chrootディレクトリubuntu 12.04のSFTPの致命的な不正所有またはモード

12

SFTPサーバーをセットアップしただけで、最初のユーザーアカウントから使用すると正常に機能します。「magnarp」と呼ぶユーザーを追加したかったのです。最初はsshd_configで次のようにしました：

Subsystem sftp internal-sftp


Match group sftponly
    ChrootDirectory /home/%u
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

これで十分に機能し、ユーザーmagnarpはホームディレクトリに移動しました。次に、シンボリックリンクを追加しようとしました。

home$ sudo ln -s /home/DUMP/High\ Defenition/ /home/magnarp/"High Defenition"

シンボリックリンクはSSHで正常に機能しましたが、SFTPでは機能しませんでした。

だから今私がしたいことは、Chrootグループに/ home / DUMPにsftponlyすることで、私はこのようにしました：

Match group sftponly
    ChrootDirectory /home/DUMP
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

DUMPフォルダーには、次の権限があります。

drwxrwxrwx  5 root     root      4096 aug 18 02:25 DUMP

そして、これはエラーコードです：

Aug 18 16:40:29 nixon-01 sshd[7346]: Connection from 192.168.1.198 port 51354
Aug 18 16:40:30 nixon-01 sshd[7346]: Accepted password for magnarp from 192.168.1.198 port 51354 ssh2
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session opened for user    magnarp by (uid=0)
Aug 18 16:40:30 nixon-01 sshd[7346]: User child is on pid 7467
Aug 18 16:40:30 nixon-01 sshd[7467]: fatal: bad ownership or modes for chroot directory "/home/DUMP"
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session closed for user magnarp

— ジョナサン
ソース

21

sshdchrootディレクトリに関しては、ある程度の妄想があります。これは（であってもStrictModes no）無効にできるとは思いません。chrootディレクトリとすべての親ディレクトリを適切に設定する必要があります。

chrootディレクトリとそのすべての親には、グループまたはワールドの書き込み機能が含まれていてはなりません（つまりchmod 755）
chrootディレクトリとそのすべての親は、rootが所有している必要があります。

あなたの場合、ログインエラーはchmod 755 /home/DUMP 、sftpuserがログインでき、誰でもファイルを入れることができる誰でも書き込めるディレクトリを持つというあなたの明白な意図で修正することができます。/home/DUMP/

— DerfK
ソース

1

魅力のように働いた！ありがとうございました。今、すべてのサブディレクトリとNFSシステムも修正する必要があります:)

— ジョナサン

0

A）simlinksを作成するとchrootの回避に役立つ場合、chrootを作成するポイントは何ですか？（どのユーザーでもsimlinkをアップロードしてから、ファイルシステム全体にアクセスできます）

B）もう1つchmod 777を実行すると、theo（http://rlv.zcache.com/i_got_flamed_by_theo_de_raadt_t_shirt_tshirt-p235453348828729121en7rf_210.jpg）に不満を感じます。opensshがchrootディレクトリのアクセス権にこだわりやすい理由を理解するには、http：//lists.mindrot.org/pipermail/openssh-unix-dev/2010-January/028151.htmlを参照してください。