限制用户登录shell访问bash的核心是通过修改默认shell或配置来控制用户权限；2. 最常用方法是使用usermod命令将用户shell设为/nologin、/false或/rbash；3. /nologin和/false可阻止交互式登录，适用于无需shell的服务账户；4. rbash提供受限环境，禁止cd、修改path、重定向等操作，但存在逃逸风险；5. 自定义shell脚本可实现命令白名单、菜单式交互和操作日志，灵活性高；6. chroot jail能隔离文件系统，增强安全性，但配置复杂；7. 注意事项包括防范rbash逃逸（如通过vi、python等程序）、严格控制path、移除危险命令、锁定配置文件、管理sudo权限；8. 实施前需与用户沟通并全面测试，确保安全与可用性平衡，持续审计更新策略以保障系统安全。
限制用户登录shell访问bash，说白了，就是为了控制用户在系统里能干什么，不能干什么。这事儿，通常是为了安全、合规，或者就是想让某个账户只能干点儿特定的活儿，别瞎折腾。核心思想就是修改用户的默认登录shell，或者通过配置让bash自身变得“不那么自由”。
最直接的办法，就是改掉用户默认的shell。你可以把它设成一个完全不允许交互登录的程序，比如
/usr/sbin/nologin
，或者一个有限制的shell，比如
rbash
，再或者，干脆自己写个小脚本，只允许他跑几个固定命令。
修改用户默认Shell
这是最基础也最常用的方法。
使用
usermod
命令：这是最推荐的方式，因为它会安全地更新
/etc/passwd
文件。比如，你想让用户
testuser
登录后什么也干不了，直接就退出：
sudo usermod -s /usr/sbin/nologin testuser
或者，如果你想让用户登录后直接退出，甚至不显示任何消息，可以用
/bin/false
：
sudo usermod -s /bin/false testuser
如果你想限制用户只能使用
rbash
（受限的bash）：
sudo usermod -s /bin/rbash testuser
更改后，
testuser
下次登录时，就会使用你指定的shell。
直接编辑
/etc/passwd
文件（不推荐，但了解原理）：每个用户账户在
/etc/passwd
文件中都有一行记录，格式大致是：
用户名:密码占位符:UID:GID:用户信息:家目录:默认Shell
比如：
testuser:x:1001:1001:Test User,,,:/home/testuser:/bin/bash
要修改
testuser
的默认shell，你需要用
sudo vi /etc/passwd
打开文件，然后把最后一项
/bin/bash
改成你想要的，比如
/usr/sbin/nologin
或
/bin/rbash
。注意： 直接编辑系统文件风险很高，一个小错误就可能导致系统问题。除非你非常清楚自己在做什么，否则请始终使用
usermod
。
为什么我们需要限制用户登录Shell访问？
这听起来有点像“不信任”，但更多的是一种“最小权限原则”的实践。想象一下，如果一个服务账户（比如数据库账户、Web服务器账户）被攻破了，你肯定不希望攻击者能用它在系统里随便敲命令，对吧？限制了shell，就相当于给这个账户套了个紧箍咒，它只能在划定的圈子里跳舞，大大降低了潜在的破坏力。
具体来说，限制访问有几个明显的好处：
千帆AppBuilder
百度推出的一站式的AI原生应用开发资源和工具平台，致力于实现人人都能开发自己的AI原生应用。
158 查看详情 增强安全性： 这是最主要的理由。减少了攻击面。如果用户只能执行特定命令或根本无法交互式登录，即使账户密码泄露，攻击者也难以利用它进行更深层次的系统渗透或横向移动。满足合规性要求： 某些行业或企业的安全标准和合规性要求，可能明确规定需要对特定用户或服务账户进行严格的权限控制。简化操作与防止误操作： 对于那些只需要完成特定任务（比如SFTP文件传输）的用户，给他们一个全功能的bash环境，反而增加了误操作的风险。限制他们只能做必要的事情，能有效避免不必要的麻烦。提高系统稳定性： 限制了用户可以执行的操作，自然也就减少了他们意外破坏系统配置或服务的可能性。
有哪些实用的方法来限制用户的Shell？
具体怎么搞？方法还挺多的，每种都有它的适用场景和局限性。
/usr/sbin/nologin
或
/bin/false
：这是最简单粗暴的方法。把用户的shell设置为这两个程序中的一个，用户就无法通过SSH、终端等方式进行交互式登录了。
/usr/sbin/nologin
：当用户尝试登录时，会显示一条消息（通常是“This account is currently not available.”），然后立即退出。
/bin/false
：更直接，用户登录后什么也不显示，直接退出。这两种方法常用于服务账户，或者那些只通过特定协议（如SFTP）访问的用户。比如，你有一个SFTP用户，他只需要上传下载文件，完全不需要登录shell执行命令，那么设置
nologin
就非常合适。
rbash
(受限Bash)：
rbash
