使用 chroot 监狱限制 SSH 用户访问指定目录

  • 时间:
  • 来源:互联网
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/netgc/article/details/103270160

使用 chroot 监狱限制 SSH 用户访问指定目录

将 SSH 用户会话限制访问到特定的目录内,特别是在 web 服务器上,这样做有多个原因,但最显而易见的是为了系统安全。为了锁定 SSH 用户在某个目录,我们可以使用 chroot 机制。

在诸如 Linux 之类的类 Unix 系统中更改 root(chroot)是将特定用户操作与其他 Linux 系统分离的一种手段;使用称为 chrooted 监狱 的新根目录更改当前运行的用户进程及其子进程的明显根目录。

在本教程中,我们将向你展示如何限制 SSH 用户访问 Linux 中指定的目录。注意,我们将以 root 用户身份运行所有命令,如果你以普通用户身份登录服务器,请使用 sudo 命令。

步骤 1:创建 SSH chroot 监狱

1、 使用 mkdir 命令开始创建 chroot 监狱:

mkdir -p /home/test

2、 接下来,根据 sshd_config 手册找到所需的文件,ChrootDirectory 选项指定在身份验证后要 chroot 到的目录的路径名。该目录必须包含支持用户会话所必需的文件和目录。

对于交互式会话,这需要至少一个 shell,通常为 sh 和基本的 /dev 节点,例如nullzerostdinstdoutstderrtty 设备:

ls -l /dev/{null,zero,stdin,stdout,stderr,random,tty}

列出所需文件

crw-rw-rw- 1 root root 1, 3 Nov 26 16:53 /dev/null
crw-rw-rw- 1 root root 1, 8 Nov 26 16:53 /dev/random
lrwxrwxrwx 1 root root   15 Nov 27 00:53 /dev/stderr -> /proc/self/fd/2
lrwxrwxrwx 1 root root   15 Nov 27 00:53 /dev/stdin -> /proc/self/fd/0
lrwxrwxrwx 1 root root   15 Nov 27 00:53 /dev/stdout -> /proc/self/fd/1
crw-rw-rw- 1 root tty  5, 0 Nov 26 16:53 /dev/tty
crw-rw-rw- 1 root root 1, 5 Nov 26 16:53 /dev/zero

3、 现在,使用 mknod 命令创建 /dev 下的文件。在下面的命令中,-m 标志用来指定文件权限位,c 意思是字符文件,两个数字分别是文件指向的主要号和次要号。

创建 /dev 和所需文件

mkdir -p /home/test/dev/
cd /home/test/dev/
mknod -m 666 null c 1 3
mknod -m 666 tty c 5 0
mknod -m 666 zero c 1 5
mknod -m 666 random c 1 8

4、 在此之后,在 chroot 监狱中设置合适的权限。注意 chroot 监狱和它的子目录以及子文件必须被 root 用户所有,并且对普通用户或用户组不可写:

chown root:root /home/test
chmod 0755 /home/test
ls -ld /home/test

显示如下:

drwxr-xr-x 3 root root 17 Nov 27 09:06 /home/test

步骤 2:为 SSH chroot 监狱设置交互式 shell

5、 首先,创建 bin 目录并复制 /bin/bashbin 中:

mkdir -p /home/test/bin
cp -v /bin/bash /home/test/bin/

6、 现在,识别 bash 所需的共享库,如下所示复制它们到 lib64 中:

ldd /bin/bash

输出如下:

        linux-vdso.so.1 =>  (0x00007fff5adbc000)
        libtinfo.so.5 => /lib64/libtinfo.so.5 (0x00007f5e2a9d9000)
        libdl.so.2 => /lib64/libdl.so.2 (0x00007f5e2a7d5000)
        libc.so.6 => /lib64/libc.so.6 (0x00007f5e2a408000)
        /lib64/ld-linux-x86-64.so.2 (0x00007f5e2ac03000)
mkdir -p /home/test/lib64`
cp -v /lib64/{libtinfo.so.5,libdl.so.2,libc.so.6,ld-linux-x86-64.so.2} /home/test/lib64/`

