Uma linha errada no sudoers e virei root

Pedro Foggiato — Thu, 17 Sep 2026 05:44:14 +0000

Talvez você já tenha escrito uma linha no sudoers que libera root pra
qualquer usuário talvez nem saiba.

Nesse tempo que estou no básico de cyber/DevSecOps, gravei um laboratório bem simples, mas real mostrando exatamente isso: como uma regra de sudo mal configurada abre uma porta que ninguém percebe.

O usuário comum (ou não, rs)

Começa simples: um usuário sem privilégio nenhum. Sem acesso
administrativo, sem superpoder,só mais uma conta no sistema.

A regra que parece inocente (lobo na pele de cordeiro?)

Alguém configurou uma exceção no sudoers: esse usuário pode rodar um programa específico como root, sem digitar senha (NOPASSWD). Parece razoável — lobo na pele de cordeiro. "Só acessa esse programa."

O momento em que vira root

Só que a pergunta certa nunca é "o que esse programa deveria fazer".
É "o que esse programa consegue fazer" rodando como root. E a
resposta, nesse laboratório, é bem mais do que qualquer um imaginaria.

Por que isso importa

Permissão aparente não é capacidade real, ou seja só ler e sentir que deu certo... hmm, deixe explicar melhor: Configuração que parece
segura não é segurança de verdade. Least privilege só funciona quando
alguém TESTA de verdade, não quando alguém assume que "está tranquilo" com base em intuição (ou energia espiritual).

O laboratório completo

No vídeo eu mostro o ciclo inteiro: a descoberta, a exploração, a
correção via visudo, e o reteste confirmando que a porta fechou.

Mais laboratórios e anotações: pedrofoggiato.com
GitHub: github.com/pedrofoggiato

Já viu uma configuração parecida em algum lugar e pensou "isso aqui esta tranquilo"? Comenta, eu certamente vou encontrar mais brechas dessas...

linux #cybersecurity #devsecops #sudo

De Full Stack pra DevSecOps: documentando a virada em público

Pedro Foggiato — Tue, 15 Sep 2026 18:27:52 +0000

Salve, eu sou o Pedro Foggiato. Vim do desenvolvimento Full Stack e agora estou migrando pra DevSecOps.

Já tenho experiência construindo produto (fundei a Uzzo Solutions), então não é como se eu estivesse começando do zero, só troquei de foco. Só que dessa vez o que me interessa não é mais entregar mais uma tela. É entender por que um sistema quebra, como uma permissão mal configurada vira porta aberta, e como observar de verdade o que acontece em produção.

Tô montando essa base aos poucos: Linux, redes, cloud, IAM, AWS, segurança defensiva, entender como um ataque funciona na prática.

Como eu aprendo, na prática

entender → testar → quebrar → descobrir o porquê → refazer certo → documentar

Teoria sozinha não fica muito comigo. Preciso testar pra entender de verdade, e erro bastante ainda. Tá tudo bem.

Um dos projetos que mais me ensinou nesse processo foi o Jarvis Bridge: comecei tentando montar um assistente de voz local e fui mexendo com automação, integração de IA, comportamento de sistema, um tanto de jeito diferente de dar errado no caminho. Longe de ser um JARVIS de verdade, mas rendeu bastante aprendizado.

Documento tudo isso, os labs, scripts e testes, mais por costume do que por plano, em pedrofoggiato.com e no GitHub. Se você também tá numa migração parecida, ou já trabalha com DevSecOps, bora trocar ideia nos comentários.

DEV Community: Pedro Foggiato