主页 / server / 问题 / 910789
Accepted
emmdee
Asked: 2018-05-05 10:47:04 +0800 CST

Chroot SFTP - 允许用户写入当前（chroot）目录

  • 772

我目前有一个 WORKING SFTP 登录，使用私钥登录，并且用户被 chroot 到他们的主目录。

目标：保留用户 chroot，但允许对相对 chroot 目录进行 WRITE 访问，而无需在任何地方指定任何路径或 cd。

换句话说，当 sftp 用户登录时，我不希望他们必须 cd 到另一个路径才能上传文件。

由于 chroot 目录需要完全的 root 所有权（由于 chroot 设计），我不确定这是否可能。

在 /etc/passwd 中：

sftpuser:x:1006:1006:,,,:/home/sftpuser:/bin/false

用户登录公钥位于：

/home/sftpuser/.ssh/authorized_keys

sshd_confg 中的 Chroot 规则： 

Match User sftpuser
    ChrootDirectory /home/sftpuser
    ForceCommand internal-sftp
    AllowTCPForwarding no
    X11Forwarding no

主目录权限： 

# ls -l /home/ |grep sftpuser
drwxr-xr-x 5 root      root     4096 May  4 11:24 sftpuser

# ls -l /home/sftpuser/
total 4
drwxrw-r-x 3 sftpuser sftpuser 4096 May  4 11:23 sftp_share

当前工作流程示例：

Connected to sftp.example.com.
sftp> ls
sftp_share

sftp> put testfile.txt
Uploading testfile.txt to /testfile.txt
remote open("/testfile.txt"): Permission denied

sftp> cd sftp_share

sftp> put testfile.txt
Uploading testfile.txt to /sftp_share/testfile.txt
testfile.txt

所需的工作流程： 

Connected to sftp.example.com.
sftp> put testfile.txt
Uploading testfile.txt to /testfile.txt
testfile.txt

有没有办法允许上传（放置）到默认目录，而不必先 chdir？

我确实可以灵活地移动这些目录。例如，sftp chroot 目录不必在用户主目录中，我什至可以更改用户主目录（但用户仍然必须能够使用 authorized_keys 登录）。

请注意：我确实了解许多 SFTP 客户端，命令行 SFTP 客户端允许在登录时定义相对路径。这超出了这个问题的范围，我希望这个配置在服务器端完成，客户端只需要登录。

linux

2 个回答

  1. Best Answer

    嘿@emmdee 我花了很长时间才意识到有一个简单而不错的技巧。您只需将 root 设置为您想要 sFTP 的父文件夹的所有者，然后使用 force 命令告诉特定用户在 CHROOT 目录中加载特定 DIR。

    在您的情况下，如果您想/home/sftpuser成为可写目录，您必须让root成为目录的所有者，/home然后继续并强制命令他/sftpuser作为该用户或组的登录目录。

    您的/etc/ssh/sshd_conf遗嘱如下所示：

    Match User sftpuser
    ChrootDirectory /home
    ForceCommand internal-sftp -d /sftpuser
    AllowTCPForwarding no
    X11Forwarding no

    完成后，您必须如前所述授予正确的权限，root 应该拥有 parent(chroot) 目录/home，而用户应该拥有 final(-d) 目录/sftpuser。如果没有，我将假设您有一个名为sftpusers的 sFTP 用户组；只需从下一个命令中省略该组或将其替换为用户（第一个是root ，第二个是sftpusers）。由于我们在命令行中使用 -R 进行继承，因此您必须在用户所有权之前从 root 所有权开始，如下所示：

    sudo chown -R root:sftpusers /home

    然后对于用户，您可以运行：

    sudo chown -R sftpuser:sftpusers /home/sftpuser

    我不确定这是否需要，但您始终可以重新启动 sshd 服务以确保再次重新加载所有设置：

    sudo systemctl restart sshd.service

    希望这应该像一个魅力一样起作用，我遇到了类似的问题，并且解决方案大部分时间都在看着我。

    干杯!

    • 13

  2. 我知道已经有几年了，但这篇文章让我走了 98% 的路。经过长时间的寻找。

    为了使我可以让用户 chroot 并自动让他们进入具有写入权限的自己的目录，我使用了@African Idiot 建议的方法，并且还使原始 chroot 目录归 root 用户和 FTP 组所有。

    但是我将它们保存在该文件夹中并且无法..并尝试浏览其他用户的文件夹的关键是创建该文件夹chmod 710 (rwx--x---)，以便 ftp 组可以执行 internal-sftp -d /%u （即 cd 进入用户子目录），现在如果我尝试cd ..进入上层目录，因为除了 root 之外没有任何人可以读取，它会失败。

    drwx--x---  6 root        sftpusers   uarch  6 Feb 19 15:34 ./
drwxr-xr-x  5 root        root        uarch  5 Feb  4 09:13 ../
drwxrwx---  3 anotheruser anotheruser uarch  3 Feb 24 15:34 anotheruser/
drwxrwx---  3 ftpuser     ftpuser     uarch 12 Feb 25 10:55 ftpuser/

    希望这对其他人也有帮助。

    • 4

相关问题