Comment retrouver l'utilisateur d'origine à travers plusieurs commandes sudo et su ?

Question

Lorsque vous exécutez un script via sudo ou su, je veux récupérer l'utilisateur d'origine. Cela devrait se produire indépendamment des multiples sudo ou su s'entrecroisent et spécifiquement sudo su - .

Answer 1

Résultats :

Utilice who am i | awk '{print $1}' OU logname car aucune autre méthode n'est garantie.

Connecté en tant que self :

evan> echo $USER
evan
evan> echo $SUDO_USER

evan> echo $LOGNAME
evan
evan> whoami
evan
evan> who am i | awk '{print $1}'
evan
evan> logname
evan
evan>

Normal sudo :

evan> sudo -s
root> echo $USER
root
root> echo $SUDO_USER
evan
root> echo $LOGNAME
root
root> whoami
root
root> who am i | awk '{print $1}'
evan
root> logname
evan
root>

sudo su - :

evan> sudo su -
[root ]# echo $USER
root
[root ]# echo $SUDO_USER

[root ]# echo $LOGNAME
root
[root ]# whoami
root
[root ]# who am i | awk '{print $1}'
evan
[root ]# logname
evan
[root ]#

sudo su - ; su tom :

evan> sudo su -
[root ]# su tom
tom$ echo $USER
tom
tom$ echo $SUDO_USER

tom$ echo $LOGNAME
tom
tom$ whoami
tom
tom$ who am i | awk '{print $1}'
evan
tom$ logname
evan
tom$

Answer 2

Il n'y a pas parfait réponse. Lorsque vous changez d'identifiant, l'identifiant d'origine n'est généralement pas conservé, et l'information est donc perdue. Certains programmes, tels que logname y who -m mettre en place un hack où ils vérifient quel terminal est connecté à stdin et vérifiez ensuite quel utilisateur est connecté sur ce terminal.

Cette solution souvent fonctionne, mais n'est pas infaillible, et ne doit certainement pas être considéré comme sûr. Par exemple, imaginez que who produit les résultats suivants :

tom     pts/0        2011-07-03 19:18 (1.2.3.4)
joe     pts/1        2011-07-03 19:10 (5.6.7.8)

tom utilisé su pour arriver à Root, et exécute votre programme. Si STDIN n'est pas redirigé, alors un programme comme logname produira tom . S'il EST redirigé (par exemple à partir d'un fichier) comme tel :

logname < /some/file

Alors le résultat est " no login name "puisque l'entrée n'est pas le terminal. Mais ce qui est encore plus intéressant, c'est que l'utilisateur peut se faire passer pour un autre utilisateur connecté. Puisque Joe est connecté sur pts/1, Tom pourrait se faire passer pour lui en exécutant

logname < /dev/pts1

Maintenant, il est dit joe même si Tom est celui qui a lancé la commande. En d'autres termes, si vous utilisez ce mécanisme dans un quelconque rôle de sécurité, vous êtes fou.

Answer 3

Il s'agit d'un ksh que j'ai écrite sur HP-UX. Je ne sais pas comment elle fonctionnera avec Bash dans Linux. L'idée est que le sudo s'exécute en tant qu'utilisateur d'origine et les processus enfants sont l'utilisateur cible. En remontant dans les processus parents, nous pouvons trouver l'utilisateur du processus d'origine.

#
# The options of ps require UNIX_STD=2003.  I am setting it
# in a subshell to avoid having it pollute the parent's namespace.
#
function findUser
{
    thisPID=$$
    origUser=$(whoami)
    thisUser=$origUser
    while [ "$thisUser" = "$origUser" ]
    do
        ( export UNIX_STD=2003; ps -p$thisPID -ouser,ppid,pid,comm ) | grep $thisPID | read thisUser myPPid myPid myComm
        thisPID=$myPPid
    done
    if [ "$thisUser" = "root" ]
    then
        thisUser=$origUser
    fi
    if [ "$#" -gt "0" ]
    then
        echo $origUser--$thisUser--$myComm
    else
        echo $thisUser
    fi
    return 0
}

Je sais que la question originale date d'il y a longtemps, mais les gens (comme moi) se posent toujours la question et cela semblait être un bon endroit pour mettre la solution.

Answer 4

Pourquoi ne pas utiliser logname(1) pour obtenir le nom de connexion de l'utilisateur ?

Answer 5

La fonction findUser() de l'utilisateur1683793 est portée à bash et étendu de sorte qu'il renvoie également les noms d'utilisateur stockés dans les bibliothèques NSS.

#!/bin/bash

function findUser() {
    thisPID=$$
    origUser=$(whoami)
    thisUser=$origUser

    while [ "$thisUser" = "$origUser" ]
    do
        ARR=($(ps h -p$thisPID -ouser,ppid;))
        thisUser="${ARR[0]}"
        myPPid="${ARR[1]}"
        thisPID=$myPPid
    done

    getent passwd "$thisUser" | cut -d: -f1
}

user=$(findUser)
echo "logged in: $user"