hoe maak je een chroot jail voor ftp?

[GiLuX]

ik heb redhat servertje met verschillende users die moeten kunnen ftp'en maar niet over de hele server moeten kunnen rondzwerven.

uit chroot(2):

CHROOT(2)
NAME
chroot - change root directory
SYNOPSIS
#include <unistd.h>
int chroot(const char *path);

goed,
geen idee wat ik daar mee aan moet.

ik wil alleen maar weten hoe ik dat commando voor elke user toe moet passen alstie met wu-ftpd binnenkomt en dus niet zijn $home mag verlaten.

nou heb ik ook al naar proftpd gekeken maar die ondersteunt alleen unieke ip adressen terwijl ik juist allemaal apache virtual hosts gebruik, dus niet echt een oplossing.

[Paradise]

Is gewoon een lijntje in je proftpd config hoor..

code:

DefaultRoot ~

Of zoek je nog iets anders? Volgens mij moet dit voldoen.

[odysseus]

Hij kan dus geen proftp gebruiken...dus dat gaat niet lukken. Kijk eens hier, daar staat denk ik wel genoeg over het chrooten van wuftp. Ik ga er dan maar vanuit dat je die als ftp-daemon gaat gebruiken, hij staat niet bekend als veilig, maar met wat instellingen kun je een heel eind komen.

[GiLuX]

Op vrijdag 12 april 2002 14:58 schreef odysseus het volgende:
Hij kan dus geen proftp gebruiken...dus dat gaat niet lukken. Kijk eens hier, daar staat denk ik wel genoeg over het chrooten van wuftp. Ik ga er dan maar vanuit dat je die als ftp-daemon gaat gebruiken, hij staat niet bekend als veilig, maar met wat instellingen kun je een heel eind komen.

tnx voor die link.
alles precies zo gedaan als er stond beschreven maar helaas, ik kan nog steeds over het hele systeem rondharken.

wat me opvalt, na meerdere tutorials en uitleg over chroot te hebben gelezen ben ik nog nergens het daadwerkelijke gebruik van het commando tegengekomen..., zo ook niet in die link van jou.

mis ik hier iets???

[odysseus]

De manpage waaruit je citeerde was die van een systeemfunctie, niet die van een programma/commando. 'chroot' bestaat ook als commando, geleverd door verschillende ftp-servers. Je zou bijvoorbeeld bsd-ftpd (dat is althans de naam in Debian) kunnen installeren, dat is een port van de OpenBSD-ftpserver. Deze ondersteunt bij mijn weten zonder problemen chroot. But then, dat doet proftp ook, en die kon je ook niet gebruiken .

[GiLuX]

Op vrijdag 12 april 2002 15:54 schreef odysseus het volgende:
De manpage waaruit je citeerde was die van een systeemfunctie, niet die van een programma/commando. 'chroot' bestaat ook als commando, geleverd door verschillende ftp-servers. Je zou bijvoorbeeld bsd-ftpd (dat is althans de naam in Debian) kunnen installeren, dat is een port van de OpenBSD-ftpserver. Deze ondersteunt bij mijn weten zonder problemen chroot. But then, dat doet proftp ook, en die kon je ook niet gebruiken .

ik wil zo graag weten hoe je het commando gebruikt (die van wu-ftp dan),
kan het gewoon nergens vinden ook niet in die tutorial van jou terwijl ik echt alles heb gedaan wat er instond (dat naar mijn idee relevant was).

ik moet zeggen, ik werk nu al weer een jaartje of 4 met linux en ben elke keer weer verbaasd hoe ogenschijnlijk moeilijke dingen eigenlijk rete simpel voor elkaar te krijgen zijn en andere ogenschijnlijk makkelijke dingen een groot mysterie kunnen zijn.....

maar goed, bedankt enniewee voor de moeite, ik ga nog maar eens wat verder zoeken.

