Sudo für Befehl erzwingen?
Hallo,
ich möchte Benutzer daran hindern ihre eigene Shell zu ändern, durch Benutzung des "chsh" Kommandos. Kann ich einstellen, dass zum Ausführen des Befehls root Rechte erforderlich sind?
5 Antworten
Natürlich kannst du die Ausführungsrechte für das Binary chsh so ändern, dass das nur root oder ein anderer mit sudo darf.
chmod 4700 <PHATH>/chsh
sollte reichen
Welchen Sinn soll es haben, einem User zu verbieten, eine andere Login-Shell zu benutzen.
Prinzipiell kann der doch z.B. mit csh von bash auf diese Shell wechseln. Das muss der dann zwar immer wiederholen, was er aber auch lebst z.B. in die ~/.bashrc eintragen könnte.
Was willst du damit erreichen?
Das ließe sich mit chmod realisieren, indem Du die Ausführung für Nutzer untersagst. Sinnbehaftet ist das eher nicht so.
diesen Befehl brauch sowieso niemand. Das kann man durch das Ändern der Userdaten in der /etc/passwd ganz leicht machen, nur eben nicht zeitnah.
Und was passiert, wenn der User auf der bash einfach csh eintippt?
csh ist nicht installiert.
# /etc/shells: valid login shells
/bin/sh
/bin/bash
/usr/bin/bash
/bin/rbash
/usr/bin/rbash
/bin/dash
/usr/bin/dash
das sind die, die bei mir (openSuSE Leap 15.3) in der /etc/shells stehen
/bin/csh
/bin/dash
/bin/false
/bin/ksh
/bin/ksh93
/bin/mksh
/bin/pdksh
/bin/sh
/bin/tcsh
/bin/true
/bin/zsh
/usr/bin/csh
/usr/bin/dash
/usr/bin/ksh
/usr/bin/ksh93
/usr/bin/mksh
/usr/bin/passwd
/usr/bin/pdksh
/usr/bin/bash
/usr/bin/tcsh
/usr/bin/zsh
/usr/bin/fis
Da muss man aber sehr vorsichtig sein denn chsh prüft nicht mal, ob die Shell, auch wenn sie in der Liste steht, überhaupt installiert ist.
Wenn man z.B. mit chsh für root eine solche nicht installierte Shell einträgt, kann sich root nicht mehr anmelden.
Bei solchen Experimenten ist es dann sinnvoll, vorher die alte /etc/passwd in einen Editor zu laden, um damit alle Änderungen rückgangig zu machen.
Wie gesagt, am Root user etc. will ich gar nichts ändern, es geht nur um einen einzelnen User, der /bin/rbash eingetragen bekommt und diese eben nicht selbst ändern soll, damit er sein Home-Verzeichnis nie verlässt.
The only restriction placed on the login shell is that the
command name must be listed in /etc/shells, unless the
invoker is the superuser, and then any value may be added.
An account with a restricted login shell may not change
her login shell. For this reason, placing /bin/rsh in
/etc/shells is discouraged since accidentally changing
to a restricted shell would prevent the user from ever
changing her login shell back to its original value.
Aus man chsh.
was darf ein User, der mit der rbash arbeitet, eigentlich machen?
Ich verstehe den Sinn nicht ganz. Die shell hat doch keinen Einfluß auf die eingegebenen Befehle, oder ? Du könntest eventuell die Rechte der shell ändern auf z.B. nur Lesen. Habe ich aber noch nicht probiert.
Du könntest eventuell die Rechte der shell ändern auf z.B. nur Lesen. Habe ich aber noch nicht probiert.
Die Shell reich die Namen der Befehle nur an das Betriebssystem durch. Ich wüsste nicht, wie der Shell das verbieten könnte, ohne den Code zu ändern.
Im Normalfall ist eh nur Bash als shell installiert.
Wenn es keinen wichtigen Grund gibt, sollte jedes nicht benötigte Paket gar nicht erst installiert sein, so kann auch keiner ausführen.
/etc/passwd kann im Gegensatz zu chsh aber nur mit Root-Rechten bearbeitet werden und chsh trägt seine Änderungen trotzdem in chsh ein. Der Grund das zu machen ist, dass ein User als Shell /bin/rbash bekommen soll, damit er sein Home-Verzeichnis nicht verlassen kann. Das bringt aber nichts, wenn man per chsh seine Shell wieder auf /bin/bash stellen kann.