Linux系统如何进行提权操作

用户提权：
往往公司的服务器对外都是禁止root用户直接登录，所以我们通常使用的是普通用户，那么问题来了，当我们使用普通用户执行/sbin目录下的命令时，会发现没有权限运行，这种情况下我们无法正常的管理服务器，那如何才能不使用root用户直接登录系统，同时又保证普通用户能正常工作？

两种方法：
1.su切换用户,使用普通用户登录,然后使用su命令切换到root;优点:简单,缺点:需要让用户知道root密码;
2.sudo提取,当需要使用root权限时进行提权,而无需切换至root用户;优点:安全、方便;缺点:配置复杂;

1.su身份切换
在使用su切换前,说一下shell分类、环境变量配置文件有哪些
1）linux shell主要分为如下几类

- 交互式shell，等待用户输入执行的命令(终端操作,需要不断提示)
- 非交互式shell，执行shell脚本,脚本执行结束后shell自动退出
- 登录shell，需要输入用户名和密码才能进入shell
- 非登录shell，不需要输入用户和密码就能进入shell,比如运行bash会开启一个新的会话窗口

# 使用登录shell登录服务器，然后输入命令bash非登录式shell
区别于加载的环境变量不同；

        

          
        
        
        

          

          AI 代码解读
        
      
      

2.bash shell配置文件介绍(文件主要保存用户的工作环境)

个人配置文件: ~/.bash_profile; ~/.bashrc
全局配置文件：/etc/profile; /etc/profile.d/*.sh; /etc/bashrc
profile类文件,设定环境变量,登录前运行的脚本和命令;
bashrc类文件,设定本地变量,定义命令别名
注意: 如果全局配置和个人配置产生冲突,以个人配置为准

3.登录系统后，环境变量配置文件的应用顺序

(1)登录式shell：

/etc/profile --> /etc/profile.d/*.sh --> ~/.barh_profile  -->~/.bashrc --> /etc/bashrc

        

          
        
        
        

          

          AI 代码解读
        
      
      

(2)非登陆式shell：

~/.bashrc --> /etc/bashrc --> /etc/profile.d/*.sh

        

          
        
        
        

          

          AI 代码解读
        
      
      

验证：
在每个shell配置文件中添加echo命令，使用两种登录方式验证：

Last login: Fri Nov  6 18:09:54 2020 from 100.0.0.100
/etc/profile.d/1.sh
/etc/profile
/etc/bashrc
~/.bashrc
~/.bash_profile
[root@proxy1 ~]# 
[root@proxy1 ~]# bash
/etc/profile.d/1.sh
/etc/bashrc
~/.bashrc

        

          
        
        
        

          

          AI 代码解读
        
      
      

su - username    #属于登陆式shell
su username        #属于非登陆式shell
# 区别在于加载的环境变量不一样

        

          
        
        
        

          

          AI 代码解读
        
      
      

以某个用户的身份执行某个服务，使用su - username -c "command"

# 不会登录到用户
[root@proxy1 ~]# su - aaa -c "pwd"
/home/aaa

        

          
        
        
        

          

          AI 代码解读
        
      
      

sudo提权

su命令在切换用户身份时，如果每个普通用户都能拿到root用户的密码，当其中某个用户不小心泄露了root的密码，那系统会变得非常不安全；

其实sudo就相当于给某个普通用户埋下了浩克的种子，当需要执行一些高级操作时，进行发怒，但正常情况下还是普通人，还是会受到限制；

1）快速配置sudo方式

[root@proxy1 ~]# usermod aaa -G wheel
# 将aaa加入到wheel附加组中
# 而wheel组在sudo的配置文件中定义为可以执行任何命令
[root@proxy1 ~]# grep "wheel" /etc/sudoers
## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL
# %wheel        ALL=(ALL)       NOPASSWD: ALL
# 验证
[aaa@proxy1 root]$ rm anaconda-ks.cfg
rm: cannot remove ‘anaconda-ks.cfg’: Permission denied
[aaa@proxy1 root]$ sudo rm anaconda-ks.cfg

# sudo的审计日志
/var/log/secure

        

          
        
        
        

          

          AI 代码解读
        
      
      

2）正常配置
visudo命令(有语法验证)
方式一：

# 1.使用sudo定义分组,和系统的组无关
User_Alias OPS = aaa,bbb
User_Alias DBA = ccc,ddd

# 2.定义可执行的命令组,便于后续的调用
Cmnd_Alias NETWORKING = /sbin/ifconfig,/bin/ping
Cmnd_Alias SOFTWARE = /bin/rpm,/usr/bin/yum
Cmnd_Alias SERVICES = /sbin/server,/usr/bin/systemctl start

# 3.使用sudo开始分配权限
OPS ALL=(ALL) NETWORKING,SOFTWARE,SERVICES
DBA ALL=(ALL) SOFTWARE SERVICES

# 4.检测配置
[root@proxy1 ~]# visudo -c
/etc/sudoers: parsed OK

# 用户可以使用sudo -l命令查看自己的权限

        

          
        
        
        

          

          AI 代码解读
        
      
      

方式二：

# 针对系统中真实存在的组进行操作
# 1.创建两个组:OPS、DBA
[root@proxy1 ~]# groupadd OPS
[root@proxy1 ~]# groupadd DBA
# 2.将用户的附加组修改为OPS或DBA
[root@proxy1 ~]# usermod aaa -G OPS
[root@proxy1 ~]# usermod bbb -G OPS   
[root@proxy1 ~]# usermod ccc -G DBA
[root@proxy1 ~]# usermod ddd -G DBA 
# 3.在sudo中配置规则
Cmnd_Alias NETWORKING = /sbin/ifconfig,/bin/ping
Cmnd_Alias SOFTWARE = /bin/rpm,/usr/bin/yum
Cmnd_Alias SERVICES = /sbin/server,/usr/bin/systemctl start

# 4.使用sudo开始分配权限
%OPS ALL=(ALL) NETWORKING,SOFTWARE,SERVICES
%DBA ALL=(ALL) SOFTWARE SERVICES

# 5.检查配置并验证权限
visudo -c
[ccc@proxy1 root]$ sudo -l
User ccc may run the following commands on proxy1:
    (ALL) /bin/rpm, /usr/bin/yum

# 区别在于真实的组定义时前边需要添加%号

        

          
        
        
        

          

          AI 代码解读