Bloquear comando particular en Linux para usuarios específicos

¿Cómo bloquear el comando, digamos mkdirpara un usuario específico?

Lo que acabo de crear creó la función de solo lectura y la almacené en el perfil de los usuarios ~/.bashrc

/bin/mkdir() {
        echo "mkdir command not allow for you"

}

mkdir() {
        echo "mkdir command not allow for you"

}
./mkdir() {

        echo "mkdir command not allow for you"
}

readonly -f /bin/mkdir
readonly -f mkdir
readonly -f ./mkdir

Prueba:

rahul@ubuntu:~$ cd /bin/
rahul@ubuntu:/bin$ ./mkdir /home/rahul/ggg
mkdir command not allow for you
rahul@ubuntu:/bin$ cd
rahul@ubuntu:~$ mkdir testing
mkdir command not allow for you
rahul@ubuntu:~$ /bin/mkdir testing
mkdir command not allow for you

Entonces mi pregunta es ¿Cuál debería ser la forma de lograr esto? ¿Hay alguna herramienta para esto?

Actualización 1 # Pero si el usuario es inteligente, podría copiar el binario mkdir y cambiarle el nombre y usarlo. Entonces, ¿cómo lograr esto?

No sé cómo hacerlo con bash, pero sé de otro shell que restringe el entorno del usuario: lshell (shell limitado) .

Una descripción rápida de la configuración

Lshell se configura a través de un archivo INI. Por defecto, contiene una lista blanca de comandos permitidos, pero se puede configurar fácilmente para prohibir al usuario usar un comando específico.

Esta configuración (configuración predeterminada /etc/lshell.conf) prohíbe al usuario foousar mkdir:

[foo]
allowed = 'all' - ['mkdir', 'bash', 'sh', 'csh', 'dash', 'env']

Para configurar una cuenta de usuario para usar lshell de manera predeterminada, debe:

 chsh -s /usr/bin/lshell foo

Lshell puede hacer más, como:

• 3 niveles de granularidad: usuario, grupo, todo.
• Puede restringir el acceso a ciertas rutas en el sistema.
• Puede restringir el uso de ciertos caracteres (como |).
• Puede restringir el uso de ciertos comandos solo sobre SSH.

Y más.

Actualización 1 # Resultado de prueba agregado:

rahul:~$ which bash
/bin/bash
rahul:~$ dd if=$(which bash) of=my_bash
*** forbidden syntax: dd if=$(which bash) of=my_bash
rahul:~$ bash
*** forbidden command: bash
rahul:~$ cp /bin/bash my_bash
*** forbidden path: /bin/bash
rahul:~$ /bin/bash
*** forbidden command: /bin/bash
rahul:~$ sh
*** forbidden command: sh
rahul:~$ dash
*** forbidden command: dash
rahul:~$ env bash
*** forbidden command: env
rahul:~$ cp /bin/mkdir mycreatedir
*** forbidden path: /bin/mkdir

La forma en que suelo implementar este tipo de restricciones requiere que se cumplan varias condiciones; de lo contrario, la restricción se puede eludir fácilmente:

• El usuario no pertenece al wheelgrupo, el único autorizado para usar su(impuesto a través de PAM).

• Al usuario se le proporciona una seguridad adecuada rbashcon una RUTA de solo lectura que apunta a un privado ~/bin, este ~/bin/directorio contiene enlaces a utilidades simples:

  $ ll ~/bin
  total 0
  lrwxrwxrwx. 1 root dawud 14 Sep 17 08:58 clear -> /usr/bin/clear*
  lrwxrwxrwx. 1 root dawud  7 Sep 17 08:58 df -> /bin/df*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 egrep -> /bin/egrep*
  lrwxrwxrwx. 1 root dawud  8 Sep 17 08:58 env -> /bin/env*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 fgrep -> /bin/fgrep*
  lrwxrwxrwx. 1 root dawud  9 Sep 17 08:58 grep -> /bin/grep*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 rview -> /bin/rview*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 rvim -> /usr/bin/rvim*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 sudo -> /usr/bin/sudo*
  lrwxrwxrwx. 1 root dawud 17 Sep 17 08:58 sudoedit -> /usr/bin/sudoedit*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 tail -> /usr/bin/tail*
  lrwxrwxrwx. 1 root dawud 11 Sep 17 08:58 wc -> /usr/bin/wc*
  

• al usuario se le da una, de sólo lectura entorno restringido (pensar en cosas por el estilo LESSSECURE, TMOUT, HISTFILElas variables).

• el usuario se asigna al usuario de SELinux staff_uy se le otorgan derechos para ejecutar comandos como otro usuario según sea necesario a través de sudo.

• del usuario /home, /tmpy posiblemente /var/tmpestán poliinstantiados a través de /etc/security/namespace.conf:

  /tmp       /tmp/.inst/tmp.inst-$USER-     tmpdir:create   root
  /var/tmp   /tmp/.inst/var-tmp.inst-$USER- tmpdir:create   root
  $HOME      $HOME/$USER.inst/              tmpdir:create   root
  

  Además, /etc/security/namespace.inithace que todos los archivos esqueléticos sean de solo lectura para el usuario y de su propiedad root.

De esta forma, puede elegir si $USERpuede ejecutarlo mkdiren su propio nombre (a través de un enlace en el ~/bindirectorio privado , provisto a través de /etc/skel, como se explicó anteriormente), en nombre de otro usuario (a través de sudo) o ninguno.

Agregue un grupo ficticio, agregue el usuario a ese grupo chown root:somegroup /bin/mkdir,, chmod g-x /bin/mkdir. Tenga en cuenta que esto depende de que el usuario no pueda modificar sus grupos. IIRC esto es cierto en GNU / Linux pero no en algunos otros Unices.

Lo mejor que he probado es usar Profile.d de la manera mejor y más segura

Paso # 1 (Crear un archivo de alias)

[root@newrbe ~]# vim /etc/customalias.sh

Añadir líneas debajo:

alias rm="echo remove contenet is restricted"
alias poweroff="echo Poweroff is restricted"
alias chmod="echo Change Permission is restristed"

Guardar y salir

Paso # 2 (Crear cargador de perfil)

/etc/profile.d/ esta ubicación contiene archivos para completar bash

[root@newrbe ~]# vim /etc/profile.d/customsource.sh

Agregue las líneas debajo de los archivos, estas líneas bloquearán los comandos mencionados para los usuarios a continuación

if [ `whoami` == "user1" ] && [ `whoami` == "user2" ]; then
    source /etc/customalias.sh
fi

guardar y Salir

Ahora salga y vuelva a iniciar sesión

Saludos, -Mansur

instale sudoers e intente configurar allí qué usuarios y qué comando.