Jailkit gebruiker commands toegang

[MrChillax]

Hallo mede tweakers,

Ik ben sinds kort aan het experimenteren met jailkit zodat verschillende gebruikers niet uit hun eigen omgeving kunnen gaan. Alles is momenteel in een test omgeving dus fouten zijn niet erg.
Nadat jailkit geïnstalleerd was heb ik een gebruiker toegevoegd en verschillende eigenschappen gejailed aan deze user:

code:

jk_init -v /home/jail netutils basicshell jk_lsh ssh sftp

. Echter geeft dit niet genoeg toegang om de commands 'service', 'java', 'readlink' en 'screen' uit te voeren door de jailed user.
Deze commands zou ik graag willen toevoegen en heb dat gedaan door de default configuration aan te passen, maar dit leidt waarschijnlijk tot security risks en nog steeds niet genoeg toegang. Ik heb de volgende secties toegevoegd:

code:

[screen]
comment = files and devices for screen
groups = tty
executables = /usr/bin/screen, /usr/bin/dircolors
paths_w_owner = /usr/share/terminfo, /dev/pts, /var/run/screen
devices = /dev/ptypa, /dev/ttypa, /dev/ptmx, /dev/null

[java_libraries]
comment = necessary file to execute java program
paths = /usr/lib/jvm/java-6-openjdk-amd64/bin/java, /lib/libpthread.so.0, /lib/libdl.so.2, /lib/libc.so.6, /usr/lib/jvm/java-6-openjdk-amd64/jre/lib, /lib/libm.so.6, /lib/libm-2.5.so, /proc/meminfo

en bij de sectie basicshell ook enkele andere directories toegevoegd:

code:

[basicshell]
comment = bash based shell with several basic utilities
paths = /bin/sh, bash, ls, cat, chmod, mkdir, cp, cpio, date, dd, echo, egrep, false, fgrep, grep, gunzip, gzip, ln, ls, mkdir, mktemp, more, mv, pwd, rm, rmdir, sed, sh, sleep, sync, tar, touch, true, uncompress, zcat, /etc/motd, /etc/issue, /etc/bash.bashrc, /etc/bashrc, /etc/profile, /usr/lib/locale/en_US.utf8, /usr/sbin, /usr/bin, /bin/readlink
users = root
groups = root
includesections = uidbasics

Dit voegt echter de volledige bin en sbin directory toe wat waarschijnlijk tot problemen leidt?

Ook werkt het command 'screen' niet in de jailed user:

jailedserver@dedi:~$ screen
Directory '/var/run/screen' must have mode 777.

Heeft iemand enig idee om deze commands wel te laten werken zonder een groot beveiligings risico met zich mee te laten brengen of de hele directory over te moeten kopiëren ?

[thunder7]

Hier

http://ask.systutorials.c...-screen-permission-denied

wordt gesuggereerd dat je geen globale /var/run/screen nodig hebt, maar ook een lokale aan kan maken en screen daarnaar kan laten wijzen:

code:

So to work around it, you can create a directory, such as ~/.screen:
mkdir ~/.screen && chmod 700 ~/.screen
and export the SCREENDIR to point to that directory:
export SCREENDIR=$HOME/.screen

[ddkiller0900]

Ik heb zelf meegemaakt dat een bepaald commando, traceroute -I ipadres niet uitgevoerd kon worden in de jail. Om dit op te lossen heb ik sudo toegevoegd in de jail en ervoor gezorgd dat voor dit specifieke commando geen wachtwoord is vereist. Andere commando's kunnen niet worden uitgevoerd in combinatie met sudo. Let wel op dat je de pam libraries en dergelijke beschikbaar moet maken binnen de jail.