linux无法切换到超级用户

Posted 2023-04-13

可以直接用 su 切换，需要验证root密码。
也可以用 sudo su 来切换， 需要验证当前用户密码，当前用户必码是sudoers成员。 参考技术A su - [超级用户名]
输入密码即可进入

Linux课程笔记 用户身份切换命令

 超级用户root具有超级管理权限，由于权限太大，如果管理不好，就会对系统安全带来安全隐患。在工作场景中，一般临时性处理工作，都是以普通用户的身份完成，只在必要时才使用超级用户root。

1  su命令

1.1  su介绍 

通过su命令可以在用户之间切换，超级用户root向普通用户或虚拟用户切换不需要密码（这就是超极权限所在）。其他普通用户之间或者普通用户切换到root，都需要切换用户的秘密验证。

   

su参数选项	注释说明
-,-l,--login	使一个shell成为登陆的shell，如执行su - oldboy，表示该用户改变身份为oldboy，并且使用oldboy用户的环境变量配置。
-c,--command=COMMAND	切换到一个shell下，执行一个命令，然后退出所切换的用户环境
-m,--presserve-environment	切换用户时，不重置用户环境变量，-p的功能同-m，这个参数为su的默认值，较少使用
-s,--shell=SHELL	如果/ec/shell允许，则运行指定的shell

 

  su实例：

[[email protected] ~]$ whoami qinbf [[email protected] ~]$ su -  #输入的是root的密码 口令： [[email protected] ~]# whoami root [[email protected] ~]# env HOSTNAME=qinbf SHELL=/bin/bash TERM=linux HISTSIZE=1000 USER=root …… PWD=/root LANG=zh_CN.UTF-8 SHLVL=1 HOME=/root LOGNAME=root [[email protected] ~]# su - qinbf [[email protected] ~]$ whoami qinbf [[email protected] ~]$ env HOSTNAME=qinbf SHELL=/bin/bash TERM=linux HISTSIZE=1000 USER=qinbf ……. PWD=/home/qinbf LANG=zh_CN.UTF-8 SHLVL=1 HOME=/home/qinbf LOGNAME=qinbf [[email protected] ~]$ exit   # exit退出当前用户，这个命令可以用ctrl+d替换 logout   [[email protected] ~]#

总结：su切换到其他用户不加“-”，环境变量是不会改变的，可能会导致异常，比较规范的写法是“su  -  用户”

 

如何让系统在每一次开机时自动普通用户启动指定的服务脚本？

把要执行的脚本放入开机自启动配置文件/etc/rc.local su  -  tddoc  -c  ‘/bin/sh /home/tddoc/bin/deploy.sh’

 

su命令优缺点

            su命令为我们管理linux带来方便，但是也带来了很大的安全管理问题，切换到root身份，可以改掉root的密码，让其他用户无法再切换到root。使用su命令切换身份在多个系统管理员共同管理的场合，并不是最好的选择。建议使用sudo代替su。

      su致命的缺点：

1）   普通用户必须知道root密码才可以切换到root，这样root密码就泄露开了。

2）   使用su命令切换身份，无法对切换后的身份做精细的控制，可以为所欲为，甚至改掉root密码。

 

2 sudo命令

通过sudo命令，我们可以把某些超级用户权限分类有针对性（精细）授权给指定的普通用户，并且普通用户不需要知道root密码就可以使用得到的授权。

2.1  sudo执行的流程

1）                 当用户执行sudo时，系统会首先查找/var/run/sudo/%HOME（如果是新用户会先生成此目录）目录中是否有用户时间戳文件，如果时间戳文件过期，则提示用户是否输入自身的密码（不是root或者要切换的用户密码）

