管理员组的成员可能获得root权限

Question

我想阻止用户在任何地方使用“sudo rm”表单我已编辑sudoers：

%admin ALL=(ALL) ALL,!/bin/rm

好的：

derek@derek-desktop:~$ sudo rm

Sorry, user derek is not allowed to execute '/bin/rm' as root on derek-desktop.

但是我使用rm命令创建了一个test.sh

derek@derek-desktop:~$ cat test.sh
rm --help

它向我展示了rm的帮助。似乎sudoers无法阻止此行为。我想禁用从sudo运行rm的所有用户。
你能帮助我吗？提前谢谢！

Answer 1

你添加到sudoers的工作正常。它可以防止admin组中的用户在服务器上的任何位置运行sudo rm。但是，它并不会阻止他们运行rm

如果您将test.sh更改为sudo rm --help，则此将错误。

如果你不信任用户运行rm命令，你可以在全局bash.bashrc中创建一个if语句，例如....

group=`groups`
if [[ $group == *admin* ]] ; then
        alias rm=''
        alias unalias=''
fi

希望这能为你的问题提供一些替代方案。