Dotaz: Omylem nastavená práva 777 /usr/bin/ - problém se " SU" Sudo

[Karel Zeman]

Přátelé zdravím, omylem jsem se uklikl a nastavil špatná práva...

Ubuntu 16-

sudo: chyba v /etc/sudo.conf na řádku 0 při zavádění modulu „sudoers_policy“ sudo: /usr/lib/sudo/sudoers.so musí být zapisovatelný jen vlastníkem sudo: nepřekonatelná chyba, moduly nelze zavést

tedy:

sudo: /usr/bin/sudo must be owned by uid 0 and have the setuid bit set

Zkusil jsem shell v recorvery mode :

mount -o remount,rw / mount --all chown root:root /usr/bin/sudo chmod 4755 /usr/bin/sudo reboot

bez výsledku. Pak jsem zkusil live USB boot vyhledat

/lib/sudo/sudoers.so a dát mu chmod 0600

také bez výsledku, nyní jsem se dočetl, že je lepší zálohovat data a provést reinstalaci... čili zálohuji.

Docela rád bych se tomu vyhl.. kvůli ztrátě času :-/ asi vás nic nenapadá než to opravdu reinstalovat ? Děkuji Vám moc. Karlos

---

---

Odpovědi

[jiwopene]

Přihlaste se jako root (v tom recovery mode asi budete root) a proveďte:

chmod go-w /usr/lib/sudo/sudoers.so

Pokud nabootujete z live disku, můžete do /etc/passwd (na pevném disku) na konec připsat toto:

recover::0:0::/:/bin/sh

To vytvoří uživatele recover bez hesla, který má práva roota. Pod ním systém můžete opravit a pak tohoto uživatele smazat.

[jiwopene]

Korekní mód pro /usr/bin/sudo by měl být 4711 (tedy (4)*10³+(1+2+4)*10²+(1)*10¹+(1)*10⁰).

┌───────────────────────────┐
│ Tabulka pro výpočet módu  │
│          souboru          │
├───┬─────────┬────┬───┬────┤
│ × │ 1000    │ 100│010│001 │
│   │         │  u │ g │ o  │
├───┼─────────┼────┴───┴────┤
│ 4 │ SUID    │ read        │
│ 2 │ SGID    │ write       │
│ 1 │ sticky  │ execute     │
└───┴─────────┴─────────────┘
Všechna čísla jsou osmičkově.

[jiwopene]

Zkuste odinstalovat sudo (tuším apt purge sudo) a pak ho nainstalovat pomocí apt install sudo. Pokud na Ubuntu nemáte apt, použijte apt-get.

[Karel Zeman]

Dobrá děkuji jdu na to, nevznikne pak nějaké bezp.riziko já jsem omylem právě rekruzivně celý adresář pozměnil.Děkuji

[jiwopene]

Odstraněním sudo bezpečnostní riziko nevznikne – spíše zmizí. ☺ A teď trochu vážněji: není špatné mít (na desktopu) nastavené svoje heslo i pro účet roota, protože pak v případě potíží se sudem není problém se přihlásit přímo jako root. Pokud budete tato hesla udržovat stejná, žádné bezpečnostní riziko nevznikne, protože se se znalostí Vašeho hesla může dostat k rootovi přes sudo.

Ta tada o vlákno výše je lehce nebezpečná, ale to je snad jasné – vytvořením druhého roota bez hesla (po dobu opravy) bude po dobu opravy systém přístupný bez hesla jen za použití tohoto uživatelského jména.

SSH ve výchozím nastavení přihlášení bez hesla odmítá.

[Karel Zeman]

Jasné chápu, ještě čekám na dokončení záloh a hned se do toho pustím, dám echo jak to dopadlo, moc by mi to ulehčilo. Ještě jednou díky a super víkend

[jiwopene]

Nezkušenému uživateli zálohovat doporučuji, ale není to nutné – na Linuxu je reinstalace systému až to poslední řešení. A když už reinstalujete systém, uživatelská data je zpravidla možné zachovat. Zkusil bych purge a install suda. To by mělo smazat sudo včetně konfigurace a znova ho nainstalovat.

[kol-ouch]

Naopak - pod Linuxem je kolikrát jednodušší systém reinstalovat a jen obnovit /etc a data (s trochou nadsázky) než zjišťovat co člověk rozj..l - pokud teda samozřejmě neroz...l zálohy a data zároveň. To pak život nabírá z ničeho nic zajímavé obrátky

[Jendа]

Právě naopak, díky tomu, že jsou všechno soubory a ještě to trackuje balíčkovač, tak je velmi snadné zjistit, co se rozbilo: soubory z balíčků pomocí debsums, konfigurace taktéž pomocí debsums -e, případně porovnáním oproti záloze, případně používej něco na verzování typu etckeeper.