2）                 当密码验证成功后，系统会查找/etc/sudoers配置文件，判断用户是否有执行相应sudo命令权限

3）                 如果具备执行相应sudo权限，就会自动由当前用户切换到root，然后以root身份执行该命令

4）                 执行完成后，又会自动直接退回到当前用户shell下。

2.2  sudo语法

      sudo  [参数选项] 命令

sudo参数选项	注释说明
-l	列出用户在主机上可用的和被禁止的命令
-v	验证用户的时间戳；当用户运行sudo，输入用户的密码后，在短时间内可以不用输入口令直接运行sudo，可用-v可以跟踪最新的时间戳
-u	指定以某个用户身份执行特定的操作
-k	同-K，删除时间戳，下一个sudo命令提供密码。前提是该用户授权中不能有NOPASSWD参数

 

                            sudo授权的方法

1）   执行visudo命令

2）   直接修改/etc/sudoers文件

直接修改sudoers配置文件方法有以下需要注意的几点：

1. echo命令是追加>>，不是重定向>，除了echo外，可以用cat、sed等命令实现此功能；
2. 修改操作完成一定要执行visudo  -c进行语法检查，这弥补了直接修改的不足
3. 确保/etc/sudoers权限是正确的（-r--r-----），权限不对会导致sudo功能异常
4. 及时对授权的操作进行测试，验证是否正确（最好不要退出当前授权窗口）
5. 确保知道正确root用户密码，以便在出现问题时可以通过普通用户等候执行su-命令切换到root进行恢复。

3）   使用用户组的方式实现sudo授权

通过授权一个用户组的方式来配置/etc/sudoers，这样以后有增加用户需要相同的授权时，直接将用户加入到sa组就可以享受sa组的sudo授权了。

 

%sa                     ALL=(All)            ALL

#注意用户组授权和普通用户的区别，开头为“%”百分号。sa组同用户一样必须是已经存在的。

 

2.3  sudo实例：

[[email protected] ~]# useradd sun [[email protected] ~]# echo "qbf" |passwd --stdin sun Changing password for user sun. passwd: all authentication tokens updated successfully. [[email protected] ~]# su - sun [[email protected] ~]$ touch /root/sun.txt touch: 无法触碰 “/root/sun.txt”: 权限不够 [[email protected] ~]$ sudo /root/sun.txt   We trust you have received the usual lecture from the local System Administrator. It usually boils down to these three things:       #1) Respect the privacy of others.     #2) Think before you type.     #3) With great power comes great responsibility.   [sudo] password for sun: Sorry, try again. [sudo] password for sun: sun is not in the sudoers file.  This incident will be reported.   方法一： [[email protected] ~]# visudo 81 ## Allow root to run any commands anywhere      82      83 root    ALL=(ALL)       ALL      84 qinbf   ALL=(ALL)       ALL      85 sun     ALL=(ALL)       ALL #允许sun用户在任何主机、对任何用户、执行任何操作   方法二： [[email protected] ~]# echo "sun   ALL=(ALL)   ALL">>/etc/sudoers [[email protected] ~]# visudo -c    #检查/etc/sudoers文件的语法 /etc/sudoers: parsed OK [[email protected] ~]# ll /etc/sudoers  #检查/etc/sudoers文件的权限 -r--r----- 1 root root 3438 06-05 15:05 /etc/sudoers   方法三： [[email protected] ~]# grep sa /etc/group sa:x:801:oldboy6 [[email protected] ~]# echo "%sa   ALL=(ALL)   ALL">>/etc/sudoers [[email protected] ~]# usermod -G sa sun   验证： [[email protected] ~]$ sudo touch /root/sun.doc [[email protected] ~]$ sudo ls -l /root/sun.doc -rw-r--r-- 1 root root 0 06-05 15:10 /root/sun.doc

 

 3  /etc/sudoers配置文件

 3.1    /etc/sudoers的规则大致可分为两类：一类是别名定义，另一类是授权规则；别名定义并不是必须的，但授权规则是必须的。

                

1）   Host_Alias定义主机别名

# Host_Alias     FILESERVERS = fs1, fs2 # Host_Alias     MAILSERVERS = smtp, smtp2

                  

2）   User_Alias定义用户别名

User_Alias  ADMINS = jsmith, mikem

 

