T800
Не, ну я не из леса вышел :) Что такое sudo - в курсе.
Насчет той же Sudo - логика данной вещи мне непонятена совсем. Если пользователю делигируются права суперпользователя, причем, верификация идет по паролю самого пользователя - какой смысл? Переспросить у пользователя пароль? Т.е. по мне логичнее было бы просто разрешить пользователю выполнять те же операции, не мучая его sudo - все равно он их сделает. Или задача sudo заставить подумать перед тем как что-то выполнить?Просто быть в курсе недостаточно. Нужно немного разобраться.
/etc/sudoers Примерно также и по остальным вопросам.

Андрей Панфиловavb1003/etc/sudoers

сразу бы написали

через apachectl шел рута получить как два пальцаЯ написал это но не в качестве рецепта администрирования apache, а в качестве примера, как
можно избежать ввода пароля в команде sudo.
Никогда не администрировал apache кроме как для себя на своем компьютере и
эту строчку написал прямо сейчас только для того, чтобы проверить, что она работает.
А как написали бы Вы?

Андрей Панфиловavb1003Я написал это но не в качестве рецепта администрирования apache, а в качестве примера, как
можно избежать ввода пароля в команде sudo.
советы нужно давать правильные, а не вводить людей в заблуждениеЭто неправда! Я не вводил, а напротив выводил. А именно из заблуждения о возможностях
команды sudo.
Андрей Панфилов
avb1003А как написали бы Вы?
в sudoers нужно обязательно прописывать команды с полным путем до исполняемого файла и никогда не давать права на запуск тех программ, которые могут вызывать другое приложения (vim /etc/httpd/conf/httpd.conf - это тоже дыра, поскольку по ! можно вызывать что угодно). конкретно в вашем примере нужно так:
в противном случае пользователь Вася может запустить хттпд из-под рут с нужным ему конфигом со всеми вытекающими.Да, я уже успел полистать книгу про страшных Linux-хакеров. Там пугали возможностью
apachectl configtest. Как-то не испугало:
Ну и что? Причем тут vim?
Нельзя ли конкретный промер про "два пальца" или ссылку на него?
Потом, apachectl - это простой bash script. Тот, который у меня сейчас, всего 220 строк.
Его несложно изучить и при необходимости "заточить" под конкретную ситуацию.
А потом с чего Вы взяли, что root не доверяет "Васе"? Он, может быть, просто
боится непреднамеренных повреждений, которые можно сделать работая под root-ом.
Или же он не доверяет совсем другим людям, в присутствии которых "Вася" должен
будет остановить/запустить apache. Может быть root и "Вася" - это вообще один и тот же
человек, который уже успел удивиться, почему некоторые просители "чего-нибудь сделать
срочно, прямо сейчас" смотрят не на экран, а пытаются "фотографировать" его пальцы.

Андрей Панфилов,
Да, действительно, детский сад!
Или Вы списали пример с книги или у Вас дырявый apachectl.
Андрей Панфилов...
vim тут при том, что из него можно запустить шел, и поэтом выдавать права на запуск vim через sudo давать нельзя - а вы по наивности если пользователю понадобится редактировать какой-нибудь конфиг дадите ему права через sudo:Это не правда. Я не давал пользователю права на vim через sudo и не предлагал этого делать.
Это, наверное, в той книге, где Вы прочитали про apachectl, где-то рядом написано про sudo vim.
В моей книге сразу же приведено "противоядие" против этой уязвимости. Но я не ставил своей задачей написать здесь о всем,
что знаю; тем более,о том, что написано в книгах, которые я прочитал или просмотрел.