chroot-Benutzer erstellen

rerajung · Beitrag von **rerajung** » 02.10.2005 15:01:04

Hallo Debianer,

ich würde gerne einen unprivilegierten Benutzer erstellen, welcher beim Einloggen (normaler Login oder su), sofort in einer chroot-Umgebung landet. Dieser Benutzer soll zwei Gameserver über screen starten können, muss also in der Lage diese(n) GameServer auszuführen. Ein Ausbrechen sollte sehr erschwert werden, also sollten keine root Prozesse laufen. GRSecurity habe ich bereits implementiert.
Wie erstelle ich eine solchen chroot-Benutzer, beziehungsweise beschränke ich diesen auf das Gameserver-Verzeichnis, ohne die screen Funktionalität zu verlieren.

Danke. Grüße René.

startx · Beitrag von **startx** » 02.10.2005 15:32:30

http://www.debian.org/doc/manuals/secur ... nv.de.html

listet einige möglichkeiten auf. einen wirklich einfachen weg dahin -also ein script mit dem man einfach einen user im chroot anlegt - hab ich bis heute leider nirgendwo gefunden.

wenn der nutzer nur ein programm starten soll, könnte das auch mit rbash gehen. weiss ich aber nicht genau. rbash verhindert aber alle bewegungen, bietet aber eine shell.

meandtheshell · Beitrag von **meandtheshell** » 02.10.2005 15:48:03

chroot ist NICHT sicher - das ist ein Irrglaube

besser rbash verwenden

markus

startx · Beitrag von **startx** » 02.10.2005 15:52:06

chroot ist NICHT sicher

okay, sicherheit ist immer relativ, aber gibts du ein beispiel was du meinst?

meandtheshell · Beitrag von **meandtheshell** » 02.10.2005 15:54:05

@ startx
http://www.debianforum.de/forum/viewtop ... ll&start=0

markus AKA meandtheshell

startx · Beitrag von **startx** » 02.10.2005 16:22:16

hm, ja das habe ich auch schon mal gelesen irgendwo. muss ich mir mal wieder zu gemüte führen ... das ist aber schon ein paar jahre her und soweit ich weiss kann man dieses trick verhindern, so ähnlich wie das auch unter freebsd funktioniert.

meandtheshell · Beitrag von **meandtheshell** » 02.10.2005 16:24:52

startx hat geschrieben:soweit ich weiss kann man dieses trick verhindern

ja - vserver verwenden

startx · Beitrag von **startx** » 02.10.2005 16:27:43

@meandtheshell

hm, naja, der übergang von einer extrem weit getriebenen chroot/jail umgebung zu einem vserver ist ja fast fliessend. ausser du setzt komplett virtuelle maschienen ein. die kernel erweiterungen für linux dafür hab ich aber noch nie probiert, wenn ich mal zeit habe ...

meandtheshell · Beitrag von **meandtheshell** » 02.10.2005 16:52:52

startx hat geschrieben:@meandtheshell

hm, naja, der übergang von einer extrem weit getriebenen chroot/jail umgebung zu einem vserver ist ja fast fliessend

nein - die chroot barrier beim vserver funkt. ganz anders - da kommt man nicht drüber - außer man schreibt den source code patcht den kernel und compiliert sich einen kernel ---> dann kann man sich seinen eigenen server hacken - that's indeed nonsense, but possible

zu freeBSD jail kann ich nichts sagen - docu usw. gelesen habe ich aber praktische Erfahung habe ich nicht

markus

startx · Beitrag von **startx** » 02.10.2005 17:12:24

kennst du das hier:
http://www.jmcresearch.com/projects/jail/

ist das was anderes als ein normales chroot?

meandtheshell · Beitrag von **meandtheshell** » 02.10.2005 17:25:19

startx hat geschrieben:kennst du das hier:
http://www.jmcresearch.com/projects/jail/

ist das was anderes als ein normales chroot?

nur überflogen:
so wie es aussieht eben nicht - d.h. userspace tool - da liegt ja das problem - beim vserver ist das im kernel drinnen - ich glaube auch nicht das es das freeBSD Jail ist - nur namesgleichheit

freebsd Jail:
http://docs.freebsd.org/44doc/papers/jail/jail.html

wenn du zeit hast lies beides einmal durch und sag ob nur namesgleichheit besteht oder ob es sich um dasselbe handel ... dann berichte uns - danke

markus

startx · Beitrag von **startx** » 02.10.2005 17:30:33

werd ich mal tun.

ich hab grad das hier überflogen :
"Entkommen aus einer CHROOT() Umgebung unter Linux"
http://www.little-idiot.de/ChrootEntkommen.pdf

dort gibt er als beispiel das chrlogin.c zum anlegen von chroots wobei mir noch nicht
ganz klar ist ob er das als positives beispiel meint. im wesentlichen muss ich doch verhindern, dass der user ugo+x rechte vergeben kann, so wie ich das bei ftp mit umask machen kann. hm, naja, ich les mich mal ein ....