是bash的一个特殊版本，它在启动时就带有内置的限制。当用户使用
rbash
作为shell时，会遇到以下限制：
不能使用
cd
命令改变当前目录。不能修改
PATH
环境变量。不能指定包含斜杠
/
的命令名称（意味着只能执行
PATH
中定义的命令，且不能指定绝对路径）。不能重定向输出（
>
、
>>
、
<
）。不能执行
exec
命令来替换当前shell。不能加载shell函数。要使用
rbash
，你需要确保系统上有
/bin/rbash
这个可执行文件（通常是
/bin/bash
的一个硬链接或符号链接）。
sudo usermod -s /bin/rbash testuser
rbash
的限制看起来很严格，但它并不是绝对安全的，后面我们会提到它的局限性。
自定义Shell脚本：这是最灵活也最强大的方法。你可以编写一个shell脚本，并将其设置为用户的登录shell。这个脚本可以：
只允许执行预定义白名单中的命令。提供一个菜单，让用户选择执行哪些被允许的操作。记录用户尝试执行的所有命令。设置一个非常严格的
PATH
环境变量。例如，创建一个
~/restricted_shell.sh
：
#!/bin/bash# 这是一个非常简化的示例，实际使用需要更严谨的错误处理和命令解析
清除并设置一个非常有限的PATH
export PATH=”/usr/bin:/bin”
echo “欢迎使用受限环境！”echo “您只能执行 ‘ls’ 和 ‘pwd’ 命令。”
while true; doread -p “$ ” cmd argscase “$cmd” in”ls”)/bin/ls $args;;”pwd”)/bin/pwd;;”exit”)echo “再见！”exit 0;;*)echo “不允许执行 ‘$cmd’ 命令。”;;esacdone
然后给脚本执行权限，并设置为用户的shell：```bashchmod +x ~/restricted_shell.shsudo usermod -s /home/testuser/restricted_shell.sh testuser
这种方式需要你对shell脚本编程有一定了解，但它能提供最精细的控制。
Chroot Jail (Chroot 监狱)：虽然不是直接限制shell，但
chroot
可以创建一个隔离的文件系统环境。用户的shell和所有可执行程序都运行在这个“监狱”里，无法访问外部文件系统。这是一种非常强大的安全隔离机制，但设置和维护相对复杂，需要把所有依赖的库文件、命令等都复制到chroot环境中。常用于SFTP服务器或一些特定的应用程序环境。
限制Shell时常见的陷阱和注意事项
别以为设了个
rbash
就万事大吉了。这里面坑还不少，一不小心可能就白忙活了。
rbash
的逃逸方法：
rbash
虽然受限，但它并非“牢不可破”。很多看起来无害的命令，比如
vi
、
find
、
less
、
more
、
awk
、
perl
、
python
、
man
等，都可能成为用户逃逸限制的“后门”。这些程序通常允许用户执行外部命令或调用shell，如果它们在
rbash
用户的
PATH
中并且可以执行，用户就可能绕过
rbash
的限制。例如，如果用户能运行
vi
，他可能在
vi
里输入
:!/bin/bash
来启动一个新的、不受限的bash。所以，光改个shell可不够，还得从环境、权限、可执行程序等多方面一起考虑：
严格控制
PATH
： 确保
rbash
用户的
PATH
只包含极少数必要的、且经过安全审计的命令。移除危险程序： 最好把那些可能导致shell逃逸的程序从
rbash
用户的
PATH
中移除，或者直接从系统上删除（如果不需要）。限制写入权限： 确保用户不能修改自己的
~/.bashrc
、
~/.profile
等文件，因为这些文件在shell启动时会被执行，可能被用来注入恶意命令。
环境变量和别名：即使shell本身受限，如果用户可以修改环境变量（如
IFS
、
LD_PRELOAD
）或者设置危险的别名，也可能找到突破口。务必锁定用户的shell配置文件。
sudo
和
su
：Shell限制只针对用户的默认登录shell。如果用户有
sudo
权限，或者知道其他用户的密码可以
su
到其他账户，那么这些限制就形同虚设了。因此，权限管理是整体安全策略中不可或缺的一部分。
用户体验与沟通：过度严格的限制可能会让合法用户感到沮丧。在实施限制之前，与用户进行充分沟通，解释这样做的原因，并确保他们能够完成自己的工作，这一点非常重要。有时候，安全和便利性之间需要一个平衡点。
全面测试：任何安全措施在部署之前都必须经过彻底的测试。以被限制用户的身份登录，尝试所有可能的逃逸方法，确保限制如预期般工作，并且没有意外的副作用。
限制用户shell访问是一个多层次的安全实践，需要综合考虑技术细节、用户需求和潜在风险。没有一劳永逸的解决方案，持续的审计和更新是必不可少的。
以上就是如何设置用户登录shell 限制bash访问方法的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/939264.html
微信扫一扫 
支付宝扫一扫 
