Linux普通用户可以重新启动系统,这么做是不是有安全问题?

qingb

root用户的密码可以通过grub菜单重新设置.以前我一直以为普通用户没有rebboot权限，可结果出乎意料。既然普通用户可以reboot系统，那么他可不可以操纵grub菜单，重新设置root密码？不应该出现这种情况吧？还是在真正多终端多用户环境下有什么特殊手段保护root密码？

kenduest

原帖由 qingb 于 2008-5-18 19:41 发表
oot用戶的密碼可以通過grub菜單重新設置.以前我一直以為普通用戶沒有rebboot權限，可結果出乎意料。

rh-based 系統預設安裝 usermode-console 工具，該 package 於 /usr/bin 內提供 reboot,halt 等工具，一般使用者執行到是 /usr/bin 內的 reboot 與 halt 等程式，非預設 /sbin 內的程式版本。/usr/bin 內的 halt 與 reboot 等這些工具都支援 pam 驗證，而依據 /etc/pam.d/{reboot,pam} 驗證配置檔案設定來看:

1. 
   
2. #%PAM-1.0
   
3. auth       sufficient   pam_rootok.so
   
4. auth       required     pam_console.so
   
5. #auth       include     system-auth
   
6. account    required     pam_permit.so
   

复制代码

只要是該主機 console 登入，就直接允許可 reboot 與 halt 不需要有 root 身份特權。遠端登入的話沒該權限。

既然普通用戶可以reboot系統，那麼他可不可以操縱grub菜單，重新設置root密碼？不應該出現這種情況吧？還是在真正多終端多用戶環境下有什麼特殊手段保護root密碼？

這都是老生常談的大 FAQ 了。

你怕有人改 grub 參數傳入 single，那您可以參考 grub manual 加上密碼保護不是嗎 ?

1. 
   
2. timeout 10
   
3. color black/cyan yellow/cyan
   
4. default 0
   
5. 
   
6. password --md5 $1$zs8qV$eoT9TW5DJKF6KEgyMOKlF1
   
7. 
   
8. title linux
   
9. kernel (hd0,0)/vmlinuz BOOT_IMAGE=linux root=/dev/sda8 resume=/dev/sda5
   
10. initrd (hd0,0)/initrd.img
    

复制代码

這樣是不是可以禁止傳入參數 ?

再者基本上人在主機前面了有啥安全性可言呢，實在令人費解呢。OS 的防護當然是指 OS 開機運作中義，要不然實際上準備一個 bootable cd disc 開機進入系統還不是可以存取修改相關檔案？ Windows 與其他 OS 是不是也這般脆弱呢 ?

--

qingbt

大致明白了,您的意思是reboot可以限制，grub中也可以加入密码保护，是吧。我觉得这些应该是linux的补救措施吧，在默认安装下还是没有这些功能，也就是为普通用户留了后门

kenduest

原帖由 qingbt 于 2008-5-19 07:37 发表
大致明白了,您的意思是reboot可以限制，grub中也可以加入密码保护，是吧。我觉得这些应该是linux的补救措施吧，在默认安装下还是没有这些功能，也就是为普通用户留了后门

有啊，redhat 與 fedora 安裝過程就可以讓你決定是否要使用了，不是嗎 ?

只是一般非企業商用的 server，我想 "MAYBE" 通常應該不會有太多關係吧。

--

xwmhmily

你可以在安装Linux时,在配置GRUB的时候设定进入GRUB菜单的密码,它会进行MD5加密

achlice

路过，  学习～～～～

系統預設安裝 usermode-console 工具，該 package 於 /usr/bin 內提供 reboot,halt 等工具，一般使用者執行到是 /usr/bin 內的 reboot 與 halt 等程式，非預設 /sbin 內的程式版本。/usr/bin 內的 halt 與 reboot 等這些工具都支援 pam 驗證，而依據 /etc/pam.d/{reboot,pam} 驗證配置檔案設定來看:

志国

不是问题的问题，发行商提供了灵活的配置方式，关键在于个人对系统的了解！

fjuser

学习了

wxfjx

原帖由 志国 于 2008-7-17 08:45 发表
不是问题的问题，发行商提供了灵活的配置方式，关键在于个人对系统的了解！

有道理，学习了

stone2008

他即使不具有重启权限
也可以直接通过电源来
这样这问题是不是有问题了