Como fazer chroot com o sshd em um diretório que não é de propriedade do root?

Question

Eu segui este , para restringir o usuário a um diretório determinado e funciona perfeitamente, mas eu preciso chroot um usuário em um diretório que é

/dir1/dir2/dir3/dir4

Suponha que dir1 seja de propriedade root, dir2 por www-data, dir3 por www-data e dir4 por raiz, e que eu não possa alterar esse estado de coisas, nem eu possa usar outro software para atingir meu propósito.

O chrooting do sshd funciona para o dir1, mas não para o dir4, mesmo que seja de propriedade do root, talvez para o dir2 e o dir3 não.

Como eu gerencio isso?

    

Answer 1

Desculpe, a solução estava no último parágrafo da página, chamada 'Acesso de gravação ao diretório chroot'

Quote: "Como acima, se um usuário é capaz de escrever para o diretório chroot, é possível para eles escalar seus privilégios para root e escapar do chroot. Uma maneira de contornar isso é dar ao usuário dois diretórios home - uma home" real ". eles podem gravar, e uma home SFTP que é bloqueada para manter sshd feliz e seu sistema seguro.Para usar o mount -bind você pode fazer o diretório home real aparecer como um subdiretório dentro do diretório home do SFTP, permitindo-lhes acesso total seu diretório home real. Isso também pode ser usado para alcançar outros objetivos. Por exemplo, o diretório inicial de um usuário pode ser bloqueado de acordo com as regras chroot do sshd e vincular montagens usadas para fornecer aos usuários acesso a outros diretórios:

  # mkdir /home/user/web
  # mount --bind /srv/web/example.com /home/user/web

Opcional, adicione uma entrada ao / etc / fstab:

  # echo '/srv/web/example.com/ /home/user/web        none    bind' >> /etc/fstab

Agora o usuário pode efetuar login com SFTP, eles são chrooted para / home / user, mas eles vêem uma pasta chamada "web" que eles podem acessar para manipular arquivos em um site (supondo que eles tenham permissões corretas em / srv / web / example.com. "