Blokir Perintah Tertentu di Linux untuk pengguna Tertentu

Bagaimana cara memblokir perintah, misalkan mkdiruntuk pengguna tertentu?

Apa yang saya lakukan hanya membuat fungsi read-only dan menyimpannya di profil pengguna ~/.bashrc

/bin/mkdir() {
        echo "mkdir command not allow for you"

}

mkdir() {
        echo "mkdir command not allow for you"

}
./mkdir() {

        echo "mkdir command not allow for you"
}

readonly -f /bin/mkdir
readonly -f mkdir
readonly -f ./mkdir

Uji:

rahul@ubuntu:~$ cd /bin/
rahul@ubuntu:/bin$ ./mkdir /home/rahul/ggg
mkdir command not allow for you
rahul@ubuntu:/bin$ cd
rahul@ubuntu:~$ mkdir testing
mkdir command not allow for you
rahul@ubuntu:~$ /bin/mkdir testing
mkdir command not allow for you

Jadi pertanyaan saya adalah Apa yang harus menjadi cara untuk mencapai ini? apakah ada alat untuk ini?

Perbarui 1 # Tetapi jika pengguna cerdas, ia bisa menyalin biner mkdir dan mengganti nama dan menggunakannya. Lantas bagaimana cara mencapainya?

Saya tidak tahu bagaimana cara melakukannya dengan bash, tapi saya tahu shell lain yang membatasi lingkungan pengguna: lshell (shell terbatas) .

Ikhtisar konfigurasi yang cepat

Lshell dikonfigurasi melalui file INI. Secara default, ia memegang daftar putih dari perintah yang diizinkan, tetapi dapat dengan mudah dikonfigurasikan untuk melarang pengguna menggunakan perintah tertentu.

Konfigurasi ini (konfigurasi default /etc/lshell.conf) melarang pengguna foountuk menggunakan mkdir:

[foo]
allowed = 'all' - ['mkdir', 'bash', 'sh', 'csh', 'dash', 'env']

Untuk mengonfigurasi akun pengguna agar menggunakan lshell secara default, Anda harus:

 chsh -s /usr/bin/lshell foo

Lshell dapat berbuat lebih banyak, seperti:

• 3 tingkat perincian: pengguna, grup, semua.
• Dapat membatasi akses ke jalur tertentu dalam sistem.
• Dapat membatasi penggunaan karakter tertentu (seperti |).
• Dapat membatasi penggunaan perintah tertentu hanya di atas SSH.

Dan lagi.

Perbarui 1 # Ditambahkan Hasil Uji:

rahul:~$ which bash
/bin/bash
rahul:~$ dd if=$(which bash) of=my_bash
*** forbidden syntax: dd if=$(which bash) of=my_bash
rahul:~$ bash
*** forbidden command: bash
rahul:~$ cp /bin/bash my_bash
*** forbidden path: /bin/bash
rahul:~$ /bin/bash
*** forbidden command: /bin/bash
rahul:~$ sh
*** forbidden command: sh
rahul:~$ dash
*** forbidden command: dash
rahul:~$ env bash
*** forbidden command: env
rahul:~$ cp /bin/mkdir mycreatedir
*** forbidden path: /bin/mkdir

Cara saya biasanya menerapkan pembatasan semacam ini mengharuskan beberapa kondisi terpenuhi, jika tidak, pembatasan dapat dengan mudah dielakkan:

• Pengguna bukan milik wheelgrup, satu-satunya yang diizinkan untuk menggunakan su(diberlakukan melalui PAM).

• Pengguna diberi diamankan rbashdengan benar dengan PATH read-only yang menunjuk ke pribadi ~/bin, ~/bin/direktori ini berisi tautan ke utilitas sederhana:

  $ ll ~/bin
  total 0
  lrwxrwxrwx. 1 root dawud 14 Sep 17 08:58 clear -> /usr/bin/clear*
  lrwxrwxrwx. 1 root dawud  7 Sep 17 08:58 df -> /bin/df*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 egrep -> /bin/egrep*
  lrwxrwxrwx. 1 root dawud  8 Sep 17 08:58 env -> /bin/env*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 fgrep -> /bin/fgrep*
  lrwxrwxrwx. 1 root dawud  9 Sep 17 08:58 grep -> /bin/grep*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 rview -> /bin/rview*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 rvim -> /usr/bin/rvim*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 sudo -> /usr/bin/sudo*
  lrwxrwxrwx. 1 root dawud 17 Sep 17 08:58 sudoedit -> /usr/bin/sudoedit*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 tail -> /usr/bin/tail*
  lrwxrwxrwx. 1 root dawud 11 Sep 17 08:58 wc -> /usr/bin/wc*
  

• pengguna diberikan terbatas, read-only lingkungan (memikirkan hal-hal seperti LESSSECURE, TMOUT, HISTFILEvariabel).

• pengguna dipetakan ke pengguna SELinux staff_udan diberikan hak untuk mengeksekusi perintah sebagai pengguna lain sebagaimana disyaratkan melalui sudo.

• pengguna /home, /tmpdan mungkin /var/tmpdipolisi melalui /etc/security/namespace.conf:

  /tmp       /tmp/.inst/tmp.inst-$USER-     tmpdir:create   root
  /var/tmp   /tmp/.inst/var-tmp.inst-$USER- tmpdir:create   root
  $HOME      $HOME/$USER.inst/              tmpdir:create   root
  

  Juga, /etc/security/namespace.initbuat semua file kerangka hanya dibaca untuk pengguna dan dimiliki oleh root.

Dengan cara ini Anda dapat memilih apakah $USERdapat mengeksekusi mkdiratas namanya sendiri (melalui tautan di ~/bindirektori pribadi , disediakan melalui /etc/skel, seperti dijelaskan di atas), atas nama pengguna lain (via sudo) atau tidak sama sekali.

Tambahkan grup dummy, tambahkan pengguna ke grup itu chown root:somegroup /bin/mkdir,, chmod g-x /bin/mkdir. Perhatikan bahwa ini bergantung pada pengguna yang tidak dapat memodifikasi grup mereka. IIRC ini benar di GNU / Linux tetapi tidak di beberapa Unix lainnya.

Yang terbaik seperti yang telah saya uji adalah dengan menggunakan Profile.d cara terbaik & teraman

Langkah # 1 (Buat File Alias)

[root@newrbe ~]# vim /etc/customalias.sh

Tambahkan baris di bawah ini:

alias rm="echo remove contenet is restricted"
alias poweroff="echo Poweroff is restricted"
alias chmod="echo Change Permission is restristed"

Simpan & keluar

Langkah # 2 (Buat pemuat Profil)

/etc/profile.d/ lokasi ini berisi file untuk penyelesaian bash

[root@newrbe ~]# vim /etc/profile.d/customsource.sh

Tambahkan baris di bawah ini di bawah file, baris ini akan memblokir perintah yang disebutkan untuk pengguna di bawah ini

if [ `whoami` == "user1" ] && [ `whoami` == "user2" ]; then
    source /etc/customalias.sh
fi

Simpan dan keluar

Sekarang Keluar dan masuk kembali

Salam, -Mansur

instal sudoers dan coba konfigurasikan di sana pengguna dan perintah apa.