☰

防止 rssh 用户离开他们的 jail 目录

tag-icon • tag-icon unix sftp chroot jail
防止 rssh 用户离开他们的 jail 目录

我试图使用 rssh 将用户严格限制在他们的 /home/user/public_html 目录中。我让它工作了，一个帐户可以在测试服务器上成功地通过 SFTP 进入系统，但是一旦我以该帐户登录，我注意到我可以将目录更改为我想要的任何位置并查看文件的内容。我可能无法编辑或传输到这些目录，但我认为能够限制他们的全部目的就是为了防止这样的事情发生？

SSHD 设置了子系统 sftp internal-sftp RSSH 已将用户指定为只能使用 scp 和 sftp 用户帐户使用 /usr/bin/rssh 作为 shell 并使用 /home/user/public_html 用户的主目录是 root:user 所有者:group

不过，我注意到，他们唯一可以查看内容的文件和可以进入的目录都是所有人都可读的，这很有道理，但为什么他们完全可以离开他们的目录呢？请不要说我只是回答了我自己的问题。目的是找到防止这种情况发生的最佳实践解决方案。

期望的结果是，他们无法通过 cd 进入任何不属于他们的目录。

我这里遗漏了什么吗？

这是 rssh.conf 文件的内容；

logfacility = LOG_USER

allowscp
allowsftp
#allowcvs
#allowrdist
#allowrsync
#allowsvnserve

# set the default umask
umask = 022

user=wwwtest1:077:110000:/home/wwwtest1/public_html

这是 sshd_config 文件的内容；

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 768

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile     %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication no

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

#Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp internal-sftp

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes

答案1

如果您只需要 sftp，则无需担心 rssh 和创建 jail。如果您使用内部 sftp 服务器，则 openssh-server 的最新版本可以为您 chroot sftp 用户。例如，如果您想将某个组的所有用户 chroot 到他们的主目录，您可以将其添加到 sshd_config：

Match Group sftp-only
    ChrootDirectory %h
    ForceCommand internal-sftp
    AllowTcpForwarding no

答案2

设置 rssh 并非易事。基本上，您必须构建一个 chroot/jail，其中包含要在 jail 内运行的二进制文件/库/配置。

在 Debian 系统中，有几个工具可以执行此操作，例如入狱，或者 rssh docs 目录中包含的脚本/usr/share/doc/rssh/examples/mkchroot.sh。

如果你还没有，你应该查看与 rssh 相关的所有文档/usr/share/doc/rssh/，以及发送和rssh配置文件 您应该特别查看的一个文档是 CHROOT 文件，以查看其运行情况zless /usr/share/doc/rssh/CHROOT.gz。

如果您试图限制用户，他们真的需要 shell 访问权限吗？或者完全限制他们使用 sftp 是一个有效的选择吗？如果他们只需要传输文件，请查看此 serverfault 搜索的结果。(ForceCommand 内部 sftp）

答案3

听起来您已经正确设置了它，除了rssh.conf文件中的用户定义之外。它应该设置为：

user=wwwtest1:077:000110:/home/wwwtest1/public_html

为了授予对 SCP 或 SFTP 的访问权限，而不是：

user=wwwtest1:077:110000:/home/wwwtest1/public_html

它只允许访问 CVS、Rsync 和 Rdist。

答案4

尝试scponly。这是一个特殊的 shell，只启用 scp 而不支持 ssh，并且有一个 chrooted 版本scpponlyc也。

相关内容