引言

在 Linux 系統(tǒng)中，su 命令允許用戶以另一個用戶（通常是 root）的身份運行命令或切換用戶環(huán)境。盡管 su 提供了便利，但在安全性敏感的環(huán)境中，允許任意用戶通過 su 切換到 root 或其他特權(quán)用戶可能會帶來嚴(yán)重的安全風(fēng)險。為了增強系統(tǒng)安全性，Linux 提供了多種手段來限制 su 命令的使用。本文將深入探討幾種常見的限制 su 的方法，包括 NoNewPrivileges 設(shè)置、PAM（Pluggable Authentication Modules）配置、Wheel 組限制、以及其他相關(guān)技術(shù)手段。

一、背景：為什么需要限制 su 命令？

su 命令（substitute user）是 Linux 系統(tǒng)中用于切換用戶身份的常用工具。通過執(zhí)行 su - 命令并輸入目標(biāo)用戶的密碼，用戶可以切換到目標(biāo)用戶的環(huán)境（通常是 root）。然而，這種機制存在以下安全隱患：

1. 密碼泄露風(fēng)險：如果 root 密碼被泄露，任何知道密碼的用戶都可以通過 su 切換到 root，執(zhí)行任意操作。
2. 權(quán)限提升漏洞：某些程序可能利用 su 或 setuid 機制提升權(quán)限，導(dǎo)致非授權(quán)用戶獲取特權(quán)。
3. 誤操作風(fēng)險：普通用戶切換到 root 后，可能因誤操作導(dǎo)致系統(tǒng)配置錯誤或數(shù)據(jù)丟失。
4. 安全審計難度：未受限的 su 使用可能導(dǎo)致難以追蹤的操作記錄，增加安全審計的復(fù)雜性。

因此，限制 su 的使用是 Linux 系統(tǒng)安全加固的重要一環(huán)。以下將詳細(xì)介紹幾種常見的限制手段。

二、限制 su 的手段一：使用 NoNewPrivileges 設(shè)置

1. NoNewPrivileges 的作用

NoNewPrivileges 是 systemd 提供的一項安全功能，用于限制進(jìn)程及其子進(jìn)程獲得新的特權(quán)。啟用 NoNewPrivileges 后，進(jìn)程將無法通過 execve(2) 系統(tǒng)調(diào)用、setuid/setgid 文件權(quán)限或其他機制提升權(quán)限。這對于限制 su 命令的執(zhí)行非常有效，因為 su 通常依賴 setuid 位來切換用戶身份。

NoNewPrivileges 的主要特點包括：

• 禁止特權(quán)提升：防止進(jìn)程通過 setuid/setgid 或文件系統(tǒng)能力（capabilities）獲得額外的特權(quán)。
• 影響范圍：不僅限制當(dāng)前進(jìn)程，還限制其所有子進(jìn)程。
• 適用場景：適用于運行不受信任程序的 systemd 服務(wù)，如 Web 服務(wù)器、數(shù)據(jù)庫服務(wù)等。

2. 配置 NoNewPrivileges

在 systemd 單元文件中，可以通過設(shè)置 NoNewPrivileges=yes 來啟用此功能。以下是一個配置示例，針對 sshd 服務(wù)：

# 編輯 sshd 服務(wù)單元文件
sudo systemctl edit ssh.service

在編輯器中添加以下內(nèi)容：

[Service]
NoNewPrivileges=yes

保存后，重新加載 systemd 配置并重啟服務(wù)：

sudo systemctl daemon-reload
sudo systemctl restart ssh.service

可以通過以下命令驗證 NoNewPrivileges 設(shè)置是否生效：

systemctl show --property=NoNewPrivileges ssh.service

輸出結(jié)果應(yīng)為：

NoNewPrivileges=yes

3. NoNewPrivileges 對 su 的限制效果

當(dāng) NoNewPrivileges 設(shè)置為 yes 時，su 命令在受限進(jìn)程中將無法提升權(quán)限。例如，如果某個服務(wù)以非特權(quán)用戶運行，并嘗試通過 su 切換到 root，用戶將收到權(quán)限拒絕的錯誤。這是因為 su 的 setuid 位被 NoNewPrivileges 限制，無法執(zhí)行特權(quán)操作。

4. 優(yōu)缺點分析

優(yōu)點：

• 簡單易用，只需修改 systemd 單元文件。
• 提供強大的特權(quán)控制，適用于服務(wù)級別的安全加固。
• 對子進(jìn)程的限制確保了特權(quán)控制的全面性。

缺點：

• 僅適用于 systemd 管理的服務(wù)，無法直接限制用戶登錄會話中的 su 命令。
• 可能影響需要特權(quán)操作的合法進(jìn)程，需仔細(xì)測試。