步骤 3:创建并配置 SSH 用户

7、 现在,使用 useradd 命令创建 SSH 用户,并设置安全密码:

useradd user1
passwd user1

8、 创建 chroot 监狱通用配置目录 /home/test/etc 并复制已更新的账号文件(/etc/passwd/etc/group)到这个目录中:

mkdir /home/test/etc
cp -vf /etc/{passwd,group} /home/test/etc/

注意:每次向系统添加更多 SSH 用户时,都需要将更新的帐户文件复制到 /home/test/etc 目录中。

步骤 4:配置 SSH 来使用 chroot 监狱

9、 现在打开 sshd_config 文件。

vi /etc/ssh/sshd_config

在此文件中添加或修改下面这些行。

# 定义要使用 chroot 监狱的用户
Match User 1
# 指定 chroot 监狱
ChrootDirectory /home/test

保存文件并退出,重启 sshd 服务:

systemctl restart sshd
# 或者
service sshd restart

步骤 5:测试 SSH 的 chroot 监狱

10、 这次,测试 chroot 监狱的设置是否如希望的那样成功了:

ssh user1@192.168.0.10
-bash-4.1$ ls
-bash-4.1$ date
-bash-4.1$ uname

输出:

-bash-4.2$  ls
-bash: ls: command not found
-bash-4.2$ date
-bash: date: command not found
-bash-4.2$ uanme
-bash: uanme: command not found
-bash-4.2$

我们可以看到 SSH 用户被锁定在了 chroot 监狱中,并且不能使用任何外部命令如(lsdateuname 等等)。

用户只可以执行 bash 以及它内置的命令(比如:pwdhistoryecho 等等):

-bash-4.1$ pwd
-bash-4.1$ echo "Test Chroot"
-bash-4.1$ history

显示如下:

-bash-4.2$ pwd
/
-bash-4.2$ echo "Test Chroot"
Test Chroot
-bash-4.2$ history
    1  ls
    2  dir
    3  ls
    4  date
    5  pwd
    6  history
    7   ls
    8  date
    9  uanme
   10  pwd
   11  echo "Test Chroot"
   12  history

需要执行其他命令,请看下述12的操作

步骤 6: 创建用户的主目录并添加 Linux 命令

11、 从前面的步骤中,我们可以看到用户被锁定在了 root 目录,我们可以为 SSH 用户创建一个主目录(以及为所有将来的用户这么做):

mkdir -p /home/test/home/user1
chown -R user1:user1 /home/test/home/user1
chmod -R 0700 /home/test/home/user1

12、 接下来,在 bin 目录中安装几个用户命令,如 lsdatemkdir

cp -v /bin/ls /home/test/bin/
cp -v /bin/date /home/test/bin/
cp -v /bin/mkdir /home/test/bin/

13、 接下来,检查上面命令的共享库并将它们移到 chroot 监狱的库目录中:

ldd /bin/ls

输出如下:

        linux-vdso.so.1 =>  (0x00007fff5adbc000)
        libtinfo.so.5 => /lib64/libtinfo.so.5 (0x00007f5e2a9d9000)
        libdl.so.2 => /lib64/libdl.so.2 (0x00007f5e2a7d5000)
        libc.so.6 => /lib64/libc.so.6 (0x00007f5e2a408000)
        /lib64/ld-linux-x86-64.so.2 (0x00007f5e2ac03000)
cp -v /lib64/{libselinux.so.1,libcap.so.2,libacl.so.1,libc.so.6,libpcre.so.1,libdl.so.2,ld-linux-x86-64.so.2,libattr.so.1,libpthread.so.0} /home/test/lib64/

步骤 7:测试 sftp 的 用 chroot 监狱

14、 最后用 sftp 做一个测试;测试你先前安装的命令是否可用。

/etc/ssh/sshd_config 中添加下面的行:

# 启用 sftp 的 chroot 监狱
ForceCommand internal-sftp

保存并退出文件。接下来重启 sshd 服务:

systemctl restart sshd
# 或者
service sshd restart

15、 现在使用 ssh 测试,你会得到下面的错误:

ssh user1@192.168.0.10
This service allows sftp connections only.

试下使用 sftp:

sftp user1@192.168.0.10
user1@192.168.0.10's password:
Connected to 192.168.0.10.
sftp> pwd
Remote working directory: /opt/home/user1

原文发布时间为:2017-03-16

本文来自云栖社区合作伙伴“Linux中国”

内容和格式略有修改

本文链接http://element-ui.cn/news/show-167.aspx