主页 / server / 问题 / 584986
Accepted
MultiformeIngegno
Asked: 2014-03-28 10:50:40 +0800 CST

chroot 目录组件的所有权或模式错误

  • 772

我创建了用户 MY_USER。将他的主目录设置为 /var/www/RESTRICTED_DIR，这是他应该被限制的路径。然后我编辑了 sshd_config 并设置：

Match user MY_USER
  ChrootDirectory /var/www/RESTRICTED_DIR

然后我重新启动了ssh。将 MY_USER 设为 RESTRICTED_DIR 的所有者（和组所有者），并将其更改为 755。我明白了

Accepted password for MY_USER
session opened for user MY_USER by (uid=0)
fatal: bad ownership or modes for chroot directory component "/var/www/RESTRICTED_DIR"
pam_unix(sshd:session): session closed for user MY_USER

如果我从 sshd_config 中删除了 2 行，则用户可以成功登录。当然它可以访问所有服务器。有什么问题？我什至尝试将 RESTRICTED_DIR 设置为 root（当我在某处读到有人解决了同样的问题时）。没运气..

ssh

4 个回答

  1. Best Answer

    从页面：_man

    ChrootDirectory
    指定 chroot(2) 认证后的目录路径名。 路径名的所有组件必须是任何其他用户或组不可写的根目录。在 chroot 之后，sshd(8) 将工作目录更改为用户的主目录。

    我的猜测是路径上的一个或多个目录不符合这些要求（我怀疑是www您的网络用户拥有或可写，而不是 root）。
    返回并按照说明进行操作，确保满足上述粗体斜体的要求。

    • 109

  2. ChrootDirectory 目录必须由 root 拥有并具有 755 模式：

    sudo chown root:root /var/www/RESTRICTED_DIR
sudo chmod 755 /var/www/RESTRICTED_DIR

    好的，现在所有文件都/var/www/RESTRICTED_DIR必须由 拥有MY_USER，必须属于www-data组，并且具有 775 模式以允许组权限，如下所示：

    sudo usermod -a -G www-data MY_USER
sudo chown MY_USER:www-data /var/www/RESTRICTED_DIR/*
sudo chmod 775 -R /var/www/RESTRICTED_DIR/*

    注意：请记住，如果您正在配置 apache，则只允许访问 htdocs 文件夹是一个很好的做法。

    • 44

  3. 今天经过一些故障排除后，我意识到root也必须能够写入目录。

    以下没有工作：

    $ ls -ld /mnt/synology03/files/
dr-xr-xr-x 1 root root 156 Oct  8 20:10 /mnt/synology03/files/
$ ls -ld /mnt/synology03
drwxr-xr-x 7 root root 4096 Oct  1 21:26 /mnt/synology03
$ ls -ld /mnt
drwxr-xr-x 6 root root 4096 Feb  8 10:01 /mnt
$ ls -ld /
drwxr-xr-x 24 root root 4096 Jan 14 09:22 /

    一旦我解决了这个问题，我的 chroot 就开始工作了。

    $ sudo chmod 755 /mnt/synology03/files/
$ ls -ld /mnt/synology03/files/
drwxr-xr-x 1 root root 156 Oct  8 20:10 /mnt/synology03/files/
    • 4

  4. 在我的情况下，以下步骤有效。

    1. useradd -d /data/ftp/user1 -s /bin/false -g users -G sftponly user1
    2. passwd user1
    3. chown root:root /data/ftp/user1
    4. 团体和其他人的权利chmod go+rx /data/ftp/user1
    5. mkdir /data/ftp/user1/{upload,download}
    6. chown user1:users /data/ftp/user1/{upload,download}
    7. sftp user1@ipaddress_server

    检查 user1 是否可以写入 /data/ftp/user1/{upload,download}

    如果 user1 只允许 sftp 而不允许 ssh 访问，那就更好了。user1 也应该是他的主目录的 chroot。这将有助于https://medium.com/tensult/configure-ftp-on-aws-ec2-85b5b56b9c94

    • 2

相关问题