不使用chroot创建高度受限用户

爱被打了一巴掌 2022-02-21 02:46 140阅读 0赞

基于chroot方式创建的受限用户，如果需要访问原系统的文件，需要使用mount的方式挂载原系统目录或文件；而针对chroot的相关配置，如mount、umount或者删除等操作，如果操作不当，可能导致原系统重启失败，基于此方面的考虑，我想了如下一种解决方案：

创建一个普通用户logger，只允许该用户访问部分应用日志，可使用命令和可访问目录高度受限，具体实现步骤如下：

1、创建一个普通用logger

从/bin、/usr/bin等目录cp部分命令到/home/logger/bin下，比如：

bash env grep ls tail view wc

3、限制可访问目录

使用setfacl限制logger访问/根目录下除lib64、home以外的其他目录；

setfacl -m user:logger:r-x /lib64

setfacl -m user:logger:--- /bin

setfacl -m user:logger:--- /boot

setfacl -m user:logger:--- /dev

setfacl -m user:logger:--- /etc

setfacl -m user:logger:--- /lib

setfacl -m user:logger:--- /lost+found

setfacl -m user:logger:--- /media

setfacl -m user:logger:--- /mnt

setfacl -m user:logger:--- /opt

setfacl -m user:logger:--- /root

setfacl -m user:logger:--- /sbin

setfacl -m user:logger:--- /srv

setfacl -m user:logger:--- /tmp

setfacl -m user:logger:--- /usr

setfacl -m user:logger:--- /var

logger需要访问home下其他目录的部分日志文件，同样使用setfacl配置相应权限；

setfacl -m user:logger:r-x /home/ooxx

setfacl -m user:logger:r-x /home/ooxx/log

同时使用ln -s 将日志目录软连接到logger家目录下（因为后续将限制logger用户访问上级或根目录）

ln -s /home/ooxx/log /home/logger/log

4、修改/etc/passwd，将logger用户的bash修改为如下：

/home/logger:/home/logger/bin/bash

5、修改环境变量文件

注释掉.bashrc下所有的有效命令，其实就如下几行：

\#if \[ -f /etc/bashrc \]; then

\# . /etc/bashrc

\#fi

修改.bash\_profile，参考如下

export PATH=/home/logger/bin

export PS1='\[logger@\\h \\W\]\\$'

alias rm='This command cannot be used'

alias cd='function fun\_cd() \{

num=\`echo $1|grep -E "\\.\\.|\\/"|wc -l\`

if \[ $num -gt 0 \]; then

echo ".. or / is forbided!"

else

cd $1

unset -f fun\_cd

\};

fun\_cd'

alias tail='function fun\_tail() \{

num=\`echo $2|grep ../|wc -l\`

if \[ $num -gt 0 \]; then

echo "../ is forbided!"

else

tail $1 ~/$2

unset -f fun\_tail

\};

fun\_tail'

alias view='function fun\_view() \{

num=\`echo $1|grep ../|wc -l\`

if \[ $num -gt 0 \]; then

echo "../ is forbided!"

else

view ~/$1

unset -f fun\_view

\};

fun\_view'

这里利用alias和function对相应命令进行重写，以达到如下目的：

1、不允许cd到上级目录或根目录，只允许访问logger家目录下的目录；

2、限制tail、view命令，不允许访问家目录以上级别的文件；

3、如果还需要用到其他命令，参考上述方式处理；

因为bash会用到/etc/profile，而第3步限制了logger对/etc的访问，所以logger登录和退出时会有报错，不用理会：

\-bash: /etc/profile: Permission denied

\-bash: /etc/bash.bash\_logout: Permission denied

用户登录过程中的环境加载参考：[https://www.jianshu.com/p/d7d1f52bbbcd][https_www.jianshu.com_p_d7d1f52bbbcd]

[https_www.jianshu.com_p_d7d1f52bbbcd]: https://www.jianshu.com/p/d7d1f52bbbcd

不使用chroot创建高度受限用户

发表评论取消回复

还没有评论，来说两句吧...

相关阅读

相关 chroot(chroot failed to run command)

相关 chroot笔记

相关 chroot

相关 chroot

相关理解 chroot

相关 bind的chroot使用

相关无线授权用户访问Internet受限问题

相关［转］chroot的使用

相关使用chroot创建高度受限ssh用户

相关不使用chroot创建高度受限用户