[openbsd] hoe /ftp/pub verwijzen naar /samba?

[Trunksmd]

Ik heb gisteren mijn ftp server geconfigureerd en tevens ge"chrooted". Hoe kan ik er nu voor zorgen, dat als iemand naar mijn pubmap navigeert automatisch de inhoud van mijn samba map krijgt zonder dat daar de veiligheid door in gevaar komt. Mijn pub map staat onder /home/ftp/pub en mijn samba map staat onder /tmp/samba. 2 keer dezelfde bestanden op mijn server zetten is ook zo overdreven

[Osiris]

Je zou eens kunnen kijken naar mount --bind. Een simpel linkje leggen met ln werkt na mijn weten niet in een chrooted omgeving.
Alleen mijn probleem is dat die mounts na een reboot weer verdwenen zijn.. Dus echt ideaal is 't ook niet geloof ik.

[Verwijderd]

Osiris schreef op 29 september 2004 @ 12:50:
Je zou eens kunnen kijken naar mount --bind. Een simpel linkje leggen met ln werkt na mijn weten niet in een chrooted omgeving.
Alleen mijn probleem is dat die mounts na een reboot weer verdwenen zijn.. Dus echt ideaal is 't ook niet geloof ik.

Volgens mij bedoelt de TS dat ie ftp (users) in een chroot heeft staan.

Dan zou "ln" volgens mij wel moeten werken..
En als de rechten dan goed worden gezet voor de /tmp/samba directory moet het lukken denk ik.

[blaataaps]

Waarom stel je /tmp/samba niet gewoon in als homedir van de ftpusers?

[Osiris]

Verwijderd schreef op 29 september 2004 @ 12:53:
[...]


Volgens mij bedoelt de TS dat ie ftp (users) in een chroot heeft staan.

Dan zou "ln" volgens mij wel moeten werken..
En als de rechten dan goed worden gezet voor de /tmp/samba directory moet het lukken denk ik.

Ik snap dat de ftp-users in een chroot staan. Alleen ook dán werkt het niet, aangezien de dir waar je naar linkt buiten de chroot staat.. Na mijn weten iig

[Verwijderd]

Osiris schreef op 29 september 2004 @ 13:07:
[...]

Ik snap dat de ftp-users in een chroot staan. Alleen ook dán werkt het niet, aangezien de dir waar je naar linkt buiten de chroot staat.. Na mijn weten iig

Hmm ik heb hier pure-ftpd draaien en de users worden ge-chroot.

Als ik in een chroot omgeving een link neer zet naar /usr/local/blaat volgt de ftp client die link gewoon...

Het kan natuurlijk dat pure-ftpd dat doet en de ftpd van de TS niet..

[ Voor 17% gewijzigd door Verwijderd op 29-09-2004 13:49 ]

[Trunksmd]

je kunt klaarblijkelijk alleen een symbolische link tussen 2 verschillende directories zetten. Via ftp zie ik idd dan de samba map staan, maar je komt er niet in. Map bestaat niet zegt ie dan.

[blaataaps]

Verwijderd schreef op 29 september 2004 @ 13:45:
[...]


Hmm ik heb hier pure-ftpd draaien en de users worden ge-chroot.

Als ik in een chroot omgeving een link neer zet naar /usr/local/blaat volgt de ftp client die link gewoon...

Het kan natuurlijk dat pure-ftpd dat doet en de ftpd van de TS niet..

Dat is een feature die alleen pure-ftpd heeft bij mijn weten.

Trunksmd schreef op 29 september 2004 @ 14:25:
je kunt klaarblijkelijk alleen een symbolische link tussen 2 verschillende directories zetten. Via ftp zie ik idd dan de samba map staan, maar je komt er niet in. Map bestaat niet zegt ie dan.

Ik herhaal mijn vraag, waarom stel je die samba directory (geen map, directory) niet gewoon in als homedir van de ftp.
Voor de rest is informatie als welke ftpd je nou eigenlijk draait ook wel handig.

