够限制指定用户在指定主机上运行某些命令。
 *  sudo可以提供日志，忠实地记录每个用户使用sudo做了些什么，并且能将日志传到中心主机或者日志服务器。
 *  sudo为系统管理员提供配置文件，允许系统管理员集中地管理用户的使用权限和使用的主机。它默认的存放位置是/etc/sudoers。
 *  sudo使用时间戳文件来完成类似“检票”的系统。当用户执行sudo并且输入密码后，用户获得了一张默认存活期为5分钟的“入场券”（默认值可以在编译的时候改变）。超时以后，用户必须重新输入密码。

**2、sudo配置：**

配置sudo有两种方法：（有超级用户才可以修改它）

1.  直接使用vim编辑/etc/sudoers文件；
2.  使用visudo命令编辑。（防止两个用户同时修改，其次有语法检查）

1）我们先做一个示范：

以root身份用visudo打开配置文件，可以看到类似下面几行：

\# Runas alias specification

\# User privilege specificationroot ALL=(ALL)ALL

我们在下面加一行（最好用tab作为空白）：

foobar ALL=(ALL) ALL

保存退出后，切换到foobar用户，我们用它的身份执行命令：

\[foobar@localhost ~\]$ ls /root

ls: /root: 权限不够