su 에 대해 알아보자!!🧑🏻‍💻

💡 su란 ?

➡️ su(substitute user의 줄임말)는 유닉스 명령을 로그아웃하지 않고 다른 사용자의 권한으로 셸을 실행하는데 사용된다. 일반적으로 관리 작업을 위해 다시 로그오프하지 않고 사용자의 권한을 루트로 변경하는데 사용된다. 같은 방법으로 다른 사용자로 전환하는 데 사용된다.

https://ko.wikipedia.org/wiki/Su_(%EC%9C%A0%EB%8B%89%EC%8A%A4)

su (유닉스) - 위키백과, 우리 모두의 백과사전

 

💡 /su 명령 사용방법!!

1. 계정을 전환하기 위해서 su를 실행한다.
2. su 명령의 대상 계정을 확인하고 패스워드를 입력받는다.
3. 사용자가 입력한 패스워드를 /etc/shadow 와 비교해야 한다.
4. /etc/shadow는 000 퍼미션이므로, root가 아니면 열람이 불가하다.
5. 따라서, su를 실행하는데에는 문제가 없어도 비밀번호 일치를 확인할 수 없다.

📍 su 보안 설정 및 root 원격 접속 차단!!

[root@localhost ~]# useradd admin
[root@localhost ~]# usermod admin -G wheel
[root@localhost ~]# echo 1 | passwd --stdin admin
admin 사용자의 비밀 번호 변경 중
passwd: 모든 인증 토큰이 성공적으로 업데이트 되었습니다.
[root@localhost ~]# ls -l /bin/su
-rwsr-xr-x. 1 root root 34904 2016-05-11 17:59 /bin/su
[root@localhost ~]# chown .wheel /bin/su
[root@localhost ~]# chmod 4750 /bin/su
[root@localhost ~]# ls -l /bin/su
-rwsr-x---. 1 root wheel 34904 2016-05-11 17:59 /bin/su
[root@localhost ~]# vi /etc/ssh/sshd_config
[root@localhost ~]# cat -n /etc/ssh/sshd_config | grep 42
42 PermitRootLogin no
[root@localhost ~]# service sshd restart
sshd 를 정지 중: [ OK ]
sshd (을)를 시작 중: [ OK ]

 

1. su 명령어는 대상을 지정하지 않으면 root 계정으로 전환을 시도한다.
2. su 명령어는 계정만 전환하고, 환경요소를 불러오지 않는다.
3. su - 로 실행하면 계정을 전환하면서, 대상 꼐정의 환경요소까지 모두 불러온다.

 

📍 wheel 그룹 사용자에게 sudo 명령어 허용하기!!
➡️ sudo 는 계정을 전환하지 않고서도, 관리자 명령을 실행할 수 있도록 한다.

root@localhost ~]# visudo
[root@localhost ~]# cat -n /etc/sudoers | head -101 | tail -5
97 ## Allows people in group wheel to run all commands
98 %wheel ALL=(ALL) ALL
99
100 ## Same thing without a password
101 %wheel ALL=(ALL) NOPASSWD: ALL
[root@localhost ~]#
[admin@localhost ~]$ sudo service network restart
인터페이스 eth0 (을)를 종료 중: 장치 상태: 3 (연결 끊겼음)
[ OK ]
loopback 인터페이스 종료 중: [ OK ]
loopback 인터페이스 활성화중 입니다: [ OK ]
eth0 인터페이스 활성화중 입니다: 활성화된 연결 상태: 활성화됨
활성화된 연결 경로: /org/freedesktop/NetworkManager/ActiveConnection/1
[ OK ]

 

📍sudo 작업 이후, 모든 root 계정의 접근을 차단 (기본쉘을 nologin으로 변경)

[admin@localhost ~]$ usermod root -s /sbin/nologin
-bash: /usr/sbin/usermod: 허가 거부
[admin@localhost ~]$ sudo usermod root -s /sbin/nologin
[admin@localhost ~]$ cat /etc/passwd | head -1
root:x:0:0:root:/root:/sbin/nologin
[admin@localhost ~]$ su -
암호:
This account is currently not available.