3）   Runas_Alias定义runas别名

这个别名指定的是“用户身份”，即sudo允许切换至的用户

Runas_Alias SUPER = root

 

4）   Cmnd_Alias定义命令别名

## Services #Cmnd_Alias SERVICES = /sbin/service, /sbin/chkconfig   ## Updating the locate database #Cmnd_Alias LOCATE = /usr/bin/updatedb

 

3.2 别名实例

                            实例1：定义用户别名

User_Alias  ADMINS = oldboy,  ett,  %oldboy #-->定义用户别名ADMINS，包含oldboy，ett及oldboy组的成员

                           

                            实例2：定义命令别名

Cmnd_Alias  NETWORK = /sbin/ifconfig, /etc/init.d/network # 1)  所有的命令别名下的成员必须是文件或目录的绝对路径 2） 命令别名超过一行时，可以通过“\”号换行 3） 在定义时，可以使用正则表达式，如/usr/bin/passwd [A-Za-z]*。

 

                            实例3：定义Runas别名

Runas_Alias  OP = root, oldboy 特别说明：runas别名的定义也不多见

 

 3.3  /etc/sudoers配置文件中的授权规则

                           

oldboy      ALL=(ALL)    ALL #-->授权中的所有ALL字符串必须大写。其中，第一、二个ALL字符串不大写的话，visudo语法检查可以过，但是授权实际配置达不到配置需求，最后一个ALL必须大写，否则visudo语法检查通不过。   这一行代表的意思是： 授权用户    主机=（指定的可切换的用户） 可以执行的命令动作 因此，上面一行授权内容的实际意思就是，oldboy用户可以在所有的主机上，切换到所有用户，执行所有的命令。   如果忽略上面括号的内容，如写成： oldboy      ALL=         ALL 那么只能切换到root执行所有命令。   如果希望在执行命令时不提示密码，就用这个NOPASSWD:ALL语法来授权 如果不希望执行某个命令，那么就在这个命令前面加上“！”

 

 3.4  /etc/sudoers配置文件授权规则实例

在/etc/sudoers文件的末尾添加以下两行： Cmnd_Alias USER_ADMIN = /usr/sbin/useradd, /usr/sbin/userdel, !/usr/bin/passwd, /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd root   test  ALL=(ALL)    USER_ADMIN "/etc/sudoers" 109L, 3595C 已写入 [[email protected] ~]# visudo -c /etc/sudoers: parsed OK [[email protected] ~]# ll /etc/sudoers -r--r----- 1 root root 3595 06-08 10:07 /etc/sudoers   [[email protected] ~]$ vi .bash_profile #修改test用户的环境变量，添加以下黄色部分的变量 PATH=$PATH:$HOME/bin:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin   [[email protected] ~]$ source .bash_profile [[email protected] ~]$ sudo useradd bifeng  [sudo] password for test: [[email protected] ~]$ sudo passwd bifeng Changing password for user bifeng. New UNIX password: Retype new UNIX password: Sorry, passwords do not match. New UNIX password: Retype new UNIX password: passwd: all authentication tokens updated successfully.   [[email protected] ~]$ sudo passwd root [sudo] password for test: Sorry, user test is not allowed to execute ‘/usr/bin/passwd root‘ as root on test2.localdomain. [[email protected] ~]$ sudo passwd [sudo] password for test: Sorry, user test is not allowed to execute ‘/usr/bin/passwd‘ as root on test2.localdomain.   再添加一行： Cmnd_Alias USER_CHANGE = /bin/chown 修改test的权限： test  ALL=(ALL)    USER_ADMIN, NOPASSWD: USER_CHANGE   [[email protected] ~]$ sudo /bin/chown sun.sun /root/sun.txt [[email protected] ~]$ #-----à不再需要密码提示

 

3.5 sudo配置文件/etc/sudoers授权规则注意事项总结：

1）   授权规则中的所有ALL字符串必须为大写字母

2）   Cmnd_Alias USERCMD = /usr/sbin/useradd, /usr/sbin/userdel, !/usr/bin/passwd、/usr/bin/passwd[A-Za-z]*, /bin/chown, !/usr/bin/passwd root

