sudo 是 Linux 系統中一個非常強大且常用的指令，它可以讓一般使用者以超級使用者（root）的身分執行特定的指令或程式。這樣可以避免使用者直接登入 root 帳戶，從而提高系統的安全性和穩定性。但是，你知道 sudo 指令還有很多隱藏的功能和技巧嗎？本文將為你介紹 Linux 中設定 sudo 的 10 個小技巧，讓你更能利用 sudo 指令來完成各種任務。
sudo允許使用者以root使用者身分（或另一個使用者）執行安全性原則指定的命令：它讀取並解析/etc sudoers，查找呼叫的使用者及其權限，然後提示呼叫使用者輸入密碼（通常是使用者的密碼，但也可以是目標使用者的密碼，也可以使用NOPASSWD取消密碼驗證），之後，sudo建立一個子進程，在其中呼叫setuid（）切換到目標使用者next，它執行一個shell或在上面的子進程中作為參數給定的命令。
以下是十個/etc/sudoers檔案配置，以使用Defaults條目修改sudo指令的行為。
sudo cat /etc/sudoers | less
#這是用於每個使用sudo運行的命令的路徑，它有兩個重要性：
在系統管理員不信任sudo使用者有安全的PATH環境變數時使用
要分離“根路徑”和“用戶路徑”，只有由exempt_group定義的用戶不受此設定的影響。
要設定它，請新增行：
Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin"
2.在TTY使用者登入會話上啟用sudo
#要啟用從真實tty調用sudo，而不是透過cron或cgi-bin腳本等方法調用，請新增以下行：
Defaults requiretty
3.執行Sudo指令使用pty
有些時候，攻擊者可以使用sudo來執行惡意程式（例如病毒或惡意軟體），這將再次分叉保留在使用者的終端裝置上的後台進程，即使在主程式已經完成執行時。
為了避免這種情況，您可以將sudo配置為僅使用use_pty參數從psuedo-pty運行其他命令，無論I /O日誌是否已打開，如下所示：
Defaults use_pty1
4.建立Sudo日誌檔
預設情況下，sudo日誌通過syslog（3）。但是，若要指定自訂日誌文件，請使用logfile參數，如：
Defaults logfile="/var/log/sudo.log"
要在自訂日誌檔案中記錄主機名稱和四位數年份，請分別使用log_host和log_year參數，如下所示：
Defaults log_host, log_year, logfile="/var/log/sudo.log"
5.記錄Sudo指令輸入/輸出
log_input和log_output參數允許sudo在偽tty中運行命令，並記錄所有使用者輸入和所有輸出發送到螢幕。
預設I / O日誌目錄為/var/log/sudo-io，如果有會話序號，則儲存在此目錄中。您可以透過iolog_dir參數指定自訂目錄。
Defaults log_input, log_output1
支援一些轉義序列，例如％{seq}，其擴展為單調遞增的基礎36序號，例如000001，其中每兩個數字用於形成新的目錄，例如。 00/00/01，如下例所示：
[root@linuxprobe ~]# cd /var/log/sudo-io/ [root@linuxprobe sudo-io]# ll total 8 drwx------ 3 root root 4096 Jan 12 18:58 00 -rw------- 1 root root 7 Jan 12 19:08 seq [root@linuxprobe sudo-io]# cd 00/00/06/ [root@linuxprobe 06]# ls log stderr stdin stdout timing ttyin ttyout [root@linuxprobe 06]# cat log 1484219333:root:root::/dev/pts/0 /root /bin/bash
6.講解Sudo用戶
要講授sudo使用者關於系統上的密碼使用，請使用如下所示的lecture參數。
它有3個可能的值：
always – 總是講一個使用者。
once – 只在使用者第一次執行sudo指令時使用（當沒有指定值時使用）
never – 從不教導使用者。
Defaults lecture="always"
此外，您可以使用lecture_file參數設定自訂講義文件，在文件中鍵入對應的訊息：
Defaults lecture_file="/path/to/file"
7.輸入錯誤的sudo密碼時顯示自訂訊息
#當使用者輸入錯誤的密碼時，命令列上將顯示特定的訊息。預設訊息是“sorry，try again”，您可以使用badpass_message參數修改訊息，如下所示：
Defaults badpass_message=”Password is wrong, please try again，thank you!」
8.增加sudo密碼嘗試限制
參數passwd_tries用來指定使用者嘗試輸入密碼的次數。預設值為3：
Defaults passwd_tries=5
9.讓Sudo輸入錯誤的密碼時輸入提示
#Defaults insults
10.了解更多Sudo設定
http://blog.csdn.net/wh211212/article/details/52923673
以上是Linux sudo 指令的秘密：10 個提高效率和安全性的技巧的詳細內容。更多資訊請關注PHP中文網其他相關文章！