[Jendа]

Bych potom rekurzivně nastavil všemu ostatnímu go-w a neřešil. Pokud jsi omylem sundal i setuid, tak tady je seznam setuid programů z mého systému, většinu podle mě ani nepoužiješ.

/usr/sbin/pppd
/usr/sbin/mgnokiidev
/usr/bin/cnpkmoduleufr2r
/usr/bin/bwrap
/usr/bin/chsh
/usr/bin/sudo
/usr/bin/passwd
/usr/bin/chfn
/usr/bin/tcptraceroute.mt
/usr/bin/pkexec
/usr/bin/gpasswd
/usr/bin/v4l-conf
/usr/bin/newgrp
/usr/libexec/polkit-agent-helper-1
/usr/libexec/spice-client-glib-usb-acl-helper
/usr/lib/openssh/ssh-keysign
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/usr/lib/chromium/chrome-sandbox
/usr/lib/virtualbox/VirtualBoxVM
/usr/lib/virtualbox/VBoxNetDHCP
/usr/lib/virtualbox/VBoxHeadless
/usr/lib/virtualbox/VBoxNetNAT
/usr/lib/virtualbox/VBoxSDL
/usr/lib/virtualbox/VBoxNetAdpCtl

[Karel Zeman]

Po výpisu -ls mám vše OK až na SUDO - "svítí" červeně.

[Karel Zeman]

+ chardet

[Jendа]

Ale to je dobře, že svítí červeně - má to být setuid, a setuid věci svítí červeně.

[Jendа]

Nestačilo by apt-get --reinstall install sudo?

[Peter Golis]

Ono by možno stačilo len odobrať právo zápisu pre súbory v poškodenom priečinku. Ale naistejšie by bolo obnoviť systém zo zálohy.

[Karel Zeman]

Tak to je zajímavé v recovery modu jsem zkusil vše nic mi to nebere když dám whoami jsem root ale když dám chmod go-w /usr/lib/sudo/sudoers.so - tak po rebootu opět v terminálu nelze dokonce mi to zahlásí že tam user není :

XXXX není v souboru sudoers. Tento událost bude ohlášena. Zkusil jsem přidat usera " test" do skupiny sudo a taky nespustím.

Jdu do recorvery pod roota a zkusím vymazat to sudo jak jste psali. Dokonce jsem upravil i :

nano /etc/passwd

na výše doporučené:

recover::0::/:/bin/sh

Peter, právě to bych nerad ze zálohy .

Ještě taková zajímavost při spuštění FFoxu mi zmizlo komplet nastavení "taby..atd" zajímavé pro mě je to nová zkušenost.Už jsem dělal různé věci ale toto..

[Petr Fiedler]

Ještě taková zajímavost při spuštění FFoxu mi zmizlo komplet nastavení "taby..atd" zajímavé pro mě je to nová zkušenost.

Pokud si nevytvářel nový uživatelský profil, tak nastavení máš v /home/uživatel/.mozilla/firefox/něco.default-release/ . Pokud si vytvářel nový uživatelský profil, tak nastavení máš v /home/uživatel/.mozilla/firefox/uživatelský_profil/ . Pokud jsi s tím tedy neudělal něco, co už bez obnovení zálohy nepůjde vrátit.

Jinak výběr profilu vyvoláš z terminálu příkazem firefox -P .

[Karel Zeman]

Dííky !!

[Petr Fiedler]

Prosím

[Karel Zeman]

Díííky !!!

[jiwopene]

Nakonec pomohl shift a recorvery mode úplnou odinstalací sudo vč. adresáře pomocí rm -r. Problém u FF byl způsoben chaosem a přidáním usera - následným odebráním, před těmito operacemi jsem zálohoval profily FF i TBirdu vč. jiných programů, nyní akorát při připojování na servery pomocí ssh pouze potvrdím nový klíč, to samé i jiné nástroje jako filezilla atd.

Díky moc za navedení na cestu, to se mi fakt xx let taková kosa do paty nestala, v terminálu jsem se uklikl a omylem spustil změnu práv pro celý adresář, původně mělo jít o jiný... čili 4 hodinky práce a hledané po EN fórech nicméně nic více - nejvíce jste mi pomohli zde za což všem moc děkuji a přeji Hezký víkend , ono se může i Kat utnout..

[jiwopene]

Debian nepoužívám denně, takže tohle neznám. Asi by to stačilo.

[Karel Zeman]

Díky navedlo mě to, skvělá práce. Mě se to nikdy nestalo uklikl jsem se v cli & kombinace únavy a práce pod rootem udělá svoje.Moc díky všechno šlape přeji všem aby se " nepřemáhali"v práci, pauzovali atd. občas se protáhnout hlavně nad ránem pokud není nastavený režim může dojít k chybě " raz dva ".