Отлов сессии su/sudo

С GNU sed можно использовать код возврата:

 ps -o comm=$$ | sed -nr '/^su(do)?/q1'

grep sudo:session /var/log/auth.log? Правда это так с pam работает.

Переменные SUDO_*

Это если из того же шелла. Ну или в /proc/<pid>/environ смотреть.

Читаем ОП:

текущая интерактивная сессия

сравнивать `who am i| cut -d\ -f1` с содержимым $USER или id -ni
можно в /root/.bash_profile

Всем спасибо. :)

Очень неплохо. Но я всё-таки решил воспользоваться вариантом с ps. Оказалась есть забавная ситуация, root может тоже набрать sudo -i и фокус не удастся. :)

Не то, чтобы это было фатально, но уж хотелось аккуратно всё сделать.

Руту можно запретить делать sudo :-)

Курить опцию !root_sudo для sudoers

А для su? ;-)

Можно добавить отладочный код с записью в журнал в исходный код su.

правилом на pam вполне реально разрулить - делать reject если uid = 0

Так же не только root может сделать по идее.

Случай когда есть несколько логинов с uid=0 не рассматриваем(а такое возможно), окей? :-)

Я имел ввиду что «в себя» прыгнуть может не только рут. (sudo -u someuser -i).

В принципе совсем надёжный способ - это парсить audit.log, потому что там прямо написано кто и как вошёл и pid процесса указан. Но этот лог на чтение доступен только root. :)

А, тебе запретить смену uid через sudo на свой собственный? Ну тут я хз

Мне не запретить, мне чтобы код это отлавливал и не отрабатывал. Но это уже было решено способом @evilface.