sudo执行脚本为什么不会加载全部的环境变量

最新推荐文章于 2025-06-03 21:29:38 发布
最新推荐文章于 2025-06-03 21:29:38 发布
阅读量349 收藏 6
点赞数 3
分类专栏： linux 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/roadtohacker/article/details/148117718
版权

安全机制设计背景

sudo 的设计目标是允许用户以其他身份（如 root）执行命令，同时 最小化安全风险。环境变量可能被恶意用户篡改（例如通过 LD_PRELOAD、PATH 等变量注入恶意代码），因此 sudo 默认会 清理环境变量，仅保留少数安全相关的变量。

源码分析

  • 使用sudo-1.8这个版本的代码来分析

https://github.com/sudo-project/sudo.git

// src/sudo.c
int
main(int argc, char *argv[], char *envp[])
{
    int nargc, ok, status = 0;
    char **nargv, **env_add;
    char **user_info, **command_info, **argv_out, **user_env_out;
    const char * const allowed_prognames[] = { "sudo", "sudoedit", NULL };
    struct sudo_settings *settings;
    struct plugin_container *plugin, *next;
    sigset_t mask;
    debug_decl_vars(main, SUDO_DEBUG_MAIN)
......
	case MODE_RUN:
	    ok = policy_check(&policy_plugin, nargc, nargv, env_add,
		&command_info, &argv_out, &user_env_out);
......
  • main函数中，argc是参数量，argv[]是参数向量，envp[]是当前进程的环境变量，由os载入。环境变量相关的核心变量是user_env_out，在MODE_RUN(sudo 运行标识)类型下，通过policy_check方法，进行相关权限校验和环境变量的改写等。
// src/sudo.c
static int
policy_check(struct plugin_container *plugin, int argc, char * const argv[],
    char *env_add[], char **command_info[], char **argv_out[],
    char **user_env_out[])
{
    int ret;
    debug_decl(policy_check, SUDO_DEBUG_PCOMM)

    if (plugin->u.policy->check_policy == NULL) {
	sudo_fatalx(U_("policy plugin %s is missing the `check_policy' method"),
	    plugin->name);
    }
    sudo_debug_set_active_instance(plugin->debug_instance);
    ret = plugin->u.policy->check_policy(argc, argv, env_add, command_info,
	argv_out, user_env_out);
    sudo_debug_set_active_instance(sudo_debug_instance);
    debug_return_int(ret);
}
  • 在这个方法中，核心调用是plugin->u.policy->check_policy，这个方法是通过sudo_load_plugin方法载入到虚函数表中，然后调用的，所以用普通的IDE是没法识别的，这个方法可以用gdb调试等方法，最后确定是调用到了sudoers_policy_main这个函数
// plugins/sudoers/sudoers.c
int
sudoers_policy_main(int argc, char * const argv[], int pwflag, char *env_add[],
    bool verbose, void *closure)
{
    char **edit_argv = NULL;
    char *iolog_path = NULL;
    mode_t cmnd_umask = ACCESSPERMS;
    struct sudo_nss *nss;
    int cmnd_status = -1, oldlocale, validated;
    int ret = -1;
    debug_decl(sudoers_policy_main, SUDOERS_DEBUG_PLUGIN)
......
    /* Build a new environment that avoids any nasty bits. */
    if (!rebuild_env())
	goto bad;
......
}

// plugins/sudoers/env.c
bool
rebuild_env(void)
{
    char **ep, *cp, *ps1;
    char idbuf[MAX_UID_T_LEN + 1];
    unsigned int didvar;
    bool reset_home = false;
    debug_decl(rebuild_env, SUDOERS_DEBUG_ENV)

