https://lead-devops.blackdevhub.online/tags/sudo/Recent content in Sudo on Lead DevOpsHugoru-RUFri, 18 Sep 2026 00:00:00 +0000https://lead-devops.blackdevhub.online/posts/sudoers-nopasswd-bez-dyr/Fri, 18 Sep 2026 00:00:00 +0000https://lead-devops.blackdevhub.online/posts/sudoers-nopasswd-bez-dyr/<h2 id="почему-nopasswd--all--это-не-решение-а-дыра">Почему NOPASSWD + ALL — это не решение, а дыра </h2> <p><code>%admin ALL=(ALL) NOPASSWD: ALL</code> — самая частая ошибка в sudoers. Пользователь получает неограниченный root-доступ без пароля. Любой скрипт, любая утилита, любая уязвимость в окружении пользователя становится прямым путём к полному контролю машины. NOPASSWD без ограничений по командам — это не удобство, это бэкдор в явном виде.</p> <p>Правильный подход: разрешить конкретные команды через <code>Cmnd_Alias</code> и повесить <code>NOPASSWD</code> только на них. Тогда пользователь может перезапустить сервис, но не сможет читать <code>/etc/shadow</code> или запустить <code>su</code>.</p>