適用場景：適合對特定服務(wù)（如 Web 服務(wù)器、容器化應(yīng)用）進(jìn)行沙箱化限制，但不適合限制用戶直接通過終端運行 su。

三、限制 su 的手段二：PAM 配置與 Wheel 組

1. PAM 認(rèn)證機制簡介

PAM（Pluggable Authentication Modules）是 Linux 系統(tǒng)中用于認(rèn)證和授權(quán)的模塊化框架。su 命令的認(rèn)證流程由 /etc/pam.d/su 文件控制。通過修改 PAM 配置文件，可以限制哪些用戶能夠使用 su 命令。

2. 使用 Wheel 組限制 su

在 Linux 系統(tǒng)中，wheel 組是一個特殊的管理員組，通常用于限制特權(quán)操作?？梢酝ㄟ^配置 PAM 和 /etc/login.defs 文件，只允許 wheel 組成員使用 su 切換到 root。

配置步驟

啟用 pam_wheel 模塊：
編輯 /etc/pam.d/su 文件，找到以下行并取消注釋（移除行首的 #）：

#auth required pam_wheel.so use_uid

修改為：

auth required pam_wheel.so use_uid

這一行表示只有 wheel 組的用戶才能通過 su 認(rèn)證。

配置 /etc/login.defs：
編輯 /etc/login.defs 文件，添加以下行：

SU_WHEEL_ONLY yes

這要求只有 wheel 組成員才能使用 su 切換到 root。

將用戶添加到 wheel 組：
使用以下命令將允許使用 su 的用戶添加到 wheel 組：

sudo usermod -aG wheel username

測試配置：
使用非 wheel 組用戶嘗試運行 su -，應(yīng)提示權(quán)限拒絕：

su -
Password:
su: Permission denied

3. 優(yōu)缺點分析

優(yōu)點：

• 靈活性高，可以精確控制哪些用戶能夠使用 su。
• 與系統(tǒng)認(rèn)證機制深度集成，適用于所有用戶會話。
• 配置簡單，易于管理和維護(hù)。

缺點：

• 需要手動管理 wheel 組成員，增加管理員工作量。
• 如果 wheel 組配置不當(dāng)，可能導(dǎo)致合法用戶無法切換。

適用場景：適合需要嚴(yán)格控制 root 訪問的服務(wù)器環(huán)境，例如企業(yè)級服務(wù)器或云主機。

四、限制 su 的手段三：修改 su 命令權(quán)限

1. 通過 chmod 限制 su 權(quán)限

一個簡單但較為粗暴的方法是直接修改 /bin/su 文件的權(quán)限，使其僅限于特定用戶或組執(zhí)行。例如，將 su 命令的權(quán)限設(shè)置為只有 root 用戶和 wheel 組可執(zhí)行：

sudo chown root:wheel /bin/su
sudo chmod 4750 /bin/su

• 4750 表示：
  • 4：setuid 位，確保 su 以 root 身份運行。
  • 7：root 用戶具有讀、寫、執(zhí)行權(quán)限。
  • 5：wheel 組具有讀、執(zhí)行權(quán)限。
  • 0：其他用戶沒有任何權(quán)限。

2. 效果與驗證

執(zhí)行上述命令后，只有 root 和 wheel 組成員能夠運行 su 命令。其他用戶嘗試運行時會收到 Permission denied 錯誤：

su -
-bash: /bin/su: Permission denied

3. 優(yōu)缺點分析

優(yōu)點：

• 配置簡單，直接有效。
• 不依賴額外的模塊或服務(wù)。

缺點：

• 過于粗暴，可能影響系統(tǒng)其他依賴 su 的功能。
• 需要定期檢查文件權(quán)限，防止被意外修改。

適用場景：適合小型系統(tǒng)或臨時安全加固，但不推薦用于復(fù)雜生產(chǎn)環(huán)境。

五、限制 su 的手段四：使用 sudo 替代 su

1. sudo 的優(yōu)勢

sudo 是一種更安全、更靈活的權(quán)限管理工具，允許管理員為用戶分配特定的命令權(quán)限，而無需提供完整的 root 訪問權(quán)限。通過禁用 su 并強制使用 sudo，可以有效降低權(quán)限提升的風(fēng)險。

2. 配置 sudo 限制

1. 禁用 su 命令：
   使用上述方法（PAM 或權(quán)限修改）禁用 su 命令。
2. 配置 /etc/sudoers：
   編輯 /etc/sudoers 文件（建議使用 visudo 命令），為特定用戶或組分配權(quán)限。例如：