    /*
     * Either clean out the environment or reset to a safe default.
     */
    ps1 = NULL;
    didvar = 0;
    env.env_len = 0;
    env.env_size = 128;
    free(env.old_envp);
    env.old_envp = env.envp;
......
    if (def_env_reset || ISSET(sudo_mode, MODE_LOGIN_SHELL)) {
	/*
	 * If starting with a fresh environment, initialize it based on
	 * /etc/environment or login.conf.  For "sudo -i" we want those
	 * variables to override the invoking user's environment, so we
	 * defer reading them until later.
	 */
	if (!ISSET(sudo_mode, MODE_LOGIN_SHELL)) {
#ifdef HAVE_LOGIN_CAP_H
	    /* Insert login class environment variables. */
	    if (login_class) {
		login_cap_t *lc = login_getclass(login_class);
		if (lc != NULL) {
		    setusercontext(lc, runas_pw, runas_pw->pw_uid,
			LOGIN_SETPATH|LOGIN_SETENV);
		    login_close(lc);
		}
	    }
#endif /* HAVE_LOGIN_CAP_H */
#if defined(_AIX) || (defined(__linux__) && !defined(HAVE_PAM))
	    /* Insert system-wide environment variables. */
	    if (!read_env_file(_PATH_ENVIRONMENT, true, false))
		sudo_warn("%s", _PATH_ENVIRONMENT);
#endif
	    for (ep = env.envp; *ep; ep++)
		env_update_didvar(*ep, &didvar);
	}

	/* Pull in vars we want to keep from the old environment. */
	for (ep = env.old_envp; *ep; ep++) {
	    bool keepit;

	    /*
	     * Look up the variable in the env_check and env_keep lists.
	     */
	    keepit = env_should_keep(*ep);

	    /*
	     * Do SUDO_PS1 -> PS1 conversion.
	     * This must happen *after* env_should_keep() is called.
	     */
	    if (strncmp(*ep, "SUDO_PS1=", 9) == 0)
		ps1 = *ep + 5;

	    if (keepit) {
		/* Preserve variable. */
		CHECK_PUTENV(*ep, true, false);
		env_update_didvar(*ep, &didvar);
	    }
	}
	didvar |= didvar << 16;		/* convert DID_* to KEPT_* */

	/*
	 * Add in defaults.  In -i mode these come from the runas user,
	 * otherwise they may be from the user's environment (depends
	 * on sudoers options).
	 */
	if (ISSET(sudo_mode, MODE_LOGIN_SHELL)) {
	    CHECK_SETENV2("SHELL", runas_pw->pw_shell,
		ISSET(didvar, DID_SHELL), true);
#ifdef _AIX
	    CHECK_SETENV2("LOGIN", runas_pw->pw_name,
		ISSET(didvar, DID_LOGIN), true);
#endif
	    CHECK_SETENV2("LOGNAME", runas_pw->pw_name,
		ISSET(didvar, DID_LOGNAME), true);
	    CHECK_SETENV2("USER", runas_pw->pw_name,
		ISSET(didvar, DID_USER), true);
	} else {
	    /* We will set LOGNAME later in the def_set_logname case. */
	    if (!def_set_logname) {
#ifdef _AIX
		if (!ISSET(didvar, DID_LOGIN))
		    CHECK_SETENV2("LOGIN", user_name, false, true);
#endif
		if (!ISSET(didvar, DID_LOGNAME))
		    CHECK_SETENV2("LOGNAME", user_name, false, true);
		if (!ISSET(didvar, DID_USER))
		    CHECK_SETENV2("USER", user_name, false, true);
	    }
	}

	/* If we didn't keep HOME, reset it based on target user. */
	if (!ISSET(didvar, KEPT_HOME))
	    reset_home = true;

	/*
	 * Set MAIL to target user in -i mode or if MAIL is not preserved
	 * from user's environment.
	 */
	if (ISSET(sudo_mode, MODE_LOGIN_SHELL) || !ISSET(didvar, KEPT_MAIL)) {
	    if (_PATH_MAILDIR[sizeof(_PATH_MAILDIR) - 2] == '/') {
		if (asprintf(&cp, "MAIL=%s%s", _PATH_MAILDIR, runas_pw->pw_name) == -1)
		    goto bad;
	    } else {
		if (asprintf(&cp, "MAIL=%s/%s", _PATH_MAILDIR, runas_pw->pw_name) == -1)
		    goto bad;
	    }
	    if (sudo_putenv(cp, ISSET(didvar, DID_MAIL), true) == -1) {
		free(cp);
		goto bad;
	    }
	    sudoers_gc_add(GC_PTR, cp);
	}
    } else {
	/*
	 * Copy environ entries as long as they don't match env_delete or
	 * env_check.
	 */
	for (ep = env.old_envp; *ep; ep++) {
	    /* Add variable unless it matches a black list. */
	    if (!env_should_delete(*ep)) {
		if (strncmp(*ep, "SUDO_PS1=", 9) == 0)
		    ps1 = *ep + 5;
		else if (strncmp(*ep, "SHELL=", 6) == 0)
		    SET(didvar, DID_SHELL);
		else if (strncmp(*ep, "PATH=", 5) == 0)
		    SET(didvar, DID_PATH);
		else if (strncmp(*ep, "TERM=", 5) == 0)
		    SET(didvar, DID_TERM);
		CHECK_PUTENV(*ep, true, false);
	    }
	}
......
}

