sudoers 与 NOPASSWD 提权面核查

sudo 的 NOPASSWD 条目、通配符命令与可写脚本路径，会扩大从普通账号到 root 的路径；sudo -l 可从当前账号视角列出全部被授权命令。

授权面核查

sudo -l
sudo grep -RE 'NOPASSWD|ALL' /etc/sudoers /etc/sudoers.d/ 2>/dev/null
visudo -c        # 修改前后均做语法校验，避免 sudo 整体不可用

1. 命令行含通配符（如 /usr/bin/vi *）：可借编辑器逃逸执行命令
2. 授权脚本位于用户可写目录：替换脚本内容即可提权
3. 处置：改为具体命令+参数白名单，脚本目录权限收紧为 root 只读
4. 审计：sudo 日志接入集中日志，对高危命令单独告警

visudo 的语法校验是硬性动作：sudoers 语法错误会导致所有 sudo 操作失败，可能直接锁死运维。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