防范sudo环境变量继承漏洞，核心是启用env_reset清空环境、显式删除ld_preload等危险变量、锁定secure_path并禁用path继承、限制lc_*等语言变量。
防范Sudo环境变量继承漏洞，核心是切断攻击者通过LD_PRELOAD、PATH、HISTFILE等变量劫持执行流或注入代码的路径。生产环境必须默认清空环境、显式放行可信变量、禁用高危变量，并强制使用可信命令路径。
启用并验证env_reset机制
env_reset是阻断环境变量继承的第一道防线，它会在sudo执行前清空用户原始环境。务必确认该选项已启用且未被覆盖：
- 运行sudo visudo，检查是否存在未注释的Defaults env_reset行
- 避免在/etc/sudoers.d/中存在Defaults !env_reset或Defaults env_keep = "..."全量覆盖式配置
- 测试是否生效：sudo env | grep -E "(LD_|HIST|PATH)"应不输出LD_PRELOAD、HISTFILE等敏感变量
主动删除危险变量而非仅依赖env_reset
某些变量（如LD_PRELOAD）即使在env_reset启用后仍可能被隐式继承。需显式清除：
- 在sudoers中添加：Defaults env_delete += "LD_PRELOAD LD_LIBRARY_PATH LD_AUDIT LD_DEBUG"
- 特别注意EDITOR和SUDO_EDIT：攻击者常通过sudo EDITOR=/tmp/shell.sh visudo触发提权，应一并加入env_delete
- 验证：sudo sh -c 'echo $LD_PRELOAD'返回必须为空
锁定secure_path并禁用用户PATH继承
PATH劫持是最常见的提权手法之一，攻击者在当前目录放置伪造ls、python等程序即可被sudo调用：
- 设置严格secure_path：Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
- 确保路径中不含/tmp、/dev/shm、~/bin等用户可写目录
- 禁止保留用户PATH：Defaults env_delete += "PATH"，避免任何场景下PATH被带入
- 特殊需求时改用显式传递：sudo env "PATH=/trusted/bin" /usr/local/bin/mytool
限制语言类变量，防止locale相关绕过
部分攻击利用LC_*变量加载恶意共享库或触发glibc行为异常，需精细控制：
- 只保留必要本地化变量：Defaults env_keep += "LANG LC_CTYPE LC_MESSAGES"
- 明确剔除高风险变量：Defaults env_delete += "LC_ALL"（LC_ALL会覆盖所有LC_*，不可控）
- 避免保留HOME：Defaults env_delete += "HOME"，防止~/.bashrc等文件被误加载
- 验证：sudo env | grep "^LC_"仅应显示允许保留的几个变量