允许执行的命令是有顺序的，从老师的测试结果来看，命令的顺序是从后面向前，即把允许执行的命令放在禁止命令的后面

3）   一行内容超长可以用“\”斜线换行

4）   “！”叹号表示非，就是命令取反的意思，即禁止执行的命令。

5）   测试之前要记得修改普通用户的环境变量.bash_profile文件，把root的环境变量加入到普通用户的后面。

 

3.6 远程执行sudo命令

在默认情况下，我们是无法通过ssh远程执行sudo命令的

 

在/etc/sudoers有这样的配置：

53 # Disable "ssh hostname sudo <cmd>", because it will show the password in clear.  54 #         You have to run "ssh -t hostname sudo <cmd>".  55 #  56 Defaults    requiretty

 

根据注释我们可以知道，这个“Default  requiretty”就是禁止我们通过ssh远程执行sudo命令的明确配置，但是禁止执行的远程ssh  sudo  命令格式为“ssh  hostname  sudo  <cmd>”，禁止的原因是因为会明文显示密码，但是我们可以通过“ssh  -t  hostname sudo  <cmd>”的方式

 

 

 4 配置sudo命令审计

 4.1 日志文件配置

1）安装sudo，syslog命令服务

yum  install  sudo syslog

[[email protected] ~]# yum install sudo syslog

 

2）配置系统日志/etc/syslog.conf

           echo  “local2.debug    /var/log/sudo.log” >>/etc/syslog.conf

31news.=crit                             /var/log/news/news.crit  32news.=err                             /var/log/news/news.err  33news.notice                           /var/log/news/news.notice  34local2.debug                          /var/log/sudo.log

 

3) 配置/etc/sudoers

           增加配置“Defaults      logfile=/var/log/sudo.log”>>/etc/sudoers

 

4) 重启syslog内核日志记录器

           /etc/init.d/syslog  restart

[[email protected] ~]# /etc/init.d/syslog restart 关闭内核日志记录器：                                       [确定] 关闭系统日志记录器：                                       [确定] 启动系统日志记录器：                                       [确定] 启动内核日志记录器：                                       [确定]

 

5) 测试sudo日志审计配置结果

[[email protected] ~]$ sudo useradd bill [[email protected] ~]$ sudo passwd bill Changing password for user bill. New UNIX password: Retype new UNIX password: passwd: all authentication tokens updated successfully.   [[email protected] ~]$ sudo useradd lily [[email protected] ~]$ passwd lily passwd: Only root can specify a user name. [[email protected] ~]$ sudo passwd lily Changing password for user lily. New UNIX password: Retype new UNIX password: passwd: all authentication tokens updated successfully.   [[email protected] ~]$ sudo chown root.root /root/sun.txt   [[email protected] ~]# tail /var/log/sudo.log  6月  8 11:02:45 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;     COMMAND=/usr/sbin/useradd bill  6月  8 11:02:52 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;     COMMAND=/usr/bin/passwd bill  6月  8 11:03:32 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ; COMMAND=list  6月  8 11:03:51 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ; COMMAND=validate  6月  8 11:04:12 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;     COMMAND=/usr/sbin/useradd lily  6月  8 11:04:22 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ; COMMAND=/usr/bin/passwd lily 6月  8 11:07:04 : test : TTY=pts/1 ; PWD=/home/test ; USER=root ;     COMMAND=/bin/chown root.root /root/sun.txt

 

4.2 日志写到其他主机：

配置syslog服务器配置文件(/etc/sysconfig/syslog)中添加： SYSLOGD_OPTIONS=”-m O -r -x”  # -r是指接收远程日志的意思 重启syslog服务器 /etc/init.d/syslog   restart   客户端配置 编辑/etc/syslog.conf 修改 local2.debug   /var/log/sudo.log 修改为 local2.debug   @中央服务器的IP