Cách đơn giản và dễ dàng để tống giam người dùng

Tôi cần một cách đơn giản và dễ dàng để tống giam người dùng trong các thư mục nhà của họ trong Oneiric. Bạn có một cấu hình đơn giản để bỏ tù người dùng, với sự trợ giúp đầy đủ hoặc một số liên kết web tốt không?

Tôi sẽ cung cấp một máy chủ công cộng miễn phí trực tuyến với 10 đến 20 GB dung lượng trống. Tôi không biết có bao nhiêu người dùng. Tôi muốn cung cấp cho họ SSH và SFTP để họ có thể kết nối thông qua FileZilla.

Jailkit là một tập hợp các tiện ích có thể giới hạn tài khoản người dùng trong một cây thư mục cụ thể và các lệnh cụ thể. Thiết lập một nhà tù dễ dàng hơn nhiều bằng cách sử dụng các tiện ích Jailkit thực hiện 'bằng tay'. Nhà tù là một cây thư mục mà bạn tạo trong hệ thống tệp của mình; người dùng không thể thấy bất kỳ thư mục hoặc tập tin nào nằm ngoài thư mục jail. Người dùng bị bỏ tù trong thư mục đó và thư mục con.

Tải xuống cài đặt:

http://olivier.sessink.nl/jailkit/index.html#d Download

VERSION=2.20 # from November 2018
cd /tmp
wget https://olivier.sessink.nl/jailkit/jailkit-$VERSION.tar.gz
tar -zxvf jailkit-$VERSION.tar.gz
cd jailkit-$VERSION/
./configure
make
su -
make install

Thiết lập nhà tù

Bây giờ là lúc để thiết lập thư mục tù. Người dùng bị bỏ tù sẽ xem thư mục này là thư mục gốc của máy chủ. Tôi đã chọn sử dụng / nhà / nhà tù:

mkdir /home/jail
chown root:root /home/jail

jk_init có thể được sử dụng để nhanh chóng tạo ra một nhà tù với một số tệp hoặc thư mục cần thiết cho một tác vụ hoặc hồ sơ cụ thể, (nhấp vào nó và đọc chi tiết đầy đủ).

jk_init -v /home/jail basicshell
jk_init -v /home/jail netutils
jk_init -v /home/jail ssh
jk_init -v /home/jail jk_lsh

Thêm người dùng

Thêm người dùng mới với thư mục chính và bash shell và đặt mật khẩu:

useradd -d /home/jailtest -m jailtest -s /bin/bash
passwd jailtest

Bây giờ là lúc để bỏ tù người dùng này

sử dụng lệnh sau:

jk_jailuser -m -j /home/jail jailtest

/etc/passwdBây giờ bạn nên chứa một cái gì đó như thế này:

jailtest:x:1001:1001::/home/jail/./home/jailtest:/usr/sbin/jk_chrootsh

Kích hoạt bash

Bằng cách sử dụng jk_cp, các thư viện bash được sao chép vào nhà tù:

jk_cp -v -f /home/jail /bin/bash

Chỉnh sửa /home/jail/etc/passwd

thay thế dòng này:

jailtest:x:1001:1001::test:/usr/sbin/jk_lsh

Với cái này:

jailtest:x:1001:1001::/home/jailtest:/bin/bash

Bảo trì

Bằng cách sử dụng các jk_updatebản cập nhật trên hệ thống thực có thể được cập nhật trong nhà tù.

Chạy khô sẽ cho thấy những gì đang xảy ra:

jk_update -j /home/jail -d

Không có đối số -d, cập nhật thực được thực hiện. Nhiều hoạt động bảo trì có thể được tìm thấy ở đây.

(Trong trường hợp /home/jail/optbị thiếu, hãy tạo nó bằng mkdir -p /home/jail/opt/ Và chạy jk_update -j /home/jaillại)

Cấp quyền truy cập vào các thư mục khác

Bạn có thể gắn các thư mục đặc biệt mà người dùng tù có thể truy cập ngay bây giờ. Ví dụ:

mount --bind /media/$USER/Data/ /home/jail/home/jailtest/test/

Giúp lấy

http://olivier.sessink.nl/jailkit/howtos_chroot_shell.html

http://olivier.sessink.nl/jailkit/index.html#intro (một trợ giúp rất tốt)

Cái này cũng

Điều này đã được kiểm tra và xác minh, làm việc đúng cách

Bạn không thể giới hạn họ đến / nhà vì họ cần quyền truy cập vào tệp nhị phân hệ thống và tệp bash và cấu hình trong / etc

IMO phương pháp dễ nhất để bảo vệ người dùng là sử dụng apparmor.

Bạn tạo một liên kết cứng

ln /bin/bash /usr/local/bin/jailbash

Bạn thêm jailbash vào / etc / shell

Sau đó, bạn gán jailbash cho trình bao người dùng và sau đó viết một hồ sơ apparmor cho jailbash cho phép truy cập tối thiểu.

sudo chsh -s /usr/local/bin/jailbash user_to_confine

Bạn sẽ phải tự viết một hồ sơ apparmor, nhưng tôi có một hồ sơ mà bạn có khả năng có thể bắt đầu với

http://bodhizazen.com/aa-profiles/bodhizazen/ubfox-10.04/usr.local.bin.jailbash

Thật khó để đoán mục đích bạn có thể muốn thực hiện. Nếu đó là để từ chối ssh / sftp trong khi cung cấp truy cập bị bỏ qua qua FTP ... dễ dàng:

Thêm vào / etc / shell một shell mới:

sudo -e /etc/shells

Thêm một dòng:

/bin/false

Tiết kiệm. Đối với mỗi người dùng bạn muốn từ chối ssh / sftp, hãy thay đổi trình bao của người dùng:

sudo chsh -s /bin/false userx

Bây giờ userx không thể đăng nhập thông qua ssh / sftp.

Cài đặt vsftpd:

sudo apt-get install vsftpd

Chỉnh sửa tập tin cấu hình:

sudo -e /etc/vsftpd.conf

Và một số thay đổi ....

anonymous_enable=NO
local_enable=YES
chroot_local_user=YES

Tiết kiệm. Khởi động lại vsftpd:

sudo /etc/init.d/vsftpd restart

Bạn có thể kiểm tra rbashnhư một vỏ cho người dùng của bạn.

man bash

Tìm kiếm RESTRICTED SHELLphần

Hoặc xem trên trang này http://linux.die.net/man/1/bash