[ Voor 38% gewijzigd door blaataaps op 29-09-2004 15:00 ]

[Trunksmd]

Ik heb uiteindelijk ook de home directory van ftpd naar samba omgezet, dan is het probleem ook opgelost. Wat dat betreft heb je gelijk blaataap. Alleen zit ik met permissie conflicten. Mijn samba staat op share en guest heeft toegang. Helaas moet ik alle permissies (rwe) aan die map geven, wil ik via windows xp ongebreideld door de mappen op samba heen kunnen bladeren, lezen, kopieren, wissen. Mijn ftpd is op dit moment alleen toegankelijk via anoniem. Maar deze anonieme user heeft wel de mogelijkheid om al mijn mappen te wissen. Ik wil dat via de ftp alleen gelezen kan worden. permissies van de map veranderen kan niet zomaar. want dan kom ik niet meer in samba vanaf winxp. Mmm, het wordt tijd dat ik stop met anonieme en gast access. Ik kan beter voor zowel samba als ftp aparte users met wachtwoord maken. Anders kun je je sowieso afvragen waarom ik in godsnaam openbsd draai.

[Straphka]

Je kan toch ook proftpd zo configgen dat het DELE commando niet uitvoerbaar is? Weet niet meer precies hoe dat moet, maar ik het het in het verleden ook zo gedaan, de ftp-user access geven op mijn data-schijf waar alles op rwx stond ivm samba, maar er kon niet gedelete worden vanaf een ftp account. Houd er alleen wel rekening mee dat ftp-users geen shell mogen krijgen, want als ze inloggen in een shell hebben ze uiteraard wel gewoon volle rechten.

edit:
Ik weet niet of dit met ftpd ook kan, maar ik neem aan van wel (man ftpd.conf ofzow )

[ Voor 10% gewijzigd door Straphka op 29-09-2004 16:15 ]

[Trunksmd]

Straphka schreef op 29 september 2004 @ 16:14:
Je kan toch ook proftpd zo configgen dat het DELE commando niet uitvoerbaar is? Weet niet meer precies hoe dat moet, maar ik het het in het verleden ook zo gedaan, de ftp-user access geven op mijn data-schijf waar alles op rwx stond ivm samba, maar er kon niet gedelete worden vanaf een ftp account. Houd er alleen wel rekening mee dat ftp-users geen shell mogen krijgen, want als ze inloggen in een shell hebben ze uiteraard wel gewoon volle rechten.

edit:
Ik weet niet of dit met ftpd ook kan, maar ik neem aan van wel (man ftpd.conf ofzow )

Mmm, interessant. Ik zal het eens nakijken of ftpd dat ook kan. Overigens kom de ftp user bij mij toch niet ver, als ie probeert in te loggen via een shell:

The /usr/bin/false is a short sh script that exits if any user attempts to connect to the system through the account. It is installed during the default installation but not included in /etc/shells, which provides the options for shells for user accounts.

File: /usr/bin/false

#! /bin/sh
# CONTENTS OF /usr/local/false
# $OpenBSD: false.sh,v 1.2 1996/06/26 05:32:50 deraadt Exp $

exit 1

Edit the file: /etc/shells and include a line to /usr/bin/false. Verify that false is in the /usr/bin directory. The /etc/shells file should end up looking similar to the below.

Edit: /etc/shells

# $OpenBSD: shells,v 1.5 1997/05/28 21:42:20 deraadt Exp $
# List of acceptable shells for chpass(1).
# Ftpd will not allow users to connect who are not using
# one of these shells.
/bin/sh
/bin/csh
/bin/ksh
/usr/local/bin/bash
/usr/bin/false

Als het beter kan, dan hoor ik het graag.

[Straphka]

Kan je dan iet nog steeds via een andere account die user accessen? Als in "sudo -u %ftpuser /bin/bash" ofzoiets?
Ik meen me te herinneren dat een user een false shell geven niet helemaal waterdicht is (kan het ook mis hebben of een paar jaar achterlopen).

edit:

ff wakker blijven

Je moet dan uiteraard wel eerst een andere shell hebben en als alles in die samba map op rwx staat heb je weinig reden om uberhaubt nog te willen switchen naar je ftp-user

[ Voor 31% gewijzigd door Straphka op 29-09-2004 16:40 ]

[Jimbolino]

Osiris schreef op 29 september 2004 @ 13:07:
[...]

