使用chroot创建高度受限ssh用户

今天药忘吃喽~ 2022-03-15 08:58 446阅读 0赞

需求：需要一个高度受限ssh用户，只允许其通过ssh登陆、访问指定目录、使用指定命令，以增强系统安全性。

应用场景：日志用户、运营用户；

环境：CentOS 6.5

操作步骤：

1、新增用户、配置目录、复制关键文件

useradd logger

passwd logger

mkdir -p /chroot/\{etc,dev,proc,lib,bin,lib64,home,usr\}

mkdir -p /chroot/usr/bin

mkdir -p /chroot/home/logger

cp -a /bin/bash /chroot/bin/

cp -a /etc/passwd /chroot/etc/passwd

grep logger /etc/passwd >/chroot/etc/passwd

PS1：上述两条命令如果直接使用grep logger /etc/passwd >/chroot/etc/passwd，会存在权限问题。

PS2：Linux6 基于selinux影响，直接cp会存在权限问题，cp -a 相当于cp -pdr

\-p：连同档案的属性一起复制过去，而非使用预设属性；

\-d：若来源文件为连结文件的属性(link file)，则复制连结[文件属性][Link 1]而非档案本身；

\-r：递归持续复制，用于目录的复制行为；

所以在后续复制so等链接文件时，需要再次复制源文件

PS3：查看权限命令：ls -Z /etc/passwd

查看bash命令需要哪些.so文件，拷贝到chroot相应的目录中

\#ldd /bin/bash

linux-vdso.so.1 => (0x00007fff569ff000)

libtinfo.so.5 => /lib64/libtinfo.so.5 (0x000000369d200000)

libdl.so.2 => /lib64/libdl.so.2 (0x000000368ea00000)

libc.so.6 => /lib64/libc.so.6 (0x000000368e600000)

/lib64/ld-linux-x86-64.so.2 (0x000000368e200000)

拷贝

cp -a /lib64/\{libtinfo.so.5,libdl.so.2,libc.so.6,ld-linux-x86-64.so.2\} /chroot/lib64/

拷贝完成后，ls -l，会发现拷贝的是软链接文件：

\# ll

total 0

lrwxrwxrwx. 1 root root 10 Feb 6 13:58 ld-linux-x86-64.so.2 -> ld-2.12.so

lrwxrwxrwx. 1 root root 12 Feb 6 13:58 libc.so.6 -> libc-2.12.so

lrwxrwxrwx. 1 root root 13 Feb 6 13:58 libdl.so.2 -> libdl-2.12.so

lrwxrwxrwx. 1 root root 15 Jan 16 22:36 libtinfo.so.5 -> libtinfo.so.5.7

拷贝原始文件：

cp -a /lib64/\{ld-2.12.so,libc-2.12.so,libdl-2.12.so,libtinfo.so.5.7\} /chroot/lib64/

测试配置正确性：

chroot /chroot

没有错误信息即可，正常应显示bash的信息。

2、SSH配置

/etc/ssh/sshd\_config

确保UsePAM yes，默认即为yes

/etc/pam.d/sshd

在最下面添加一行：

session required pam\_chroot.so

一定要确保输入正确，否则可能造成ssh无法登陆。

pam\_chroot.so执行后会读取配置文件以决定是否使用chroot环境。

/etc/security/chroot.conf

添加一行

logger /chroot

调试ssh：ssh logger@127.0.0.1，报错日志查看：/var/log/secure

配置：

cp -a /etc/security /chroot/etc

cp -a /etc/environment /chroot/etc/

mount --bind /dev /chroot/dev

mount -t devpts -o gid=5,mode=620 devpts /chroot/dev/pts

mount -t proc /proc /chroot/proc/

PS：如果需要删除chroot，必须先umount再删除，如果直接rm -rf chroot，会把dev目录下关键文件删除，导致系统被破坏，如果真遇到这种情况，可以尝试重启系统。

