在Linux中阻止特定用户的特定命令

如何阻止命令，让mkdir特定用户说呢？

我刚刚创建的只读功能并将其存储在用户个人资料中 ~/.bashrc

/bin/mkdir() {
        echo "mkdir command not allow for you"

}

mkdir() {
        echo "mkdir command not allow for you"

}
./mkdir() {

        echo "mkdir command not allow for you"
}

readonly -f /bin/mkdir
readonly -f mkdir
readonly -f ./mkdir

测试：

rahul@ubuntu:~$ cd /bin/
rahul@ubuntu:/bin$ ./mkdir /home/rahul/ggg
mkdir command not allow for you
rahul@ubuntu:/bin$ cd
rahul@ubuntu:~$ mkdir testing
mkdir command not allow for you
rahul@ubuntu:~$ /bin/mkdir testing
mkdir command not allow for you

所以我的问题是，实现这一目标的方式应该是什么？有什么工具吗？

更新1＃但是，如果用户很聪明，他可以复制mkdir二进制文件并将其重命名并使用它。那么如何实现呢？

我不知道如何使用bash进行操作，但是我知道另一个限制用户环境的shell：lshell（受限的shell）。

配置概述

Lshell是通过INI文件配置的。默认情况下，它保留允许命令的白名单，但可以轻松配置为禁止用户使用特定命令。

此配置（默认为conf /etc/lshell.conf）禁止用户foo使用mkdir：

[foo]
allowed = 'all' - ['mkdir', 'bash', 'sh', 'csh', 'dash', 'env']

为了将用户帐户配置为默认使用lshell，您必须：

 chsh -s /usr/bin/lshell foo

Lshell可以做更多的事情，例如：

• 3个粒度级别：用户，组，全部。
• 可以限制对系统中某些路径的访问。
• 可以限制某些字符的使用（例如|）。
• 只能通过SSH限制某些命令的使用。

和更多。

更新1＃添加的测试结果：

rahul:~$ which bash
/bin/bash
rahul:~$ dd if=$(which bash) of=my_bash
*** forbidden syntax: dd if=$(which bash) of=my_bash
rahul:~$ bash
*** forbidden command: bash
rahul:~$ cp /bin/bash my_bash
*** forbidden path: /bin/bash
rahul:~$ /bin/bash
*** forbidden command: /bin/bash
rahul:~$ sh
*** forbidden command: sh
rahul:~$ dash
*** forbidden command: dash
rahul:~$ env bash
*** forbidden command: env
rahul:~$ cp /bin/mkdir mycreatedir
*** forbidden path: /bin/mkdir

我通常实施这种限制的方式需要满足多个条件，否则可以轻松地规避该限制：

• 该用户不属于该wheel组，而是唯一一个有权使用的组su（通过PAM强制执行）。

• 用户被给予适当的保护rbash具有只读路径指向一个私人~/bin，这个~/bin/目录包含链接到简单实用程序：

  $ ll ~/bin
  total 0
  lrwxrwxrwx. 1 root dawud 14 Sep 17 08:58 clear -> /usr/bin/clear*
  lrwxrwxrwx. 1 root dawud  7 Sep 17 08:58 df -> /bin/df*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 egrep -> /bin/egrep*
  lrwxrwxrwx. 1 root dawud  8 Sep 17 08:58 env -> /bin/env*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 fgrep -> /bin/fgrep*
  lrwxrwxrwx. 1 root dawud  9 Sep 17 08:58 grep -> /bin/grep*
  lrwxrwxrwx. 1 root dawud 10 Sep 17 08:58 rview -> /bin/rview*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 rvim -> /usr/bin/rvim*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 sudo -> /usr/bin/sudo*
  lrwxrwxrwx. 1 root dawud 17 Sep 17 08:58 sudoedit -> /usr/bin/sudoedit*
  lrwxrwxrwx. 1 root dawud 13 Sep 17 08:58 tail -> /usr/bin/tail*
  lrwxrwxrwx. 1 root dawud 11 Sep 17 08:58 wc -> /usr/bin/wc*
  

• 为用户提供了一个受限制的，只读环境（想一样的东西LESSSECURE，TMOUT，HISTFILE变量）。

• 用户映射到SELinux用户staff_u并有权通过权限与其他用户一起执行命令sudo。

• 用户的/home，/tmp并且可能/var/tmp通过/etc/security/namespace.conf以下方式进行了实例化：

  /tmp       /tmp/.inst/tmp.inst-$USER-     tmpdir:create   root
  /var/tmp   /tmp/.inst/var-tmp.inst-$USER- tmpdir:create   root
  $HOME      $HOME/$USER.inst/              tmpdir:create   root
  

  同样，/etc/security/namespace.init使所有骨骼文件对用户只读，并由拥有root。

这样，您可以选择是否$USER可以代表其他用户（通过）mkdir通过自己的身份（通过私有~/bin目录中的链接，通过/etc/skel，通过设置sudo）执行，或者完全不执行。

添加一个虚拟组，将用户添加到该组，chown root:somegroup /bin/mkdir，chmod g-x /bin/mkdir。请注意，这取决于用户无法修改其组。IIRC在GNU / Linux中是正确的，但在某些其他Unices中则不是。

我测试过的最好的方法是使用Profile.d的最佳和最安全的方法

步骤＃1（创建别名文件）

[root@newrbe ~]# vim /etc/customalias.sh

在下面添加行：

alias rm="echo remove contenet is restricted"
alias poweroff="echo Poweroff is restricted"
alias chmod="echo Change Permission is restristed"

保存并退出

步骤2（创建配置文件加载器）

/etc/profile.d/此位置包含用于bash完成的文件

[root@newrbe ~]# vim /etc/profile.d/customsource.sh

在文件下方添加以下行，这些行将阻止以下用户使用上述命令

if [ `whoami` == "user1" ] && [ `whoami` == "user2" ]; then
    source /etc/customalias.sh
fi

保存并退出

现在退出并重新登录

问候，-曼苏尔

安装sudoers并尝试在那里配置其用户和命令。