Forum Debian Users Gang

lun · 2014-02-12 09:34:14

Witam,
Muszę przygotować serwer pod sftp, więc postanowiłem go zabezpieczyć chrootem. Niestety borykam się z problemem który wynika albo z mojego błędu albo niewiedzy i niezrozumienia tematu.

W konfiguracji ssh mam wpisy:

Kod:

Subsystem sftp internal-sftp

Match User test
        ChrootDirectory /var/chrooted/test
        ForceCommand internal-sftp
        AllowTcpForwarding no
        X11Forwarding no

Użytkownik wygląda tak:

Kod:

test:x:505:505::/home/test:/sbin/nologin

Uprawnienia na chrootowanym folderze wyglądają tak:

Kod:

ls-l /var/chrooted/
drwxr-x---. 3 root root 4096 Feb 11 12:58 test

Cała, prowadząca do niego ścieżka, jest własnością roota.

Zgodnie z poradnikiem: https://wiki.archlinux.org/index.php/SFTP-chroot, aby nie pozwolić na eskalację uprawnień, robię montowanie katalogu w którym użytkownik ma prawa zapisu (/home/test) do katalogu chrootowanego (/var/chrooted/test)

Kod:

mount --bind /var/chrooted/test/ /home/test/

I do tej pory wszystko zgadza się z wszelkimi poradnikami jakie znalazłem na sieci.
Mój problem pojawia się w momencie w którym próbuje cokolwiek zrobić na zasobie do którego się podłączam.

Kod:

ls -ld /var/chrooted/test/
drwxr-x---. 3 root root 4096 Feb 11 12:58 /var/chrooted/test/

ls -l /var/chrooted/test/total 4
drwxrwxrwx. 2 test test 4096 Feb 11 12:58 folder1

Kod:

sftp  test@ip
test@ip's password:
sftp> ls
Couldn't get handle: Permission denied
sftp> cd folder1
Couldn't canonicalise: Permission denied

Problemem są uprawnienia na folderze, ale właśnie tego nie potrafię rozgryźć.
Być może ktoś z kolegów/koleżanek musiał się zetknąć z SFTP i Chrootem i potrafi pomóc?

Jacekalex · 2014-02-12 09:46:58

Dawno się nie bawiłem chrootowaniem sftp, ale zobacz, czy coś takiego ruszy:

Kod:

Subsystem       sftp    internal-sftp

#........

Match group sftpgroup
    ChrootDirectory /home/%u
    GatewayPorts no
    X11Forwarding no
    ForceCommand internal-sftp
    AllowTcpForwarding no
    PermitTunnel no
    AuthorizedKeysFile    /var/keys/%u/authorized_keys

Kiedyś to nawet działało u mnie w mniej-więcej takiej formie, i dotyczyło pacjentów dodanych do grupy systemowej sftpgroup.

Poza tym zobacz, czy przypadkiem w Proftpd nie pójdzie łatwiej, serwery ftp nie są tak bezpieczne, ale łatwiej pakują pacjenta w chroocie, natomiast Proftpd na 100% obsługuje protokół sftp.

SSH w domyślnej wersji [b]zamknie pacjenta w chroocie tylko wtedy, jak chrootowany folder jest własnością roota[/b] i ma odpowiednie uprawnienia.
To jest spore ograniczenie, w powyższym przykładzie konfigu folder domowy pacjenci mieli w scieżce /home/pacjent/pacjent,
i uprawnienia wygladały tak:

/home/pacjent - root:root - chmod 700
/home/pacjet/pacjent - pacjent:users chmod 700.

Żeby mu takie ograniczenie wybić ze łba, trzeba zajrzeć do kodu, zmienić jedna funkcję i skompilować Openssh we własnym zakresie.

A tu przykład chroota z powłoką shell:

Foldery:

Kod:

ls -ld /home/bydle
drwxr-xr-x 11 root root 4096 2012-07-27  /home/bydle

ls -l /home/bydle
razem 36
drwxr-xr-x 2 root  root  4096 2012-07-27  bin
drwx------ 3 bydle bydle 4096 2012-07-27  bydle
drwxr-xr-x 3 root  root  4096 2012-07-27  dev
drwxr-xr-x 7 root  root  4096 2012-07-27  etc
drwxr-xr-x 2 root  root  4096 2012-07-27  home
lrwxrwxrwx 1 root  root     5 2012-07-26  lib -> lib64
drwxr-xr-x 3 root  root  4096 2012-07-27  lib64
drwxr-x--- 2 root  root  4096 2012-07-27  sbin
drwxrwxrwt 3 root  root  4096 2012-07-27  tmp
drwxr-xr-x 5 root  root  4096 2012-07-27  usr

Konfig ssh:

Kod:

