suid

echo '#!/usr/bin/env sh

Намекать дальше? Что вызывается при:

./test.sh

Ок. Ну удалил я эту строчку, а результат тот же.

Вот сейчас я узнал, что по умолчанию для скриптов setuid не работает. Первые результаты в Гугле предлагают запустить скрипт не из шелла, а из сишной программы, но этот способ мне не подходит^Wне нравиться.

Гугли дальше, узнаешь, почему suid не работает на скриптах.

почему suid не работает на скриптах.

Может не почему, а как это реализовано?
Не работает он из вопросов безопасности.

Конкретно в твоём случае:

echo -e "#!/bin/sh\nrm -rf /*" > pacman
chmod +x pacman
PATH=.:$PATH ./test.sh

И нет, ты не можешь прикрыть все подобные дыры даже в теории.

У тебя выбор между враппером на нормальном языке и демоном, слушающим что-то и повышающим привилегии. Первое проще, второе энтерпрайзнее (можно назать updatekit и протолкнуть в fd.o).

Это мне понятно.

Единое решение, которое я вижу — создать бинарную программу, которая бы запускала скрипт и ей уже дать suid. Или есть ещё?

Понятно. Спасибо.

Вызывать явно sudo же.

по умолчанию для скриптов setuid не работает

Слишком туманно намекнул. Хотел сказать, что запуск скритов работает по-другому: вызывается то, что указано в shebang, то ./test.sh лишь сокращение для /bin/sh test.sh (и сам файл - лишь вход для /bin/sh).

Что тогда должно быть в sudoers?

Например:

[code=bash] Cmnd_Alias UPDATE = /usr/bin/pacman, /usr/bin/pacdiffviewer, /usr/bin/abs user ALL = (ALL) NOPASSWD: UPDATE [code]

Но по сути мы не заставим исполнить сценарий с учетом suid, а просто разрешим запускать его от имени рута с помощью судо. Это совсем не то, что я хотел.

То есть запись вида ./test.sh запускает файл, который запускает shebang уже с pid'ом владельца файла, или она вытягивает shebang, запускает его с правами текущего пользователя, а shebang уже читает и интерпретирует файл игнорируя suid?

Может быть потому, что это не матан?

Потому что скрипт запускается башем, а он не суидный.

Второе (права не изменяются, поскольку на /bin/sh suid нет, по-крайней мере не должно быть).

Вопрос - зачем вы тачаете файл, если следующей строкой он все равно создастся?

Для очевидности.

Для очевидности.

для нубов всё равно не очевидно; остальным режет глаз

Ну ладно-ладно, я завтыкал.