Ik snap dat de ftp-users in een chroot staan. Alleen ook dán werkt het niet, aangezien de dir waar je naar linkt buiten de chroot staat.. Na mijn weten iig

ln -d, -F, --directory hard link directories (super-user only)

dan "lijkt" het alsof je directory gewoon in de huidige directory staat als je begrijpt wat ik bedoel (in tegenstelling tot een symbolic link, wat meer op een windows snelkoppeling lijkt)

btw, je kan zo ook /tmp/map1/map2/map1/map2/map1/map2/map1/ enz maken (map2 = hardlink naar /tmp/ )

[Straphka]

Jimbolino schreef op 29 september 2004 @ 16:40:
[...]


ln -d, -F, --directory hard link directories (super-user only)

dan "lijkt" het alsof je directory gewoon in de huidige directory staat als je begrijpt wat ik bedoel (in tegenstelling tot een symbolic link, wat meer op een windows snelkoppeling lijkt)

btw, je kan zo ook /tmp/map1/map2/map1/map2/map1/map2/map1/ enz maken (map2 = hardlink naar /tmp/ )

Maar als een user de inhoud van doe map delete, dan ben je toch als nog je bestanden kwijt, en dat was nou net niet de bedoeling toch

[Trunksmd]

Straphka schreef op 29 september 2004 @ 16:39:
Kan je dan iet nog steeds via een andere account die user accessen? Als in "sudo -u %ftpuser /bin/bash" ofzoiets?
Ik meen me te herinneren dat een user een false shell geven niet helemaal waterdicht is (kan het ook mis hebben of een paar jaar achterlopen).

edit:

ff wakker blijven

Je moet dan uiteraard wel eerst een andere shell hebben en als alles in die samba map op rwx staat heb je weinig reden om uberhaubt nog te willen switchen naar je ftp-user

Als het gebruik van een false shell niet helemaal waterdicht is, dan wil ik graag een andere oplossing horen. Maar zoals ik al zei, ik zal eerst eens aparte users met wachtwoorden moeten aanmaken voor zowel samba als ftpd. Want zo is het toch al zo lek als een mandje.
Jouw antwoord over een andere shell hebben is mij niet helemaal duidelijk. Wat bedoel je? Moet ik een tweede shell naast sh installeren om effect van een false shell te hebben of juist niet?

[Straphka]

Nee, ik zat te slapen. Als je als shell /bin/false opgeeft, dan exit je direct als je je shell opstart (direct na het inloggen dus). Maar als je dus onder een andere user inlogt en vervolgens "sudo -u %user.met.false.shell /bin/bash" doet, dan open je dus een shell voor die user (wat je dus probeert te voorkomen door het /bin/false te geven. Je omzeilt dus /etc/passwd

In jouw geval lijkt me dat dus niet bijster boeiend omdat alles in je samba map toch al voor iedereen leesbaar/schrijfbaar is als ik het goed begrijp, dus heb je (de potentiele hacker/cracker) geen reden om te switchen. Als iemand eenmaal een shell heeft ben je toch al f*cked

[ Voor 4% gewijzigd door Straphka op 29-09-2004 17:16 ]

[Trunksmd]

Straphka schreef op 29 september 2004 @ 17:15:
Nee, ik zat te slapen. Als je als shell /bin/false opgeeft, dan exit je direct als je je shell opstart (direct na het inloggen dus). Maar als je dus onder een andere user inlogt en vervolgens "sudo -u %user.met.false.shell /bin/bash" doet, dan open je dus een shell voor die user (wat je dus probeert te voorkomen door het /bin/false te geven. Je omzeilt dus /etc/passwd

Maar dan moet je wel een andere useraccount hebben, en moet je niet voor sudo bepaalde rechten hebben? Iedereen kan nu wel mijn samba map legen. Maar ze hebben geen user accounts en dus kunnen ze geen shell openen. Ik kom tenminste geen shell binnen, wanneer probeer in te loggen met ftp-user.

[Straphka]

Ze moeten dan idd ook sudo rechten hebben. Ik zei ook niet dat het erg onveilig was of dom was om te gebruiken, ik zei alleen dat je er omheen kon komen

Voor sudo moet je idd ook rechten hebben (/etc/sudoers of visudo) en als je die niet geeft is er ook niks aan de hand lijkt me.
Zoals ik al zei, ik zat te slapen, sorry dat ik je in de war maakte met mijn geblaat in de ruimte