SFTP致命错误所有权或chroot目录ubuntu 12.04的模式

12

我只是设置了SFTP服务器，当我从第一个用户帐户使用它时，它可以正常工作。我想添加一个我们称为“ magnarp”的用户。起初，我在sshd_config中做到了这一点：

Subsystem sftp internal-sftp


Match group sftponly
    ChrootDirectory /home/%u
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

效果很好，用户magnarp进入了他的主目录。然后，我尝试向其添加符号链接。

home$ sudo ln -s /home/DUMP/High\ Defenition/ /home/magnarp/"High Defenition"

该符号链接可以通过SSH正常运行，但不能通过SFTP正常运行。

因此，我现在想将Chroot组sftponly设置为/ home / DUMP，我这样做是这样的：

Match group sftponly
    ChrootDirectory /home/DUMP
    X11Forwarding no
    AllowTcpForwarding no
    ForceCommand internal-sftp

DUMP文件夹具有以下权限。

drwxrwxrwx  5 root     root      4096 aug 18 02:25 DUMP

这是错误代码：

Aug 18 16:40:29 nixon-01 sshd[7346]: Connection from 192.168.1.198 port 51354
Aug 18 16:40:30 nixon-01 sshd[7346]: Accepted password for magnarp from 192.168.1.198 port 51354 ssh2
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session opened for user    magnarp by (uid=0)
Aug 18 16:40:30 nixon-01 sshd[7346]: User child is on pid 7467
Aug 18 16:40:30 nixon-01 sshd[7467]: fatal: bad ownership or modes for chroot directory "/home/DUMP"
Aug 18 16:40:30 nixon-01 sshd[7346]: pam_unix(sshd:session): session closed for user magnarp

— 乔纳森
source

21

sshdchroot目录存在一定程度的偏执狂。我不认为可以禁用此功能（即使使用也可以StrictModes no）。chroot目录和所有父目录必须正确设置：

chroot目录及其所有父目录不得具有组或世界写入功能（即chmod 755）
chroot目录及其所有父目录必须由root拥有。

在您的情况下，可以通过以下方式解决登录错误：chmod 755 /home/DUMP 您明显的意图是拥有一个世界可写目录，sftpuser可以登录该目录，并且每个人都可以放入文件，可以通过将该目录作为以下目录的子目录来解决：/home/DUMP/

— DerfK
source

1

像魅力一样工作！谢谢。现在我只需要修复所有子目录和我的NFS系统即可：）

— Jonathan

0

A）如果制作simlink有助于逃避chroot，那么制作chroot有什么意义呢？（任何用户都可以上传simlink，然后访问整个文件系统）

B）再加上一枚chmod 777，您会被西奥（http://rlv.zcache.com/i_got_flamed_by_theo_de_raadt_t_shirt_tshirt-p235453348828729121en7rf_210.jpg）发炎。请参阅http://lists.mindrot.org/pipermail/openssh-unix-dev/2010-January/028151.html，以了解为什么openssh对于chroot目录权限如此挑剔。