[GiLuX]

het werkt,
mischien toch allemaal niet zo'n groot mysterie afterall.

zo (onderstaande geldt dus alleen voor WU-ftpd):
#################################################

maak een group aan, bv: ftpclients
maak user aan, bv GILUX met adduser oid en maak em lid van ftpclients.

dan krijg je bv in /etc/passwd:
GILUX:x:511:511::/home/GILUX/:/dev/null
(gebruik /dev/null alleen als je je users GEEN shell toegang wil geven, anders wordt het zoiets als "/bin/bash")

pas dit zo aan:
GILUX:x:511:511::/home/GILUX/./:/dev/null

dus waar je wil dat zich de root van GILUX bevindt
zet je: "/./" (slash punt slash)

#

zorg dat in /etc/ftpaccess dit staat:
----
class local real,guest,anonymous // gaat dus om guest

guestgroup ftpclients // valt dus onder group guests!
----

#

cd nu naar de homedir (cd /home/GILUX/)

mkdir etc bin dev lib

zet rechten:
chmod 0511 /home/GILUX/dev/
chmod 0511 /home/GILUX/etc/
chmod 0511 /home/GILUX/bin
chmod 0511 /home/GILUX/lib

#

maak een nieuwe /dev/null:
mknod /home/GILUX/dev/null c 1 3
chmod 666 /home/GILUX/dev/null

#

copy ls naar je dir:
cp /bin/ls /home/GILUX/bin

zet strenge rechten:
chmod 0111 /bin/ls /home/ftp/bin/ls

zoek uit welke dependencies ls heeft:
ldd /bin/ls

copieeer deze naar de nieuwe lib dir(is platform specifiek):
cp /lib/libtermcap.so.2 /home/GILUX/lib/
cp /lib/libc.so.6 /home/GILUX/lib/
cp /lib/ld-linux.so.2 /home/GILUX/lib/

#

copieer nu de passwd en group file uit /etc naar de nieuwe etc:
cp /etc/passwd /home/GILUX/etc/
cp /etc/group /home/GILUX/etc/

de passwd uit je nieuwe etc moet alleen dit bevatten:
root:x:0:0:root:/root:/dev/null
GILUX:x:511:511::/home/GILUX/./:/dev/null

dus de rest kan je eruit halen.
dit geldt dus ook voor de group file.

zet rechten:
chown root.daemon /home/GILUX/passwd group
chown root.daemon /home/GILUX/group
chmod 444 /home/GILUX/passwd
chmod 444 /home/GILUX/group

#

extra security:
touch /home/GILUX/.rhosts
touch /home/GILUX/.forward

chmod 400 /home/GILUX/.rhosts
chmod 400 /home/GILUX/.forward

#################################################

zo, en dan inloggen met je ftp accountje en kijken of het werkt.

[igmar]

nou heb ik ook al naar proftpd gekeken maar die ondersteunt alleen unieke ip adressen terwijl ik juist allemaal apache virtual hosts gebruik, dus niet echt een oplossing.

Ter info : wu-ftpd kan dat ook niet. Geen enkele FTP server.

[GiLuX]

Op vrijdag 12 april 2002 23:28 schreef igmar het volgende:

[..]

Ter info : wu-ftpd kan dat ook niet. Geen enkele FTP server.

tja,
dat las ik in een ander draadje hier op het forum,
dus heb er verder niet meer naar gekeken,
hoe dan ook, ik heb nu bereikt wat ik wou dus ben allang happy

[Verwijderd]

Op vrijdag 12 april 2002 17:45 schreef GiLuX het volgende:

(gebruik /dev/null alleen als je je users GEEN shell toegang wil geven, anders wordt het zoiets als "/bin/bash")

dan hoor je toch /bin/false te gebruiken ipv /dev/null ???

[GiLuX]

Op zaterdag 13 april 2002 10:52 schreef compukid het volgende:

[..]

dan hoor je toch /bin/false te gebruiken ipv /dev/null ???

ut ken beide

[Verwijderd]

Ik heb ook een tijdje wu gebruikt, maar ben sinds een half jaar met onze server over op proftpd. Het werkt zoveel relaxter! Je hoeft niet iedere keer als je een nieuw domein aanmaakt heel die dir structuur aan te maken enz. Dus ik zou toch ZEKER de overstap naar proftpd of een andere ftpd overwegen! Niet op z'n minst omdat wu niet echt bekend staat om z'n veiligheid.

[a casema user]

# The ftpchroot group doesn't exist by default, this
# entry is just supplied as an example.
# To chroot a user, modify the line below or create
# the ftpchroot group and add the user to it.
#
# You will need to setup the required applications
# and libraries in the root directory (set using
# guest-root).
#
# Look at the anonftp package for the files you'll need.
guestgroup ftpchroot