Linux SU命令安全的几点建议

首先我们看su在man帮助页中的解释su&nbsp;-&nbsp;run&nbsp;a&nbsp;shell&nbsp;with&nbsp;substitute&nbsp;user&nbsp;and&nbsp;group&nbsp;IDs，&nbsp;也就是说通过su我们不用提供用户和组名就可以启动一个shell程序。&nbsp;su是一个二进制的可执行文件，&nbsp;命令所在的文件路径是/bin/su，&nbsp;下面是通过命令行查询su文件的类型及所在路径:<br /><br />　　例一：<br /><br />　　islab$&nbsp;which&nbsp;su<br /><br />　　/bin/su<br /><br />　　例二：<br /><br />　　islab$&nbsp;file&nbsp;/bin/su<br /><br />　　/bin/su:&nbsp;setuid&nbsp;ELF&nbsp;32-bit&nbsp;LSB&nbsp;shared&nbsp;object,&nbsp;Intel&nbsp;80386,&nbsp;version&nbsp;1&nbsp;(SYSV),&nbsp;for&nbsp;GNU/Linux&nbsp;2.6.9,&nbsp;stripped<br /><br />　　例三：<br /><br />　　islab$ll&nbsp;/bin/su<br /><br />　　-rwsr-xr-x&nbsp;1&nbsp;root&nbsp;root&nbsp;24060&nbsp;Jan&nbsp;10&nbsp;2007&nbsp;/bin/su<br /><br />　　例三和例二中我们可以看到su是一个setuid程序（setuid位可以使用chmod&nbsp;u+s进行设置，&nbsp;如ls显示su文件所有者属性起用了setuid位），&nbsp;在这种情况下，&nbsp;su可以获得比其所有者更高的权限，&nbsp;也就是说su运行的时候，&nbsp;您的权限会被提升，&nbsp;将与root的权限等同。<br /><br />　　例三中我们可以看到文件的类型是ELF&nbsp;32-bit&nbsp;LSB&nbsp;shared&nbsp;object（设置了setuid位），&nbsp;也就是说程序需要libc这样的函数库，&nbsp;也需要使用了ELF解释器，&nbsp;并遵守LSB&nbsp;规范。<br /><br />　　问一：&nbsp;普通用户可以从其它机器拷贝su命令<br /><br />　　答：&nbsp;他们可以从其它机器拷贝su命令，&nbsp;但是他们将不能对su进行正确的权限设置比如chown&nbsp;root和chmod&nbsp;u+s等等。所以拷贝过来su不能够正常工作。<br /><br />　　问二：&nbsp;如何防止普通用户执行su命令。<br /><br />　　答：<br /><br />　　1）.&nbsp;你可以建立一个专门的组，&nbsp;只有组成员才能执行su命令<br /><br />　　islab#&nbsp;groupadd&nbsp;wheel<br /><br />　　islab#&nbsp;useradd&nbsp;wheel<br /><br />　　islab#&nbsp;chown&nbsp;root:mysql&nbsp;/bin/bash<br /><br />　　islab#&nbsp;chmod&nbsp;4750&nbsp;/bin/su<br /><br />　　2）.&nbsp;只有root用户才能执行su命令.<br /><br />　　islab#&nbsp;chmod&nbsp;4700&nbsp;/bin/su<br /><br />　　3）.&nbsp;通过pam库实现只有wheel组成员才能执行su命令，下面例子中增加了zhaoke帐号到wheel组中。<br /><br />　　islab#&nbsp;groupadd&nbsp;wheel<br /><br />　　islab#&nbsp;useradd&nbsp;wheel<br /><br />　　islab#&nbsp;usermod&nbsp;-G&nbsp;wheel&nbsp;zhaoke<br /><br />　　islab#&nbsp;ll&nbsp;/lib/security/pam_wheel.so<br /><br />　　-rwxr-xr-x&nbsp;1&nbsp;root&nbsp;root&nbsp;5692&nbsp;Feb&nbsp;22&nbsp;2007&nbsp;/lib/security/pam_wheel.so<br /><br />　　islab#&nbsp;vi&nbsp;/etc/pam.d/su<br /><br />　　增加下面一行<br /><br />　　auth&nbsp;required&nbsp;/lib/security/pam_wheel.so&nbsp;use_uid<br /><br />　　然后保存退出su配置文件。<br /><br />　　问三：&nbsp;普通用户虽然不能执行su命令，&nbsp;但是还有可能通过蛮力攻击获得root的密码<br /><br />　　答：&nbsp;普通用户可以在shell或者ssh方式对root帐户进行蛮力攻击。我们可以考虑使用一些安全工具如pam_abl来对ssh进行保护。pam_abl将能在设定的时间内对错误登陆的帐户进行进行临时封禁。&nbsp;当然普通用户也可以通过程序漏洞提升权限，&nbsp;比如缓冲区溢出。<br /><br />