Функция в bash для обработки выполнения внешних команд

$0

Аналогично argv[0] в C.

$0

и как мне сделать, чтобы заместо любой набранной внешней команды выполнялся мой обработчик?

А, я не понял, а теперь понял. Тебе нужно провести MITM-атаку в шелле? Проще всего пропатчить сам шелл, наверное.

https://unix.stackexchange.com/questions/555622/prefix-all-commands-in-shell

я хочу сделать обработчик набранных команд, чтобы при вызове любых внешних программ выполнялся запуск этих команд от другого пользователя (кроме чёрного списка).

я всю жизнь, что пользуюсь линуксом, сижу под рутом. уже сделал функцию, чтобы от рута при вызове определённых команд, таких как vp (скрипт для mpv для видео), ap (скрипт для mpv для аудио), ly (скрипт для lynx), rtorrent (скрипт для rtorrent), y (скрипт для yt-dlp), ff (скрипт для ffmpeg), fir (скрипт для firefox), wg (скрипт для wget), выполнялись одноимённые функции, делающие 'su user ...'

Пришла мысль, что хорошо бы заместо белого списка сделать чёрный, т.е. сделать чтобы под рутом вообще всё запускалось от другого пользователя, кроме определённых команд (mount, ls, chmod, chown, ...).

Т.е. нужно перехватывать запускаемые в интерактивном шелле внешние программы и заместо них выполнять определённую функцию.

сижу под рутом.

хорошо бы заместо белого списка сделать чёрный, т.е. сделать чтобы под рутом вообще всё запускалось от другого пользователя, кроме определённых команд (mount, ls, chmod, chown, …).

Тебе нужно наоборот: сидеть под пользователем, и сделать белый список для рутовых команд.

Вот как у меня:

$ cat /etc/sudoers.d/util-linux
%users ALL=NOPASSWD: /bin/mount *, /bin/umount *

$ cat /etc/bash/bashrc.d/util-linux_aliases.sh
if [[ ${EUID} == 0 ]] ; then
        true
else
        alias mount="sudo /bin/mount"
        alias umount="sudo /bin/umount"
fi

# Result

$ alias
alias mount='sudo /bin/mount'
alias umount='sudo /bin/umount'
alias poweroff='sudo /sbin/poweroff'
alias reboot='sudo /sbin/reboot'
alias shutdown='sudo /sbin/shutdown'
...

%users ALL=NOPASSWD: /bin/mount *, /bin/umount *

почему бы и нет. зато не под рутом :)

Напиши свой маленький REPL и запускай его как оболочку, без всех фичей шелла конечно, но задачу решать именно эту будет на ура.

В ином случае патчить sh/bash/dash/няш/мяш/etc

Как альтернатива, можно найти всё исполняемое в системе и всё встраиваемое и вписать в .bashrc всё это в виде функций.

ls()
{
  echo "Пользователь запустил 'ls' с аргументами $@"
  command ls $@
}

alias ls='ls --color=auto'

dron@gnu:~$ ls
Пользователь запустил 'ls' с аргументами --color=auto
 backup-info.log   move.diff         Видео         Музыка
 car-demo          req.lua           Документы     Общедоступные
 cc.lua            SOMAModLauncher   Загрузки      Рабочий-стол

что-то типа такого наверно нужно:

trap 'preexec' DEBUG

preexec(){
echo "$BASH_COMMAND"
}

а лучше как сказали выше сидеть под юзером и «белый список» сделать через sudoers или пароль сделать пустым

Тебе нужно наоборот: сидеть под пользователем, и сделать белый список для рутовых команд.
sudo

нет. в моей системе нет такого говна как sudo, systemd, polkit, consolekit, PAM.
в моей системе ни один пользователь вообще не может поднять привелегии впринципе. у рута пароля вообще нет, просто не нужен.

всю жизнь, что пользуюсь линуксом, сижу под рутом

Для таких уж сто лет как придумали асистированную эвтаназию. И биореактор.

trap 'preexec' DEBUG

но оно же после preexec всё-равно команду выполняет.

похоже на то что нужно.

[ -n «$COMP_LINE» ] && return

что такое $COMP_LINE ?

if [ «shopt -u extdebug» == «$this_command» ]; then

а здесь что проверяется?

есть пару проблем:

не работают аргументы команды с пробелами. наверное, нужно как-то через массив.

