Bestimmten Befehl in Linux für bestimmten Benutzer blockieren

Wie blockiere ich einen Befehl, zum Beispiel mkdirfür einen bestimmten Benutzer?

Was ich gerade erstellt habe, ist eine Nur-Lese-Funktion, die im Benutzerprofil gespeichert wird ~/.bashrc

/bin/mkdir() {
        echo "mkdir command not allow for you"

}

mkdir() {
        echo "mkdir command not allow for you"

}
./mkdir() {

        echo "mkdir command not allow for you"
}

readonly -f /bin/mkdir
readonly -f mkdir
readonly -f ./mkdir

Prüfung:

rahul@ubuntu:~$ cd /bin/
rahul@ubuntu:/bin$ ./mkdir /home/rahul/ggg
mkdir command not allow for you
rahul@ubuntu:/bin$ cd
rahul@ubuntu:~$ mkdir testing
mkdir command not allow for you
rahul@ubuntu:~$ /bin/mkdir testing
mkdir command not allow for you

Meine Frage ist also, wie dies erreicht werden kann. Gibt es ein Werkzeug dafür?

Update 1 # Wenn der Benutzer jedoch schlau ist, kann er mkdir binary kopieren und umbenennen und verwenden. Wie kann man das erreichen?

Ich weiß nicht, wie man es mit bash macht, aber ich kenne eine andere Shell, die die Benutzerumgebung einschränkt: lshell (eingeschränkte Shell) .

Ein schneller Überblick über die Konfiguration

Lshell wird über eine INI-Datei konfiguriert. Standardmäßig enthält es eine Whitelist mit zulässigen Befehlen, kann jedoch problemlos so konfiguriert werden, dass der Benutzer keinen bestimmten Befehl verwenden kann.

Diese Konfiguration (Standardeinstellung conf /etc/lshell.conf) untersagt dem Benutzer die fooVerwendung von mkdir:

[foo]
allowed = 'all' - ['mkdir', 'bash', 'sh', 'csh', 'dash', 'env']

Um ein Benutzerkonto so zu konfigurieren, dass es standardmäßig lshell verwendet, müssen Sie:

 chsh -s /usr/bin/lshell foo

Lshell kann mehr:

• 3 Stufen der Granularität: Benutzer, Gruppe, alle.
• Kann den Zugriff auf bestimmte Pfade im System einschränken.
• Kann die Verwendung bestimmter Zeichen (zB |) einschränken .
• Kann die Verwendung bestimmter Befehle nur über SSH einschränken.

Und mehr.

Update 1 # Hinzugefügtes Testergebnis:

rahul:~$ which bash
/bin/bash
rahul:~$ dd if=$(which bash) of=my_bash
*** forbidden syntax: dd if=$(which bash) of=my_bash
rahul:~$ bash
*** forbidden command: bash
rahul:~$ cp /bin/bash my_bash
*** forbidden path: /bin/bash
rahul:~$ /bin/bash
*** forbidden command: /bin/bash
rahul:~$ sh
*** forbidden command: sh
rahul:~$ dash
*** forbidden command: dash
rahul:~$ env bash
*** forbidden command: env
rahul:~$ cp /bin/mkdir mycreatedir
*** forbidden path: /bin/mkdir

Die Art und Weise, wie ich diese Art von Einschränkungen normalerweise umsetze, setzt voraus, dass mehrere Bedingungen erfüllt sind. Andernfalls kann die Einschränkung leicht umgangen werden:

• Der Benutzer gehört nicht zu der wheelGruppe, die nur zur Verwendung berechtigt ist su(erzwungen über PAM).

• Der Benutzer erhält einen ordnungsgemäß gesicherten rbashschreibgeschützten Pfad, der auf einen privaten Pfad verweist ~/bin. Dieses ~/bin/Verzeichnis enthält Links zu einfachen Dienstprogrammen:

  $ ll ~/bin
  total 0
  lrwxrwxrwx. 1 root dawud 14 Sep 17 08:58 clear -> /usr/bin/clear*
  lrwxrwxrwx. 1 root dawud  7 Sep 17 08:58 df -> /bin/df*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 egrep -> /bin/egrep*
  lrwxrwxrwx. 1 root dawud  8 Sep 17 08:58 env -> /bin/env*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 fgrep -> /bin/fgrep*
  lrwxrwxrwx. 1 root dawud  9 Sep 17 08:58 grep -> /bin/grep*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 rview -> /bin/rview*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 rvim -> /usr/bin/rvim*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 sudo -> /usr/bin/sudo*
  lrwxrwxrwx. 1 root dawud 17 Sep 17 08:58 sudoedit -> /usr/bin/sudoedit*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 tail -> /usr/bin/tail*
  lrwxrwxrwx. 1 root dawud 11 Sep 17 08:58 wc -> /usr/bin/wc*
  

• der Benutzer eine eingeschränkte, read-only - Umgebung gegeben (man denkt an Sachen wie LESSSECURE, TMOUT, HISTFILEVariablen).

• Der Benutzer wird dem SELinux-Benutzer zugeordnet staff_uund erhält die Berechtigung, Befehle als anderer Benutzer wie erforderlich über auszuführen sudo.

• der Benutzer /home, /tmpund möglicherweise /var/tmpsind polyinstantiert über /etc/security/namespace.conf:

  /tmp       /tmp/.inst/tmp.inst-$USER-     tmpdir:create   root
  /var/tmp   /tmp/.inst/var-tmp.inst-$USER- tmpdir:create   root
  $HOME      $HOME/$USER.inst/              tmpdir:create   root
  

  /etc/security/namespace.initLegt außerdem fest, dass alle Skelettdateien nur für den Benutzer lesbar sind und Eigentum von sind root.

Auf diese Weise können Sie auswählen, ob $USERdie Ausführung mkdirin eigenem Namen (über einen Link im privaten ~/binVerzeichnis, bereitgestellt über /etc/skel, wie oben erläutert), im Namen eines anderen Benutzers (über sudo) oder überhaupt nicht erfolgen soll.

Fügen Sie eine Dummy - Gruppe, fügen Sie den Benutzer zu dieser Gruppe chown root:somegroup /bin/mkdir, chmod g-x /bin/mkdir. Beachten Sie, dass dies davon abhängt, dass der Benutzer seine Gruppen nicht ändern kann. IIRC Dies gilt für GNU / Linux, jedoch nicht für einige andere Unices.

Das Beste, was ich getestet habe, ist die beste und sicherste Methode, Profile.d zu verwenden

Schritt 1 (Erstellen einer Aliasdatei)

[root@newrbe ~]# vim /etc/customalias.sh

Unten stehende Zeilen hinzufügen:

alias rm="echo remove contenet is restricted"
alias poweroff="echo Poweroff is restricted"
alias chmod="echo Change Permission is restristed"

Speichern und beenden

Schritt 2 (Profillader erstellen)

/etc/profile.d/ Dieser Speicherort enthält Dateien für die Bash-Vervollständigung

[root@newrbe ~]# vim /etc/profile.d/customsource.sh

Fügen Sie unter den Dateien folgende Zeilen ein: Diese Zeilen blockieren die genannten Befehle für Benutzer unter ""

if [ `whoami` == "user1" ] && [ `whoami` == "user2" ]; then
    source /etc/customalias.sh
fi

speichern und Beenden

Jetzt beenden und neu anmelden

Grüße, -Mansur

installiere sudoers und versuche dort zu konfigurieren wessen benutzer und welchen befehl.