Match group chrootssh
    ChrootDirectory /home/%u
    GatewayPorts no
    X11Forwarding no
    AllowTcpForwarding no

EDIT:
Te moje kombinacje są z przed kilku lat (ale działa):

Kod:

~>  ssh  bydle@localhost
bydle@localhost's password: 
Last login: Wed Feb 12 10:33:34 2014 from localhost
-bash: /dev/null: Permission denied
(Chroot) 10:34:27  localhost : /home/bydle/bydle 
bydle $

Tylko musiałem dorobić takie dowiązanie, bo nie umiał trafić do folderu domowego:

Kod:

ls -l /home/bydle/home/bydle/bydle
lrwxrwxrwx 1 root root 11 02-12 10:30 /home/bydle/home/bydle/bydle -> ../../bydle

Jeszcze coś miauczy o /dev/null - partycja /home zamontowana z opcją nodev. ;)

To wygląda trochę lepiej:
http://allanfeid.com/content/creating-chroot-jail-ssh-access

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2014-02-12 10:44:09)

lun · 2014-02-12 14:10:03

Witam i dziękuje za odpowiedź :-)

Moim problemem jest to, że jedyne z czego mogę skorzystać do czyste ssh (SFTP).

Są trzy rzeczy których nie rozumiem w tej konfiguracji.
Pierwszą jest montowanie z bind'em folderów. Skoro wystarczy zagnieździć folder z uprawnieniami dla użytkownika

/home/pacjent - root:root - chmod 700
/home/pacjent/pacjent - pacjent:users chmod 700[/quote]
to w jaki sposób ma to ograniczyć go przed eskalacją uprawnień?

Druga rzecz, jest taka: po co montować folder w folderze skoro właśnie taką sztuczką jak powyżej załatwiamy kwestię uprawnień?

Natomiast trzecia to tak naprawdę zrozumienie:
- w konfiguracji masz ustawiony [b]ChrootDirectory /home/%u[/b]
- użytkownik pacjent wpada zatem do tego folderu [b]ChrootDirectory /home/pacjent[/b], do którego nie ma uprawnień
- skoro nie ma uprawnień, podobnie jak w moim przypadku nie będzie mógł zrobić ani ls, ani cd do folderu [b]/home/pacjent/pacjent[/b] gdyż dostanie [b]Couldn't canonicalise: Permission denied[/b] - czy jednak u ciebie nie było z tym problemu?
- jak powinien wyglądać kierunek montowania?
- czy jest jakiś związek z katalogiem domowym użytkownika a montowanym folderem?

Ostatnio edytowany przez lun (2014-02-12 14:56:40)

Pozdrawiam,
LuN

Time (s)	Query
0.00012	SET CHARSET latin2
0.00004	SET NAMES latin2
0.00091	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.140.186.189' WHERE u.id=1
0.00080	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.140.186.189', 1732852084)
0.00052	SELECT * FROM punbb_online WHERE logged<1732851784
0.00059	SELECT topic_id FROM punbb_posts WHERE id=256372
0.00005	SELECT id FROM punbb_posts WHERE topic_id=25219 ORDER BY posted
0.00061	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=25219 AND t.moved_to IS NULL
0.00005	SELECT search_for, replace_with FROM punbb_censoring
0.00206	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=25219 ORDER BY p.id LIMIT 0,25
0.00145	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=25219
Total query time: 0.0072 s

Forum Debian Users Gang

Ogłoszenie

#1 2014-02-12 09:34:14

lun - Nowy użytkownik

Problem z SFTP i chrootowalnymi katalogami

Kod:

Kod:

Kod:

Kod:

Kod:

Kod:

#2 2014-02-12 09:46:58

Jacekalex - Podobno człowiek...;)

Re: Problem z SFTP i chrootowalnymi katalogami

Kod:

Kod:

Kod:

Kod:

Kod:

#3 2014-02-12 14:10:03

lun - Nowy użytkownik

Re: Problem z SFTP i chrootowalnymi katalogami

#4 2014-02-12 14:59:14

Jacekalex - Podobno człowiek...;)

Re: Problem z SFTP i chrootowalnymi katalogami

Kod:

#5 2014-02-12 22:47:31

lun - Nowy użytkownik

Re: Problem z SFTP i chrootowalnymi katalogami

#6 2014-02-12 22:55:48

Jacekalex - Podobno człowiek...;)

Re: Problem z SFTP i chrootowalnymi katalogami

#7 2014-02-13 22:20:57

lun - Nowy użytkownik

Re: Problem z SFTP i chrootowalnymi katalogami

#8 2014-02-13 22:41:00

Jacekalex - Podobno człowiek...;)

Re: Problem z SFTP i chrootowalnymi katalogami

Kod:

Kod:

Kod:

Stopka forum

Informacje debugowania