环境变量覆盖的总体逻辑

环境重置模式下的覆盖流程

  • 强制初始化一个干净的环境，忽略用户传递的大部分变量。
  • 通过 /etc/environment、login.conf 或目标用户（runas_pw）的配置重新设置变量。
  • 覆盖的优先级：系统默认值（/etc/environment） < 用户传递的环境变量 < sudo 强制覆盖的变量（如 PATH、HOME）

覆盖的触发条件

  1. 环境重置模式（def_env_reset || MODE_LOGIN_SHELL）：
if (!ISSET(sudo_mode, MODE_LOGIN_SHELL)) {
    // 1. 从 login.conf 加载变量（BSD 系统）
    setusercontext(lc, runas_pw, runas_pw->pw_uid, LOGIN_SETPATH|LOGIN_SETENV);

    // 2. 从 /etc/environment 加载变量（Linux/AIX）
    read_env_file(_PATH_ENVIRONMENT, true, false);

    // 3. 标记已处理的变量（更新 didvar）
    for (ep = env.envp; *ep; ep++)
        env_update_didvar(*ep, &didvar);
}
// 作用：用系统级的默认值初始化环境（如安全的 PATH）。
// 关键点：此时 didvar 会记录已设置的变量（如 PATH），后续用户传递的同名变量可能被忽略。

// 选择性保留用户变量
for (ep = env.old_envp; *ep; ep++) {
    // 检查变量是否在 env_keep 白名单中
    bool keepit = env_should_keep(*ep);

    if (keepit) {
        CHECK_PUTENV(*ep, true, false);  // 保留用户变量
        env_update_didvar(*ep, &didvar); // 标记为已处理
    }
}
// 规则：
// 若变量在白名单（如 TERM、DISPLAY），则保留用户传递的值。
// 否则被系统默认值覆盖。

// 如果用户未提供 SHELL，则设置为目标用户的 shell
if (!ISSET(didvar, DID_SHELL))
    CHECK_SETENV2("SHELL", runas_pw->pw_shell, false, true);

// 如果未保留 HOME，则重置为目标用户的家目录
if (!ISSET(didvar, KEPT_HOME))
    reset_home = true;

非重置模式下的覆盖流程

  • 保留用户传递的环境变量，但过滤掉黑名单（env_delete）中的变量。
for (ep = env.old_envp; *ep; ep++) {
    // 过滤黑名单变量（env_delete）
    if (!env_should_delete(*ep)) {
        // 特殊处理 SUDO_PS1 -> PS1
        if (strncmp(*ep, "SUDO_PS1=", 9) == 0)
            ps1 = *ep + 5;

        // 记录已处理的变量（PATH/SHELL/TERM）
        else if (strncmp(*ep, "SHELL=", 6) == 0)
            SET(didvar, DID_SHELL);
        else if (strncmp(*ep, "PATH=", 5) == 0)
            SET(didvar, DID_PATH);

        // 保留非黑名单变量
        CHECK_PUTENV(*ep, true, false);
    }
}
// 规则：
// 直接保留用户传递的变量，除非在 env_delete 黑名单中。
// 仍会标记 PATH/SHELL 等变量为已处理（didvar），但不会强制覆盖。

