impede que os usuários criem novas instâncias de shell

Question

Existe alguma maneira de desabilitar os usuários de criar novas instâncias do shell por meio do arquivo sudoers? também desabilitá-los para definir quaisquer variáveis de ambiente?

Eu gostaria de escrever uma linha no arquivo sudoers como:

someuser ALL=(ALL) NOPASSWD: ALL, NOTSETENVVARS: ALL, NONEWSHELLINSTANCES: ALL

onde: NOTSETENVVARS significa a instrução para não definir novas env envs NONEWSHELLINSTANCES significa que não há novas instâncias de shell

Obrigado antecipadamente

    

Answer 1

Eu não tentaria combinar isso com ALL . Se você estiver tentando restringir um usuário, coloque-o na lista negra primeiro e, em seguida, coloque-o na lista de permissões cuidadosamente.

Restringir escape de shell com NOEXEC: Verifique a página do manual para obter detalhes: link

Restringir as variáveis de ambiente (não desabilite totalmente ao meu conhecimento) com o uso criativo de env_reset e secure_path .

Exemplo:

Defaults     env_reset
Defaults     secure_path
someuser ALL=(root) NOPASSWD: SOMESPECIFICCOMMANDS
someuser ALL=(root) NOEXEC: /usr/bin/vim

Além disso, compre o livro de Michael W. Lucas Sudo Mastery . É ótimo! (Ele tem alguns exemplos melhores, mas achei melhor não plagiá-los.)

    

Answer 2

Não.

Controles como este não existem porque podem ser banidos pelo usuário instalando / executando seu próprio programa shell sem as restrições ou com as restrições corrigidas.

Não há como saber se um programa é um shell ou não.

Além disso, o arquivo sudoers controla apenas o utilitário sudo , não qualquer coisa que o usuário execute antes de executar sudo , ou depois de ter sido elevado.