Blocca comandi particolari in Linux per utenti specifici

Come bloccare il comando, diciamo mkdirper un utente specifico?

Quello che ho fatto ha appena creato la funzione di sola lettura e l'archiviazione nel profilo degli utenti ~/.bashrc

/bin/mkdir() {
        echo "mkdir command not allow for you"

}

mkdir() {
        echo "mkdir command not allow for you"

}
./mkdir() {

        echo "mkdir command not allow for you"
}

readonly -f /bin/mkdir
readonly -f mkdir
readonly -f ./mkdir

Test:

rahul@ubuntu:~$ cd /bin/
rahul@ubuntu:/bin$ ./mkdir /home/rahul/ggg
mkdir command not allow for you
rahul@ubuntu:/bin$ cd
rahul@ubuntu:~$ mkdir testing
mkdir command not allow for you
rahul@ubuntu:~$ /bin/mkdir testing
mkdir command not allow for you

Quindi la mia domanda è: quale dovrebbe essere il modo per raggiungere questo obiettivo? c'è qualche strumento per questo?

Aggiornamento 1 # Ma se l'utente è intelligente, potrebbe copiare binario mkdir e rinominarlo e usarlo. Quindi come raggiungere questo obiettivo?

Non so come farlo con bash, ma conosco un'altra shell che limita l'ambiente dell'utente: lshell (shell limitata) .

Una rapida panoramica della configurazione

Lshell è configurato tramite un file INI. Per impostazione predefinita, contiene una lista bianca di comandi consentiti, ma può essere facilmente configurato per impedire all'utente di utilizzare un comando specifico.

Questa configurazione (conf predefinito /etc/lshell.conf) impedisce all'utente foodi utilizzare mkdir:

[foo]
allowed = 'all' - ['mkdir', 'bash', 'sh', 'csh', 'dash', 'env']

Per configurare un account utente per utilizzare lshell per impostazione predefinita, è necessario:

 chsh -s /usr/bin/lshell foo

Lshell può fare di più, come:

• 3 livelli di granularità: utente, gruppo, tutti.
• Può limitare l'accesso a determinati percorsi nel sistema.
• Può limitare l'uso di determinati caratteri (come |).
• Può limitare l'uso di determinati comandi solo su SSH.

E altro ancora

Aggiornamento 1 # Risultato del test aggiunto:

rahul:~$ which bash
/bin/bash
rahul:~$ dd if=$(which bash) of=my_bash
*** forbidden syntax: dd if=$(which bash) of=my_bash
rahul:~$ bash
*** forbidden command: bash
rahul:~$ cp /bin/bash my_bash
*** forbidden path: /bin/bash
rahul:~$ /bin/bash
*** forbidden command: /bin/bash
rahul:~$ sh
*** forbidden command: sh
rahul:~$ dash
*** forbidden command: dash
rahul:~$ env bash
*** forbidden command: env
rahul:~$ cp /bin/mkdir mycreatedir
*** forbidden path: /bin/mkdir

Il modo in cui di solito implemento questo tipo di restrizioni richiede che siano soddisfatte diverse condizioni, altrimenti la restrizione può essere facilmente aggirata:

• L'utente non appartiene al wheelgruppo, l'unico autorizzato ad utilizzare su(applicato tramite PAM).

• All'utente viene fornito correttamente rbashun PATH di sola lettura che punta a un privato ~/bin, questa ~/bin/directory contiene collegamenti a semplici utility:

  $ ll ~/bin
  total 0
  lrwxrwxrwx. 1 root dawud 14 Sep 17 08:58 clear -> /usr/bin/clear*
  lrwxrwxrwx. 1 root dawud  7 Sep 17 08:58 df -> /bin/df*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 egrep -> /bin/egrep*
  lrwxrwxrwx. 1 root dawud  8 Sep 17 08:58 env -> /bin/env*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 fgrep -> /bin/fgrep*
  lrwxrwxrwx. 1 root dawud  9 Sep 17 08:58 grep -> /bin/grep*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 rview -> /bin/rview*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 rvim -> /usr/bin/rvim*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 sudo -> /usr/bin/sudo*
  lrwxrwxrwx. 1 root dawud 17 Sep 17 08:58 sudoedit -> /usr/bin/sudoedit*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 tail -> /usr/bin/tail*
  lrwxrwxrwx. 1 root dawud 11 Sep 17 08:58 wc -> /usr/bin/wc*
  

• l'utente riceve un ambiente di sola lettura limitata (si pensi a cose come LESSSECURE, TMOUT, HISTFILEvariabili).

• l'utente viene mappato all'utente SELinux staff_ue gli viene dato il diritto di eseguire comandi come altri utenti come richiesto tramite sudo.

• l'utente /home, /tmpe possibilmente /var/tmpsono polinistanziati tramite /etc/security/namespace.conf:

  /tmp       /tmp/.inst/tmp.inst-$USER-     tmpdir:create   root
  /var/tmp   /tmp/.inst/var-tmp.inst-$USER- tmpdir:create   root
  $HOME      $HOME/$USER.inst/              tmpdir:create   root
  

  Inoltre, /etc/security/namespace.initrende tutti i file scheletrici di sola lettura per l'utente e di proprietà di root.

In questo modo è possibile scegliere se $USEReseguire mkdirper proprio conto (tramite un collegamento nella ~/bindirectory privata , fornito tramite /etc/skel, come spiegato sopra), per conto di un altro utente (tramite sudo) o nessuno.

Aggiungere un gruppo fittizio, aggiungere l'utente a tale gruppo, chown root:somegroup /bin/mkdir, chmod g-x /bin/mkdir. Si noti che ciò si basa sul fatto che l'utente non è in grado di modificare i propri gruppi. IIRC questo è vero in GNU / Linux ma non in alcuni altri Unices.

Il meglio che ho testato è usare Profile.d il modo migliore e più sicuro

Passaggio n. 1 (creare un file alias)

[root@newrbe ~]# vim /etc/customalias.sh

Aggiungi righe sotto:

alias rm="echo remove contenet is restricted"
alias poweroff="echo Poweroff is restricted"
alias chmod="echo Change Permission is restristed"

Salva ed esci

Passaggio 2 (Crea caricatore di profili)

/etc/profile.d/ questa posizione contiene file per il completamento bash

[root@newrbe ~]# vim /etc/profile.d/customsource.sh

Aggiungi sotto le righe sotto i file queste righe bloccheranno i comandi menzionati per gli utenti sottostanti

if [ `whoami` == "user1" ] && [ `whoami` == "user2" ]; then
    source /etc/customalias.sh
fi

salva ed esci

Ora esci e accedi nuovamente

Saluti, -Mansur

installa sudoers e prova a configurare lì i cui utenti e quale comando.