总之，用sudo执行脚本等操作的时候，默认会重置大部分环境变量，只保留允许的变量，在某些限制场景下，使用需要注意。如果允许，可以加参数-E来载入所有环境变量，但这种方式受到/etc/sudoers 中 env_keep 配置的限制。

ansible linux环境变量,【ansible】关于ansible执行过程中加载环境变量问题
weixin_29476755的博客
05-07 954
一、问题背景SSH远程执行脚本报错"command not found"，且环境变量不生效，执行env命令后发现打印出来的环境变量少了很多。原因是之前将环境变量配置在了/etc/profile中，但是SSH远程执行脚本时实际上执行的是non-login shell，而non-login shell不会读取/etc/profile配置文件。二、关于login shell和non-login shel...
PyCharm加载ROS环境变量的相关问题
weixin_38405166的博客
03-15 924
想要用PyCharm运行ROS项目，会遇到一个问题：运行包含ROS的.py文件时，程序内有调用ROS相关文件如 import rospy # ROS系统文件 from darknet_ros_msgs.msg import BoundingBoxes #ROS工程自定义文件 from vision.msg import custom_msg # 用户自定义消息文件 等时，会报错显示如 "No module named rospy" # 无法加载到ROS系统相关文件 或者 "No module named
sudo执行脚本找不到环境变量
MoooJL
03-29 1439
踩坑：Linux 系统使用 sudo sh idea.sh 命令运行idea找不到java环境 报错：Failed to execute goal org.apache.maven.plugins:maven-compiler-plugin:3.8.0:testCompile 在确保idea有jdk环境的情况下，在命令行输入将java -version 查看系统java环境，如果找不到，就按下面解决方法执行 原因：sudo运行时，会默认重置环境变量为安全的环境变量，也即，但前设置的变量
＜Linux＞《SHELL脚本在crontab环境下执行失败问题处理》＞＞ 探索SHELL运行模式和加载环境变量【实践+实验】
Else 的博客
09-01 872
Shell，区别于内核被称为壳，(Shell 脚本)是一种命令行解释器，用于与操作系统进行交互和执行命令。在Unix中，用sharp或hash（有时是mesh）称呼字符#，用bang称呼！在测试环境，无论单条命令执行，还是定时执行整个脚本，都是正常的。进行试验，发现脚本在前台执行的时候均正常，在crontab后台执行会失败。脚本中的命令是在子shell中执行，子shell只能继承父shell的环境变量，而无法修改父shell的环境变量。
如何解决 sudo 命令找不到环境变量的问题
zc520yzy的博客
06-26 2121
第 11 行的 secure_path 配置项，其中包含的路径将被当做 sudo 环境的 PATH 变量使用，如果在 sudo 环境无法找到某些命令，那么可以将这些命令的路径加入该配置项之中。在通过 sudo 运行命令时，系统会默认重置环境变量为安全的环境变量，也就是说，先前设置的变量都会失效，只有少数配置文件中指定的环境变量能够保存下来。第 5 行的 Defaults env_reset 表示默认会重置环境变量，因此自定义的变量会在 sudo 环境中失效，也就不会获取正确的变量值。
sudo执行脚本找不到环境变量解决方法
weixin_34162695的博客
01-06 189
问题： 当普通用户下，设置并export一个变量，然后利用sudo执行echo命令，能得到变量的值，但是如果把echo命令写入脚本， 然后再sudo执行脚本，就找不到变量，未能获取到值。 原因 sudo运行时，会默认重置环境变量为安全的环境变量，也即，但前设置的变量都会失效，只有少数配置文件中指定的环境变量能保存下来。 sudo的配置文件是/etc/sudoers需要root权限才能读...
sudo下环境变量失效
Larkin_0612的博客
09-28 1506
sudo下环境变量PATH失效
python用户环境变量找不到_解决sudo用户找不到环境变量的问题
weixin_39622905的博客
12-03 545
出于安全方面的考虑，使用sudo执行命令将在一个最小化的环境中执行，环境变量都重置成默认状态。所以PATH这个变量不包括用户自定义设置的内容在sudo用户的主目录里的.bashrc中添加如下内容即可解决$ vim ~/.bashrcalias sudo="sudo env PATH=$PATH"有这样一个shell脚本，其内容如下，没有给其x权限vim test.sh#!/bin/bashecho...
linux 环境变量不调用,用sudo命令无法读取环境变量的解决方法
weixin_42353715的博客
05-04 792
通过sudo -l来查看sudo的限制：$ sudo -lMatching Defaults entries for xxx on this host:env_reset, mail_badpass,secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/binUser xxx may run the fo...
