| 文件 | /etc/sudoers、/etc/sudoers.d/* |
|---|---|
| 危险模式 | NOPASSWD、ALL=(ALL) ALL、免密脚本 |
核查
核查
visudo -c && grep -Rn 'NOPASSWD\|ALL=(ALL)' /etc/sudoers /etc/sudoers.d/ 2>/dev/nullvisudo -c 只做语法检查，不修改文件，可用于确认配置是否被破坏。
sudoers 授权变更核查
sudoers 与 /etc/sudoers.d/ 决定谁能提权，新增的 NOPASSWD 条目会让攻击者免口令获得 root，是提权持久化的常见落点。
易错点
- /etc/sudoers.d 按文件名顺序加载，末尾覆盖规则容易被忽略
- sudo 只有一条执行记录时不容易看出提权链路，要结合 auth 日志
数据来源与参考
- man 5 sudoers（sudo 官方文档）