Question

我想监禁＆＃34;正常＆＃34;具有特殊组developer的用户，用于SFTP和SSH。

用户只能通过SSH在/srv/DEVELOPMENT（SSH / SFTP） AND 中导航，用户只能执行命令限制（请参阅底部的脚本）。

为什么我要这个？

我在一个小项目上工作。最后几天，另一位开发商不愿意用他们的经验来支持这个项目。开发人员可以编辑＆＃34;开发者网站＆＃34;并且可以通过SSH启动/停止/重新启动Node.js应用程序。接下来的想法是：用户必须使用shell来更改他们的帐户密码。

目前，我已经使用以下步骤配置了SSH-Deamon：

监管SFTP

Match Group developer
    X11Forwarding no
    AllowTcpForwarding yes
    ChrootDirectory /srv/DEVELOPMENT
    ForceCommand internal-sftp

通过以下命令/选项添加了用户：

useradd --base-dir /srv/ --home-dir /srv/ --no-user-group --shell /srv/shell.sh $USERNAME
usermod -G developer $USERNAME
id $USERNAME
passwd $USERNAME

当前目录权限

/srv               developer:root   0755
/srv/DEVELOPMENT   developer:root   0750
/srv/DEVELOPMENT/* developer:root   0777

使用SFTP它可以正常工作。通过SSH监禁用户的第二部分目前有点难度。这一步目前无法正常工作，这就是我的问题。

chroot仅限于internal-sfpt。当我尝试登录时，连接将中止消息，该连接仅允许sftp：

ssh TestUser@example.com
TestUser@example.com's password:
This service allows sftp connections only.
Connection to example.com closed.

在这里，我删除了SSH-Deamon配置中的ForceCommand＆gt;登录将成功。

但这是我的问题

当我尝试登录时，不能使用任何可执行文件：

ssh TestUser@example.com
TestUser@example.com's password:
Linux example.com 4.9.0-3-amd64 #1 SMP Debian 4.9.30-2+deb9u2 (2017-06-26) x86_64
Last login: Sun Jul 30 18:00:11 2017 from ****************
/srv/shell.sh: No such file or directory
Connection to example.com closed.

/srv/shell.sh是一个用于限制命令的自定义shell脚本，用于示例：

    #!/bin/bash
    commands=("man" "passwd" "ls" "account", "whoami", "clear", "cd")

    RED='\033[0;31m'
    YELLOW='\033[0;33m'
    MAGENTA='\033[0;35m'
    CYAN='\033[0;36m'
    NC='\033[0m' # No Color
    INDENTATION='   '

    SYSTEM_UPTIME=`uptime --pretty`
    SYSTEM_USERS=`who -q`
    SYSTEM_QUOTA="None"
    SYSTEM_RAM="None"

    timestamp(){
        date +"%Y-%m-%d %H:%M:%S"
    }

    log(){
        echo -e "[$(timestamp)]\t$1\t$(whoami)\t$2" >> /var/log/developer-user/shell.log;
    }

    execute() {
        # EXIT
        if [[ "$ln" == "exit" ]] || [[ "$ln" == "q" ]]
        then
            exit

        # HELP
        elif [[ "$ln" == "help" ]]
        then
            echo "Type exit or q to quit."
            echo "Commands you can use:"
            echo "  account"
            echo "  help"
            echo "  echo"
            echo "  man <ManPage>"
            echo "  passwd"
            echo "  ls"
            echo "  clear"
            echo "  cd"

