sudo su работает без запроса пароля?

Question

Так вот в чем проблема. У нас есть файл /etc /sudoers, настроенный так, что пользователи могут запускать команды из /bin, такие как "cat" или "mkdir", не вводя пароль. Проблема в том, что команда "su" также находится в /bin, поэтому, если они вводят "sudo su", она дает им root-доступ без пароля. Вот файл /etc /sudoers:

Defaults targetpw    
%users ALL=(ALL) ALL 

root    ALL=(ALL) ALL

support ALL=(ALL) NOPASSWD: /sbin/, /bin/, /opt/, /etc/init.d/, /elo/
support ALL=(ALL) NOPASSWD: /usr/bin/mysql

Есть ли способ, которым я могу отказать /bin /su, все еще разрешая остальные команды /bin?

Answer 1

Они могут mount? Тогда у них есть все, чтобы стать суперпользователем. Есть и другие интересные рекомендации.

Вы действительно хотите сделать /etc/sudoers белым списком, а не черным списком.

С правильными битами доступа к файлам и каталогам и настройками пользователей / групп вам не понадобится sudo в вашей повседневной работе.