我经常发现自己需要编写脚本,这些脚本必须以普通用户的身份执行某些部分,而以 super 用户的身份执行其他部分。我知道关于 SO 的一个类似问题,答案是两次运行相同的脚本并将其作为 sudo 执行,但这对我来说还不够。有时我需要在 sudo 操作后恢复为普通用户。
我已经用 Ruby 编写了以下内容来执行此操作
#!/usr/bin/ruby
require 'rubygems'
require 'highline/import'
require 'pty'
require 'expect'
def sudorun(command, password)
`sudo -k`
PTY.spawn("sleep 1; sudo -u root #{command} 2>&1") { | stdin, stdout, pid |
begin
stdin.expect(/password/) {
stdout.write("#{password}\n")
puts stdin.read.lstrip
}
rescue Errno::EIO
end
}
end
不幸的是,如果用户输入错误的密码,使用该代码脚本就会崩溃。理想情况下,它应该给用户 3 次尝试来获得正确的 sudo 密码。我该如何解决这个问题?
顺便说一句,我在 Linux Ubuntu 上运行它。
最佳答案
在我看来,运行一个在内部使用 sudo 执行操作的脚本是错误的。更好的方法是让用户使用 sudo 运行整个脚本,并让脚本派生较低特权的 child 来做一些事情:
# Drops privileges to that of the specified user
def drop_priv user
Process.initgroups(user.username, user.gid)
Process::Sys.setegid(user.gid)
Process::Sys.setgid(user.gid)
Process::Sys.setuid(user.uid)
end
# Execute the provided block in a child process as the specified user
# The parent blocks until the child finishes.
def do_as_user user
unless pid = fork
drop_priv(user)
yield if block_given?
exit! 0 # prevent remainder of script from running in the child process
end
puts "Child running as PID #{pid} with reduced privs"
Process.wait(pid)
end
at_exit { puts 'Script finished.' }
User = Struct.new(:username, :uid, :gid)
user = User.new('nobody', 65534, 65534)
do_as_user(user) do
sleep 1 # do something more useful here
exit! 2 # optionally provide an exit code
end
puts "Child exited with status #{$?.exitstatus}"
puts 'Running stuff as root'
sleep 1
do_as_user(user) do
puts 'Doing stuff as a user'
sleep 1
end
这个示例脚本有两个辅助方法。 #drop_priv 采用定义了用户名、uid 和 gid 的对象,适本地减少执行进程的权限。 #do_as_user 方法在屈服于提供的 block 之前在子进程中调用#drop_priv。注意#exit 的使用!防止 child 在 block 外运行脚本的任何部分,同时避免 at_exit Hook 。
经常被忽视的安全问题需要考虑:
- 打开文件描述符的继承
- 环境变量过滤
- 在 chroot 中运行子进程?
根据脚本的作用,可能需要解决其中的任何问题。 #drop_priv 是处理所有这些问题的理想场所。
关于ruby - 如何使用 Ruby 提示输入 sudo 密码?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/12498536/