        # CD
        elif [[ "$ln" =~ ^cd\ .*$ ]]
        then
            LAST=`pwd`

            $ln

            CURRENT=`pwd`

            if [[ $CURRENT == "/srv" ]]
            then
                log CHANGE_DIR FAILED_PERMISSIONS "$ln"
                echo -e "${RED}ERROR:${NC} Sorry, you can't change to the previous directory ${YELLOW}\"${CURRENT}\"${NC}."
                cd $LAST

            elif [[ ! "$CURRENT" =~ ^/srv/DEVELOPMENT ]]
            then
                log CHANGE_DIR FAILED_PERMISSIONS "$ln"
                echo -e "${RED}ERROR:${NC} Sorry, you can't change to the directory ${YELLOW}\"${CURRENT}\"${NC}."
                cd $LAST

            elif [[ `stat -c "%G" ${CURRENT}` == "friendlounge" ]]
            then
                log CHANGE_DIR "$ln"

            else
                log CHANGE_DIR FAILED_PERMISSIONS "$ln"
                echo -e "${RED}ERROR:${NC} You have no permissions on ${YELLOW}\"${CURRENT}\"${NC}."
                cd $LAST
            fi
        # ECHO
        elif [[ "$ln" =~ ^echo\ .*$ ]]
        then
            $ln
            log COMMAND "$ln"

        # ACCOUNT
        elif [[ "$ln" = "account" ]]
        then
            echo -e "YOUR ACCOUNT:"
            echo -e "Username: $(whoami)"

        # OTHERS
        else
            ok=false
            for cmd in "${commands[@]}"
            do
                if [[ "$cmd" == "$ln" ]]
                then
                    ok=true
                fi
            done
            if $ok
            then
                $ln
            else
                echo -e "${RED}ERROR:${NC} You have no permissions to execute ${YELLOW}\"${ln}\"${NC}."
                log DENIED "$ln"
            fi
        fi
    }

    # WELCOME MESSAGE
    echo -e "${INDENTATION}${MAGENTA}Account:${NC}${INDENTATION}$(whoami)"
    echo -e "${INDENTATION}${MAGENTA}Date:${NC}${INDENTATION}${INDENTATION}$(timestamp)"
    echo -e "${INDENTATION}${MAGENTA}Uptime:${NC}${INDENTATION}${INDENTATION}${SYSTEM_UPTIME}"
    echo -e "${INDENTATION}${MAGENTA}Users:${NC}${INDENTATION}${INDENTATION}${SYSTEM_USERS}"
    echo -e "${INDENTATION}${MAGENTA}Quota:${NC}${INDENTATION}${INDENTATION}${SYSTEM_QUOTA}"
    echo -e "${INDENTATION}${MAGENTA}RAM:${NC}${INDENTATION}${INDENTATION}${SYSTEM_RAM}"

    log LOGIN "$@"
    cd
    trap "trap=\"\";log LOGOUT;exit" EXIT

    # Optionally check for '-c custom_command' arguments passed directly to shell
    # Then you can also use ssh user@host custom_command, which will execute /root/rbash.sh
    if [[ "$1" == "-c" ]]
    then
        shift
        execute "$@"
    else
        while echo -e -n "${RED}$(whoami)${YELLOW}@${CYAN}$(hostname) ${YELLOW}$(pwd) ${MAGENTA}#${NC} " && read ln
        do
            execute "$ln"
        done
    fi

此shell脚本检查用户的permission并仅强制执行/srv/DEVELOPMENT目录或子目录。

设置其他登录shell（如/bin/bash或其他）无关紧要 - 在每次登录时，SSH-Demon会在错误消息XXXX: No such file or directory之后关闭连接。

我曾尝试设置不同的权限和其他权限。我无法解决通过ssh连接的问题。

有人有想法吗？

回答之前

是的，我知道可能的安全原因（例如，管理我的＆＃34;拥有＆＃34; shell-login-script的权限）
不，我不想安装大量替代方案，例如schroot或jailkit（在谷歌上找到，读取前几分钟说，这些替代方案使用完全解耦的系统，如虚拟-machine（？） - 告诉我，当显式信息出错时）

Answer 1

你可以试试这个，它很容易使用。

你可以通过3个步骤监禁用户。

添加用户
使用简单的配置文件创建一个jail。
监禁这个用户。

该工具位于：https://github.com/pymumu/jail-shell

SFTP + SSH中的Jail用户

1 个答案: