linux - 在 Redhat 上使用 "nologin"shell 运行进程

Question

我阅读了一些 Tomcat 指南，以使用 nologin 作为 shell 的用户身份运行 Tomcat，以防止该用户在出现安全漏洞时无法使用 shell Tomcat 。

我尝试以该用户身份使用 setuid (-rws---r-x) 以及使用 su -s/bin/sh my_nologin_user myscript.sh 但我发现它能够执行像 pwd 这样的命令ps -efgrep .

显然我误解了这一点，但如果可以编辑 Tomcat 启动脚本以执行任何 shell 命令(如果被黑)，我看不出使用 nologin 作为 shell 有什么意义。

Answer 1

nologin shell 阻止了登录。任何系统登录服务——各种 ttys、sshd 等，都会拒绝访问，因为它们运行 login 可执行文件，但失败了。一旦不受信任的代码在该用户 ID 下运行，nologin shell 将不会阻止用户通过 shell 运行任意命令。

使用 nologin 作为 shell 的要点是，有人不能作为相关用户通过 ssh/telnet 进入您的系统——只要上述服务使用默认配置并运行 login (可能是伪的)tty。