Propriedade ruim fatal SFTP ou modos para o diretório chroot ubuntu 12.04

11

Eu apenas configuro meu servidor SFTP e ele funciona bem quando eu o uso da minha primeira conta de usuário. Eu queria adicionar um usuário que chamaremos de 'magnarp'. No começo eu fiz assim em sshd_config:

Subsystem sftp internal-sftp


Match group sftponly
    ChrootDirectory /home/%u
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

Isso funcionou bem, o usuário magnarp entrou em seu diretório pessoal. Eu então tentei adicionar um link simbólico para ele.

home$ sudo ln -s /home/DUMP/High\ Defenition/ /home/magnarp/"High Defenition"

O symlink funcionou bem via SSH, mas não por SFTP.

Então, o que quero fazer agora é fazer com que o grupo Chroot chegue a / home / DUMP e eu fiz assim:

Match group sftponly
    ChrootDirectory /home/DUMP
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

A pasta DUMP tem permissões da seguinte forma.

drwxrwxrwx  5 root     root      4096 aug 18 02:25 DUMP

E este é o código de erro:

Aug 18 16:40:29 nixon-01 sshd[7346]: Connection from 192.168.1.198 port 51354
Aug 18 16:40:30 nixon-01 sshd[7346]: Accepted password for magnarp from 192.168.1.198 port 51354 ssh2
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session opened for user    magnarp by (uid=0)
Aug 18 16:40:30 nixon-01 sshd[7346]: User child is on pid 7467
Aug 18 16:40:30 nixon-01 sshd[7467]: fatal: bad ownership or modes for chroot directory "/home/DUMP"
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session closed for user magnarp
    
por Jonathan 18.08.2012 / 16:52

2 respostas

17

sshd tem um certo nível de paranóia quando se trata de diretórios chroot. Eu não acho que isso pode ser desativado (mesmo com StrictModes no ). O diretório chroot e todos os diretórios pai devem ser definido corretamente :

  1. O diretório chroot e todos os seus pais não devem ter recursos de gravação de grupo ou mundo (ou seja, chmod 755 )
  2. O diretório chroot e todos os seus pais devem ser de propriedade do root.

No seu caso, o erro de login pode ser corrigido com chmod 755 /home/DUMP Sua intenção aparente de ter um diretório gravável pelo mundo no qual o sftpuser pode efetuar login e todos podem colocar arquivos pode ser resolvida tornando esse diretório um subdiretório de /home/DUMP/

    
por 18.08.2012 / 17:01
0

A) Qual seria o sentido de fazer o chroot se criar simlinks ajudaria a evitar o chroot? (Qualquer usuário pode fazer upload de um simlink e, em seguida, obter acesso a todo o sistema de arquivos)

B) Mais um chmod 777 e você será atraído por theo ( link ). Veja link para entender por que o openssh é tão exigente quanto às permissões do diretório chroot.

    
por 18.08.2012 / 17:00