利用sudo加固Linux系统安全

来源：51CTO.com 作者：宇文出处：巧巧读书 2008-04-25 进入讨论组

二、Sudo 命令参数详解

利用Sudo，我们既可以让某个用户作为超级用户来执行某些命令，还可以让他作为其他用户来执行某些命令——这一点对于系统管理格外有用。sudo命令的具体配置都可以在/etc/sudoers文件中找到，该文件规定了某个命令是否可以被某特定的用户执行。

使用sudo的前提条件是，用户必须已经具有了自己的用户名和口令。如果一个用户企图通过sudo 来运行命令，但该用户却没有位于sudoers文件中的话，系统将自动向管理员发送一封电子邮件，指出非授权用户正在访问系统。

如前所述，因为sudo具有检票功能，所以用户登录sudo 时，会发给他一张票据，默认情况下其有效时间为五分钟。不过，用户也可以通过带–v标志的sudo命令来更新票据，这会为票据申请另外五分钟。命令如下所示：

sudo –v

如果有非授权用户运行上面的命令的话，管理员将收到一封反映该事件的电子邮件。

同时，标志-v也会通知非授权用户，他是非法用户。如果该用户很顽固，又一次次输入该sudo 命令，那么系统会再发一封电子邮件通知管理员。

无论登录的企图是否成功，Sudo 都会如实记录到默认的syslog(3)文件中。但是，我们也可以在Sudo 的配置文件改变这一行为。下表给出了sudo命令的一些选项。

选项	选项名	描述
-V	Version	打印版本号，然后退出。
-h	Help	打印帮助信息，然后退出。
-l	List	列出所有当前用户允许和禁止的命令。
-v	Validate	将用户的票据更新为一个预配置的时间，默认时五分钟。如果需要的话，该用户必须再次输入用户口令。
-k	Kill	作废该用户的票据。执行该选项将命令用户重新输入用户口令以更新票据。
-K	Sure kill	彻底删除该用户的票据。之后再运行该选项时，用户必须用其用户名和口令进行登录。
-u	User	作为用户名规定的用户来运行特定的命令。这个由用户名规定的用户可以是root之外的任何用户。如果您想入口一个uid，入口#uid代替该用户名。如果您想使用uid，可以用#uid代替该用户名。