我经常发现自己需要编写一些脚本,这些脚本必须以普通用户身份执行某些部分,而以超级用户身份执行其他部分。我知道在SO上有一个类似的问题,答案是两次运行相同的脚本并以sudo的身份执行,但这对我来说还不够。有时,在执行sudo操作后,我需要恢复为普通用户身份。
我已经在Ruby中编写了以下代码来做到这一点
#!/usr/bin/ruby require 'rubygems' require 'highline/import' require 'pty' require 'expect' def sudorun(command, password) `sudo -k` PTY.spawn("sleep 1; sudo -u root #{command} 2>&1") { | stdin, stdout, pid | begin stdin.expect(/password/) { stdout.write("#{password}\n") puts stdin.read.lstrip } rescue Errno::EIO end } end
不幸的是,如果用户输入了错误的密码,则使用该代码会使脚本崩溃。理想情况下,它应该使用户3尝试正确获取sudo密码。我该如何解决?
我在Linux Ubuntu BTW上运行它。
我认为,运行在内部使用sudo进行填充的脚本是错误的。更好的方法是让用户使用sudo运行整个脚本,并让脚本分叉较弱特权的子级来执行操作:
# Drops privileges to that of the specified user def drop_priv user Process.initgroups(user.username, user.gid) Process::Sys.setegid(user.gid) Process::Sys.setgid(user.gid) Process::Sys.setuid(user.uid) end # Execute the provided block in a child process as the specified user # The parent blocks until the child finishes. def do_as_user user unless pid = fork drop_priv(user) yield if block_given? exit! 0 # prevent remainder of script from running in the child process end puts "Child running as PID #{pid} with reduced privs" Process.wait(pid) end at_exit { puts 'Script finished.' } User = Struct.new(:username, :uid, :gid) user = User.new('nobody', 65534, 65534) do_as_user(user) do sleep 1 # do something more useful here exit! 2 # optionally provide an exit code end puts "Child exited with status #{$?.exitstatus}" puts 'Running stuff as root' sleep 1 do_as_user(user) do puts 'Doing stuff as a user' sleep 1 end
此示例脚本具有两个帮助程序方法。#drop_priv接受一个定义了用户名,uid和gid的对象,并 适当 减少执行进程的权限。#do_as_user方法在屈服提供的块之前,在子进程中调用#drop_priv。注意使用#exit!以防止子代在块外运行脚本的任何部分,同时避免使用at_exit挂钩。
通常会忽略以下安全问题:
根据脚本的功能,可能需要解决所有这些问题。#drop_priv是处理所有这些问题的理想场所。