无法使用 Synology NAS 上的 /bin/bash shell 通过 SSH 登录任何帐户

Question 1

供将来参考：经过大量时间研究和调试这个问题后，我终于发现了根本原因。

Synology 使用的 OpenSSH 版本是高度定制的版本，它不是行为与原始代码类似。它有很多技巧和临时定制 - 例如，在接受登录之前进行额外检查以查看 Web 界面中是否启用了 SSH 服务，或从 rsync 命令中删除特殊字符（;、|、'），或者...等待它...避免普通用户使用除 /bin/sh 或 /bin/ash 之外的 shell。是的，在二进制文件中进行了硬编码。

以下是 Synology 在其源代码中发布的 OpenSSH 5.8p1 中的一段代码（DSM4.1 - 分支 2636），文件session.c：

void do_child(Session *s, const char *command)
{
...

#ifdef MY_ABC_HERE
   char szValue[8];
   int RunSSH = 0;
   SSH_CMD SSHCmd = REQ_UNKNOWN;

   if (1 == GetKeyValue("/etc/synoinfo.conf", "runssh", szValue, sizeof(szValue))) {
           if (strcasecmp(szValue, "yes") == 0) {
                   RunSSH = 1;
           }
   }

   if (IsSFTPReq(command)){
           SSHCmd = REQ_SFTP;
   } else if (IsRsyncReq(command)){
           SSHCmd = REQ_RSYNC;
   } else if (IsTimebkpRequest(command)){
           SSHCmd = REQ_TIMEBKP;
   } else if (RunSSH && IsAllowShell(pw)){
           SSHCmd = REQ_SHELL;
   } else {
           goto Err;
   }

   if (REQ_RSYNC == SSHCmd) {
           pw = SYNOChgValForRsync(pw);
   }
   if (!SSHCanLogin(SSHCmd, pw)) {
           goto Err;
   }
   goto Pass;

 Err:
   fprintf(stderr, "Permission denied, please try again.\n");
   exit(1);

 Pass:
   #endif /* MY_ABC_HERE */
...
}

你可以想象，IsAllowShell(pw)罪魁祸首是：

static int IsAllowShell(const struct passwd *pw)
{
     struct passwd *pUnPrivilege = NULL;
     char *szUserName = NULL;
     if (!pw || !pw->pw_name) {
             return 0;
     }
     szUserName = pw->pw_name;
     if(!strcmp(szUserName, "root") || !strcmp(szUserName, "admin")){
             return 1;
     }
     if (NULL != (pUnPrivilege = getpwnam(szUserName))){
             if (!strcmp(pUnPrivilege->pw_shell, "/bin/sh") || 
                     !strcmp(pUnPrivilege->pw_shell, "/bin/ash")) {
                     return 1;
             }
     }
     return 0;
}

难怪我遇到了如此奇怪的行为。只有 shell /bin/sh 和 /bin/ash 会被接受，但用户不是根或者行政。无论 uid 如何（我也测试过制作乔伊瑟uid=0，并且它不起作用。现在原因很明显了）。

一旦确定了原因，修复就很容易了：只需删除对允许Shell()。我花了一段时间才获得正确的配置来交叉编译 openssh 及其所有依赖项，但最终效果很好。

如果有人有兴趣做同样的事情（或尝试为 Synology 交叉编译其他内核模块或二进制文件），这是我的版本Makefile. 测试用OpenSSH-5.8p1 源，并且与运行 Marvell Kirkwood mv6281/mv6282 CPU 的型号（如 DS212+）配合良好。我使用了运行 Ubuntu 12.10 x64 的主机。

底线：糟糕的实践，糟糕的代码，以及一个很好的例子不是要做。我理解 OEM 有时候需要开发特殊定制，但他们应该三思而后行，不要太深入。这不仅会导致代码无法维护，还会在日后产生各种无法预见的问题。幸好 GPL 的存在让他们保持诚实和开放。

Answer

供将来参考：经过大量时间研究和调试这个问题后，我终于发现了根本原因。

Synology 使用的 OpenSSH 版本是高度定制的版本，它不是行为与原始代码类似。它有很多技巧和临时定制 - 例如，在接受登录之前进行额外检查以查看 Web 界面中是否启用了 SSH 服务，或从 rsync 命令中删除特殊字符（;、|、'），或者...等待它...避免普通用户使用除 /bin/sh 或 /bin/ash 之外的 shell。是的，在二进制文件中进行了硬编码。

以下是 Synology 在其源代码中发布的 OpenSSH 5.8p1 中的一段代码（DSM4.1 - 分支 2636），文件session.c：

void do_child(Session *s, const char *command)
{
...