если у меня в profile задана PROMPT_COMMAND, то echo «$this_command» выполняется 3 раза.

$COMP_LINE это чтоб не срабатывало на автодополнениях

if [ «shopt -u extdebug» == «$this_command» ]; then чтоб не получилась форк-бомба

есть пару проблем:

давай дальше сам

в моей системе нет такого говна как sudo, systemd, polkit, consolekit, PAM.

Остальное, конечно, переусложнено, но вот чем тебе sudo не угодил, я не понимаю. Точнее, наверное стоит начать с того, чем тебе не угодило наличие обычного пользователя в добавление к руту.

чем тебе sudo не угодил

потенциальная дыра. не раз уже в нём уязвимости находили. тем более зачем оно мне, если я настроил систему без него, и моя система без него безопаснее, чем с ним?

чем тебе не угодило наличие обычного пользователя в добавление к руту

у меня есть обычный пользователь. иксы запускаются от обычного пользователя. под рутом я только в консоли.

В иксах эмулятор терминала запретил кто-то? Запускай в нём что надо от пользователя.

Тебя пугают потенциальные дыры в sudo, поэтому ты сидишь под рутом? 😂

Вы только гляньте на этого мудака. Давненько не встречал таких экземпляров.

В иксах эмулятор терминала запретил кто-то? Запускай в нём что надо от пользователя.

в иксах эмулятор терминала и запущен. в нём под рутом всегда сижу. открывать новый экземпляр/вкладку лишнее действме. зачем, если уже есть вклатка с рутом? тем более у меня в st, который стартует при загрузке системы сделано, что при открытии новой вкладки в screen автологин рута. хотел сначала сделать suid-bit на программы, которые нужно запускать от непривилегированного пользователя, но к великому сожалению, на рута suid-bit не действует. патчить ядро?

т.е. опасаться потенциальных дыр, которые могут быть проэксплуатированы от имени обычного пользователя и сидеть в терминале под рутом тому, кто единственный кто пользуется ПК это одно и то же? мудак это ты.

я не запускаю от рута иксы, браузер, yt-dlp, rtorrent, медиаплеер. рут нужен для управления системой (запуск системы инициализации, mount, редактирование системных файлов, запуск демонов, установка/удаление программ). в идеале вообще все демоны должны работать не от рута, а от отдельных пользователей (ntpd, dhcpd, wpa_supplicant, udevd, все). когда-нибудь так сделаю у себя.

а под рутом в терминале сижу просто потому что удобно, нет никаких ограничений. всё-равно всегда нужно править системные файлы, обновлять ПО, монтировать и т.д., зачем ограничивать себя какими-то костылями вроде sudo? это потенциальная дыра, плюс постоянно писать в консоли лишнее слово, не говоря уже про пароль. в основном эмуляторе терминала у меня автологин рута для удобства. когда надо делаю su - user. все пользователи кроме рута не могут менять пользователя, эскалация прав доступа невозможна.

вообще, может, есть смысл сидеть не под рутом, а под каким-нибудь привилегированным пользователем, которому разрешено обновлять ПО, монтировать, запускать демоны, редактировать системные файлы, но будет ли такой пользователь отличаться от рута?

у рута пароля вообще нет, просто не нужен.

хотя, может, и поставлю пароль. просто на всякий случай. только я его знать не буду и он нигде не будет записан )

в моей системе нет такого говна как sudo, systemd, polkit, consolekit ни один пользователь вообще не может поднять привелегии впринципе

Привилегии поднимаются с помощью suid флага. Если у тебя работает su, значит диски не примонтированы с опцией nosuid, и привилегии в принципе поднимаются. Ты можешь и руками расставить suid для нужного набора команд, они всегда от рута будут стрелять, какой бы пользователь их не запустил.

su и sudo работают с помощью этого же suid флага, запускаются сразу как рут, только первый спрашивает пароль рута и запускает что сказали (что угодно), а второй ходит в конфиг, и если эту конкретную команду согласно конфигу можно запустить этому пользователю, спрашивает его личный пароль, или не спрашивает если конфиг разрешил.

Иными словами su + беспарольный рут это полное отсутствие защиты. Любой процесс от любого пользователя может запустить от рута что угодно. Использование sudo на три головы выше и правильнее для твоего конкретного случая, это более умный su с настройками.