umount /chroot/proc/

umount /chroot/dev/pts

umount /chroot/dev

PS1：mount --bind dirA dirB

将前一个目录挂载到后一个目录上，所有对后一个目录的访问其实都是对前一个目录的访问；

和硬链接类似，但本质不同；硬链接不支持目录；

实质相当于后一个目录的block被屏蔽掉了，inode重定向到挂载目录的inode；

两个目录的对应关系存在于内存中，重启失效！！！

建议：将下述两行命令写入root的.bash\_profile，当系统重启时，自动重新执行，否则重启后logger用户将无法登陆！

mount --bind /dev /chroot/dev

mount -t devpts -o gid=5,mode=620 devpts /chroot/dev/pts

PS2：mount -t vfstype 指定文件系统的类型，通常可不指定，mount会自动选择正确的类型

mount命令参考：[https://www.cnblogs.com/MR-Guo/p/5547365.html][https_www.cnblogs.com_MR-Guo_p_5547365.html]

重新测试：

ssh logger@127.0.0.1

如果需要访问系统的某个目录：

mount --bind /usr/local/123 /chroot/usr/local/123

同样，如果需要重启后仍然有效，需要将命令写入root的.bash\_profile

2、环境及命令配置

cp -a /etc/\{profile,profile.d,bashrc\} /chroot/etc/

再次ssh登陆时会报相关命令不存在，相应命令配置：

cp -a /usr/bin/id /chroot/usr/bin/

cp -a /bin/grep  /chroot/bin/

cp -a /bin/uname  /chroot/bin/

命令相关so复制配置：

whereis id

ldd /usr/bin/id

cp -a /lib64/\{libselinux.so.1,libc.so.6,libdl.so.2,ld-linux-x86-64.so.2\} /chroot/lib64/

ldd /bin/grep

ldd /bin/uname

类似处理，如果有报错，看看/chroot/lib64/下的文件，是否有部分只cp了软链接，而没有cp源文件。

PS：如果cp过程中老是提示覆盖确认，去掉.bashrc里的alias cp='cp -i'，重新登录；

按照文中方法，把相关so文件复制过去就好，后续grep、uname命令处理方法相同。

如果还需要使用其他命令，如ls、view、tail等，相同处理。

ssh logger@127.0.0.1登陆报错：

id: cannot find name for user ID 501

id: cannot find name for group ID 501

id: cannot find name for user ID 501

cp -a /etc/group /chroot/etc/group

grep logger /etc/group >/chroot/etc/group

如果排查passwd、group权限都没有问题，还始终报错，尝试直接把lib64下的所有文件cp -a到、chroot/lib64下，反正我在没招的情况下是这么解决的，虽然secure日志下一直有如下报错：

localhost sshd\[7647\]: ssh\_selinux\_copy\_context: getcon failed with No such file or directory

localhost sshd\[7643\]: error: ssh\_selinux\_setup\_pty: getexeccon: No such file or directory

localhost sshd\[7643\]: lastlog\_openseek: Couldn't stat /var/log/lastlog: No such file or directory

因为上文把lib64下的动态库全部cp了过去，后续需要用到bin下的命令，基本只需要把相关命令cp过去就好。

另外：为了看着顺眼，给logger用户加条配置：

echo "export PS1='\[\\u@\\h \\W\]\\$'" >/chroot/home/logger/.bash\_profile

参考：[http://blog.chinaunix.net/uid-1838361-id-3237011.html][http_blog.chinaunix.net_uid-1838361-id-3237011.html]

[Link 1]: https://www.baidu.com/s?wd=%E6%96%87%E4%BB%B6%E5%B1%9E%E6%80%A7&tn=SE_PcZhidaonwhc_ngpagmjz&rsv_dl=gh_pc_zhidao
[https_www.cnblogs.com_MR-Guo_p_5547365.html]: https://www.cnblogs.com/MR-Guo/p/5547365.html
[http_blog.chinaunix.net_uid-1838361-id-3237011.html]: http://blog.chinaunix.net/uid-1838361-id-3237011.html