#ifdef MY_ABC_HERE
   char szValue[8];
   int RunSSH = 0;
   SSH_CMD SSHCmd = REQ_UNKNOWN;

   if (1 == GetKeyValue("/etc/synoinfo.conf", "runssh", szValue, sizeof(szValue))) {
           if (strcasecmp(szValue, "yes") == 0) {
                   RunSSH = 1;
           }
   }

   if (IsSFTPReq(command)){
           SSHCmd = REQ_SFTP;
   } else if (IsRsyncReq(command)){
           SSHCmd = REQ_RSYNC;
   } else if (IsTimebkpRequest(command)){
           SSHCmd = REQ_TIMEBKP;
   } else if (RunSSH && IsAllowShell(pw)){
           SSHCmd = REQ_SHELL;
   } else {
           goto Err;
   }

   if (REQ_RSYNC == SSHCmd) {
           pw = SYNOChgValForRsync(pw);
   }
   if (!SSHCanLogin(SSHCmd, pw)) {
           goto Err;
   }
   goto Pass;

 Err:
   fprintf(stderr, "Permission denied, please try again.\n");
   exit(1);

 Pass:
   #endif /* MY_ABC_HERE */
...
}

你可以想象，IsAllowShell(pw)罪魁祸首是：

static int IsAllowShell(const struct passwd *pw)
{
     struct passwd *pUnPrivilege = NULL;
     char *szUserName = NULL;
     if (!pw || !pw->pw_name) {
             return 0;
     }
     szUserName = pw->pw_name;
     if(!strcmp(szUserName, "root") || !strcmp(szUserName, "admin")){
             return 1;
     }
     if (NULL != (pUnPrivilege = getpwnam(szUserName))){
             if (!strcmp(pUnPrivilege->pw_shell, "/bin/sh") || 
                     !strcmp(pUnPrivilege->pw_shell, "/bin/ash")) {
                     return 1;
             }
     }
     return 0;
}

难怪我遇到了如此奇怪的行为。只有 shell /bin/sh 和 /bin/ash 会被接受，但用户不是根或者行政。无论 uid 如何（我也测试过制作乔伊瑟uid=0，并且它不起作用。现在原因很明显了）。

一旦确定了原因，修复就很容易了：只需删除对允许Shell()。我花了一段时间才获得正确的配置来交叉编译 openssh 及其所有依赖项，但最终效果很好。

如果有人有兴趣做同样的事情（或尝试为 Synology 交叉编译其他内核模块或二进制文件），这是我的版本Makefile. 测试用OpenSSH-5.8p1 源，并且与运行 Marvell Kirkwood mv6281/mv6282 CPU 的型号（如 DS212+）配合良好。我使用了运行 Ubuntu 12.10 x64 的主机。

底线：糟糕的实践，糟糕的代码，以及一个很好的例子不是要做。我理解 OEM 有时候需要开发特殊定制，但他们应该三思而后行，不要太深入。这不仅会导致代码无法维护，还会在日后产生各种无法预见的问题。幸好 GPL 的存在让他们保持诚实和开放。

Question 2

为了解决这个问题，由于我通过 ipkg 安装了 bash，并且不能确定 /opt 是否始终可用（是否正确安装），所以我只需将以下内容放入我的 .profile 中

[ -x /opt/bin/bash ] && exec /opt/bin/bash

而 /etc/passwd 包含 /bin/ash 作为 shell。

Answer

为了解决这个问题，由于我通过 ipkg 安装了 bash，并且不能确定 /opt 是否始终可用（是否正确安装），所以我只需将以下内容放入我的 .profile 中

[ -x /opt/bin/bash ] && exec /opt/bin/bash

而 /etc/passwd 包含 /bin/ash 作为 shell。

Question 3

让我们看看。它被隔离到单个 shell，而且您正在查看 sshd 调试输出，因此它不是 ~joeuser/.ssh 的全局可写权限问题。这是大多数人都遇到的问题。

您是否尝试过创建一个额外的普通用户（即非 joeuser）以确保它遇到同样的问题？这样可以将问题隔离到用户配置与系统范围配置之间。

如果这是系统范围内的问题，那么接下来我要查看的是每个人都使用的共享配置文件，例如 /etc/profile。如果用户名是 root，则可能有一个条件块不会触发。（不是有效用户 ID，因为您已经对此进行了测试）

如果还没有，请检查 dmesg 中的分段错误报告，以防发生更奇怪的事情。

Answer

让我们看看。它被隔离到单个 shell，而且您正在查看 sshd 调试输出，因此它不是 ~joeuser/.ssh 的全局可写权限问题。这是大多数人都遇到的问题。

您是否尝试过创建一个额外的普通用户（即非 joeuser）以确保它遇到同样的问题？这样可以将问题隔离到用户配置与系统范围配置之间。

如果这是系统范围内的问题，那么接下来我要查看的是每个人都使用的共享配置文件，例如 /etc/profile。如果用户名是 root，则可能有一个条件块不会触发。（不是有效用户 ID，因为您已经对此进行了测试）

如果还没有，请检查 dmesg 中的分段错误报告，以防发生更奇怪的事情。

Question 4

他们修改的 openssh 版本寻找/bin/shshell ？

那么简单的解决方案是：

ln -fs /bin/bash /bin/sh

Answer

他们修改的 openssh 版本寻找/bin/shshell ？

那么简单的解决方案是：

ln -fs /bin/bash /bin/sh

无法使用 Synology NAS 上的 /bin/bash shell 通过 SSH 登录任何帐户

答案1

答案2

答案3

答案4

相关内容