%wheel ALL=(ALL) ALL

這表示 wheel 組成員可以通過 sudo 執(zhí)行所有命令。

禁止直接切換到 root：
為了防止用戶通過 sudo su - 或 sudo -i 切換到 root，可以在 /etc/sudoers 中添加以下內(nèi)容：

Cmnd_Alias SHELLS = /bin/sh, /bin/bash, /usr/bin/su
%wheel ALL=(ALL) ALL, !SHELLS

這將禁止 wheel 組用戶通過 sudo 執(zhí)行 su 或直接進(jìn)入 shell。

3. 優(yōu)缺點分析

優(yōu)點：

• 提供細(xì)粒度的權(quán)限控制。
• 日志記錄功能便于審計。
• 避免直接使用 root 密碼，降低泄露風(fēng)險。

缺點：

• 配置復(fù)雜，需要仔細(xì)規(guī)劃 sudoers 文件。
• 用戶仍可能通過其他漏洞繞過限制。

適用場景：適合需要細(xì)粒度權(quán)限管理的生產(chǎn)環(huán)境，如多用戶服務(wù)器。

六、其他限制手段

1. 使用 AppArmor 或 SELinux

AppArmor 和 SELinux 是 Linux 的強制訪問控制（MAC）機制，可以限制 su 的執(zhí)行。例如，通過 AppArmor 配置文件，可以禁止特定用戶或進(jìn)程訪問 /bin/su。

示例：AppArmor 配置：
創(chuàng)建 /etc/apparmor.d/disable-su 文件：

#include <tunables/global>

/bin/su {
  # 禁止所有用戶執(zhí)行 su
  deny /bin/su x,
}

加載配置：

sudo apparmor_parser -r /etc/apparmor.d/disable-su

2. 限制 SSH 登錄

通過配置 /etc/ssh/sshd_config，可以禁止 root 登錄并限制普通用戶的使用，間接減少 su 的使用需求：

PermitRootLogin no
AllowUsers adminuser

重啟 SSH 服務(wù)：

sudo systemctl restart sshd

3. 使用容器化技術(shù)

在容器化環(huán)境中（如 Docker），可以通過 --security-opt=no-new-privileges 參數(shù)啟用類似 NoNewPrivileges 的限制，防止容器內(nèi)進(jìn)程通過 su 提升權(quán)限。

七、實際案例分析

案例 1：企業(yè)服務(wù)器限制 su 訪問

某企業(yè)希望限制普通用戶通過 su 切換到 root，僅允許管理員組成員操作。解決方案如下：

1. 配置 /etc/pam.d/su 和 /etc/login.defs，啟用 pam_wheel 和 SU_WHEEL_ONLY。
2. 將管理員用戶加入 wheel 組。
3. 使用 sudo 替代 su，并通過 sudoers 文件限制命令范圍。
4. 啟用 SELinux，配置上下文禁止非授權(quán)用戶訪問 /bin/su。

經(jīng)過測試，非 wheel 組用戶無法使用 su，而管理員可以通過 sudo 執(zhí)行特權(quán)操作，系統(tǒng)安全性顯著提升。

案例 2：容器化環(huán)境中的 NoNewPrivileges

某 Web 應(yīng)用運行在 Docker 容器中，為防止容器內(nèi)進(jìn)程通過 su 提升權(quán)限，管理員在 docker run 命令中添加了 --security-opt=no-new-privileges 參數(shù)，并確保容器以非 root 用戶運行。這有效防止了潛在的權(quán)限提升攻擊。

八、總結(jié)與最佳實踐

限制 su 命令的使用是 Linux 系統(tǒng)安全加固的重要措施。以下是幾種方法的對比與推薦：

最佳實踐建議：

1. 優(yōu)先使用 PAM 和 Wheel 組：結(jié)合 pam_wheel 和 /etc/login.defs，實現(xiàn)用戶級別的 su 限制。
2. 結(jié)合 sudo：通過 sudoers 配置細(xì)粒度權(quán)限，替代 su 的使用。
3. 啟用 NoNewPrivileges：對于 systemd 服務(wù)，啟用 NoNewPrivileges 以限制特權(quán)提升。
4. 使用 MAC 機制：在高安全性環(huán)境中，結(jié)合 AppArmor 或 SELinux 進(jìn)一步增強限制。
5. 定期審計：使用工具如 Lynis 定期檢查系統(tǒng)配置，確保限制措施有效。

通過綜合運用這些手段，可以顯著提升 Linux 系統(tǒng)的安全性，降低未經(jīng)授權(quán)的權(quán)限提升風(fēng)險。

以上就是Linux限制su的幾種常用方法小結(jié)的詳細(xì)內(nèi)容，更多關(guān)于Linux限制su的方法的資料請關(guān)注腳本之家其它相關(guān)文章！

最新評論