主页 / computer / 问题 / 1424578
Accepted
Tom Lous
Asked: 2019-04-12 23:13:47 +0800 CST

从 sudo su 运行命令

  • 772

在一台机器上，我 ( tlous) 被授予以另一个用户 ( serviceAccount)身份打开 shell 的权限

执行：sudo su - serviceAccount具有以该serviceAccount用户身份打开 shell 的预期效果。到目前为止，一切都很好。

这很好，但我想在不打开 shell 的情况下以该用户身份运行命令。

假设命令是whoami

我试过了：

sudo -u serviceAccount whoami

抱歉，不允许用户 tlous 以 serviceAccount 身份执行 '/usr/bin/whoami' ...

sudo su - serviceAccount -c whoami

抱歉，不允许用户 tlous 执行 '/bin/su - serviceAccount -c whoami' ...

和其他变化。我错过了什么？这可以在 oneliner 中完成吗？原因是我实际上想将其作为 ssh 命令运行： ssh -t [email protected] sudo su - serviceAccount -c whoami

bash shell sudo

1 个回答

  1. Best Answer

    可能sudoers远程端的文件指定了您可以运行的确切命令，它是su - serviceAccount. 一个或多个附加选项（如-c）将使命令不合格。任何解决方案都应使用确切的su - serviceAccount命令。

    有一种方法可以解决这个问题，但它并不完美。首先在服务器上运行它：

    echo whoami | sudo su - serviceAccount

    （尽管有重定向，但如果sudo没有，-S将使用终端询问您的密码（如果需要））。

    为了使方法更通用，在服务器上创建一个脚本：

    #!/bin/sh
printf '%s ' "$@" | sudo su - serviceAccount

    另存为su-ser，并使其可执行。现在你可以测试这些：

    ./su-ser whoami
./su-ser 'whoami; whoami'
./su-ser ls -l
./su-ser 'ls -l'

    请注意，这些引号不会传播到su. 每次printf从脚本获取的参数构建命令时，它作为字符串传递，然后由最终 shell解析，包括单词拆分、通配符等。这意味着所有这些

    ./su-ser echo 1 2 3
./su-ser echo "1 2             3"
./su-ser "echo 1 2             3"

    将打印1 2 3。要传递带引号的字符串，您需要引用引号，例如：

    ./su-ser 'echo "1 2             3"'

    下一步是从本地计算机触发此远程脚本：

    ssh -t [email protected] '"/path/to/su-ser" whoami'

    您需要-t以防万一sudo要求输入密码。从ssh你的问题正文中的命令我可以告诉你可能理解这一点。

    注意ssh还构建了一个命令字符串。即使/path/to/su-ser包含空格，上面的引用也会起作用。另一方面，如果路径没有空格（也没有 , 之类的字符;）*，则完全不加引号ssh … /path/to/su-ser whoami也可以。

    在这一点上，正确引用并不是一件容易的事。让我们分析一下命令发生了什么。

    1. 首先，您的本地 shell 会解析该字符串。它使用最外面的引号（如果有的话）来正确解析它。
    2. ssh将其参数作为数组获取。shell 用完的引号还没有走到这一步。
    3. ssh决定应该将哪些参数传递给远程端并构建一个字符串（以类似于printf我们的远程脚本的方式）。
    4. 然后，该字符串由远程 shell（sshd在服务器上生成的 shell）解析。远程 shell 使用（现在）最外层的引号（如果有的话）来正确解析它。
    5. su-ser将其参数作为数组获取。远程 shell 用完的引号还没有走到这一步。
    6. su-ser建立一个字符串。
    7. 然后这个字符串被另一个 shell 解析（su在服务器上生成）。shell 使用（现在）最外层的引号（如果有的话）来正确解析它。
    8. 您传递的命令将其参数作为数组获取。最后一个 shell 用完的引号还没有走到这一步。

    这意味着有时您需要三个级别的报价才能获得正确的结果。一个简单的本地命令，例如

    echo "1 2             3"

    成为

    ssh -t [email protected] "'/path/to/su-ser' 'echo \"1 2             3\"'"

    在未转义的双引号被本地 shell 剥离的地方，单引号被远程 shell 剥离；最后，转义的双引号（实际上一旦本地 shell 剥离未转义的双引号就变成未转义的）告诉生成的 shell su，具有多个空格的字符串是echo. 这样输出是

    1 2             3

    另一个问题是远程脚本将命令传递给最终 shell 的标准输入，因此您不能轻易将其标准输入用于其他目的。例如cat; whoami（尝试一下）应该打印回您键入的任何行（以Ctrl+终止D），然后是whoami. 但是，如果您在服务器上运行它：

    ./su-ser 'cat; whoami'

    cat将立即终止。这应该有效：

    ./su-ser 'cat /dev/tty; whoami'

    （同样，使用Ctrl+D终止cat）。现在比较一下这个行为：

    ./su-ser '
whoami
whoami
whoami
'

    对此：

    ./su-ser '
whoami
cat
whoami
'

    相同的流提供cat给 shell；这不是一件好事。为实际命令和真正的标准输入建立单独的通道可能并不容易，因为sudo默认情况下会关闭额外的文件描述符并设置一个新的、最小的环境。我想使用临时文件/fifos 的装置会起作用，但这太毛茸茸了，我什至不会尝试。

    所以脚本对你来说可能不够，也可能不够；这取决于您需要运行的命令。现在您知道了它的一些局限性。祝你好运。

    • 1

相关问题