linux crontab执行sh脚本环境变量问题
m0_37979950的博客
07-13 321
首先确保手动执行可运行 运行env查看当前系统环境 env 找到打印的PATH这一行复制 PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin sh脚本先加这三句，export 来自上面复制的内容 #!/bin/sh export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin . /etc/profile . ~/.bash_profile
Java环境变量设置脚本
05-04
Java环境变量设置脚本是Java开发中至关重要的一步，它确保了Java开发工具包（JDK）正确安装并能够在操作系统中被识别和调用。在Windows、Linux或macOS等不同操作系统上，环境变量的配置方式略有差异，但其核心目标是...
一键设置Java环境变量的脚本使用教程
Java环境变量设置脚本是一段用于自动化配置Java运行环境的代码。这一过程通常涉及修改操作系统的环境变量，特别是与Java相关的几个重要变量，例如PATH、JAVA_HOME和CLASSPATH。这些环境变量的设置对于Java程序的编译...
Linux提权-02 sudo提权
weixin_45626840的博客
01-19 931
执行权限继承：当用户执行sudo后面跟随的命令时，这个命令会继承sudo的权限。在这种情况下，虽然用户是普通用户，但由于sudo在以root用户的身份执行，随后的命令则也可以在root权限下运行。设置setuid权限：sudo程序本身被设置了setuid属性，这意味着当任何用户执行这个程序时，它会以程序拥有者（通常是root）的权限运行。权限配置不当，如果这些可执行文件本身又可以调用其他可执行文件，或者可以更改系统的一些配置选项，就可以达到提权的目的。
Rock9.x（Linux）安装Redis7
{竹子}
05-31 426
设置后台运行：将daemonize no改为daemonize yes。gcc 是C语言编译器，Redis是用C语言开发的，我们需要编译它。如果没有安装gcc，那么我们手动安装。在解压目录运行命令，必须写sudo。创建存放配置文件的文件夹。解压，进入解压文件夹。
19-项目部署(Linux)
2301_80368429的博客
06-03 826
不同领域的主流操作系统，主要分为以下这么几类： 桌面操作系统、服务器操作系统、移动设备操作系统、嵌入式操作系统。接下来，这几个领域中，代表性的操作系统是那些?1). 桌面操作系统操作系统特点Windows用户数量最多MacOS操作体验好，办公人士首选Linux用户数量少(桌面操作系统,Linux使用较少)2). 服务器操作系统操作系统特点Unix安全、稳定、付费Linux安全、稳定、免费、占有率高付费、占有率低3). 移动设备操作系统操作系统特点Android。
Linux | Shell脚本的基础知识
2302_81507127的博客
05-29 801
执行一条命令完毕后，系统会给出一个退出值，若成功则为0，出现错误则1~255退出状态码是一个整数，其有效范围为0~255行为良好的UNIX命令，程序和工具都会返回0作为退出码来表示成功。
[Linux] MySQL源码编译安装
qq_53232485的博客
06-03 524
本文详细介绍了MySQL 5.7.20源码编译安装过程。主要内容包括：环境包安装（需cmake等工具）、创建mysql系统用户、解压源码包、使用cmake配置编译参数（指定安装路径、字符集等）、多核编译（make -j4）、安装后的权限配置（chown）、修改my.cnf配置文件、设置系统环境变量、初始化数据库以及通过systemd管理MySQL服务。重点强调了采用cmake编译方式，并提供了完整的编译参数和配置模板。
云计算 Linux Rocky day03（which、快捷键、mount、家目录、ls、alias、mkdir、rm、mv、cp、grep）
最新发布
weixin_46411355的博客
06-03 800
云计算 Linux Rocky day03（which、快捷键、mount、家目录、ls、alias、mkdir、rm、mv、cp、grep）
Linux --进程优先级
2301_79389054的博客
06-03 299
摘要：进程优先级是Linux调度资源的关键机制，通过PRI和NI值控制进程执行顺序。PRI越小优先级越高，NI（-20至19）用于修正PRI值。Linux采用O(1)调度算法，使用active/expired队列和bitmap快速定位待执行进程，当活跃队列耗尽时交换指针。进程切换通过保存/恢复PCB中的上下文数据实现，而task_struct的链表设计允许进程存在于多队列中。通过offsetof宏可计算结构体成员偏移量，实现从链表节点访问完整进程数据。该机制确保调度效率不受进程数量影响。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Clarence Liu

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值