作者 主題: 轉貼 - 什麼是CHROOT?  (閱讀 9561 次)

0 會員 與 1 訪客 正在閱讀本文。

protech

  • 活潑的大學生
  • ***
  • 文章數: 322
  • 性別: 男
    • 檢視個人資料
轉貼 - 什麼是CHROOT?
« 於: 2002-06-09 04:04 »
作者: jdli@csie.nctu.edu.tw

CHROOT就是Change Root,也就是改變程式
執行時所參考的根目錄位置。

一般的目錄架構:
/
/bin
/sbin
/usr/bin
/home

CHROOT的目錄架構:
/hell/
/hell/bin
/hell/usr/bin
/hell/home


* 為何要CHROOT?

1.限制被CHROOT的使用者所能執行的程式,
  如SetUid的程式,或是會造成 Load 的
  Compiler等等。
2.防止使用者存取某些特定檔案,如/etc/passwd。
3.防止入侵者/bin/rm -rf /。
4.提供Guest服務以及處罰不乖的使用者。
5.增進系統的安全。

*  要如何建立CHROOT的環境?
1.chroot()這個function:
  chroot(PATH)這個function必須具有 root
  的身份才能執行,執行後會將跟目錄切換到
  PATH 所指定的地方。
2.login的過程:
  使用者無論是從console或是telnet進入,
  都必須執行/usr/bin/login來決定是否能
  進入系統,而login所做的動作大致是:
  (1)印出login的提示符號,等待使用者輸入密碼。
  (2)檢查密碼是否正確,錯誤的話回到(1)。
  (3)正確的話以setuid()來改變身份為login_user。
  (4)以exec()執行user的shell。

因此我們必須先修改/usr/bin/login的source code,
讓login在(2)到(3)的中間執行chroot($CHROOT_PATH)
的動作,已達到CHROOT的目的,並以修改過的login
替代原先的/usr/bin/login。
  (5)稍微好一點的方法必須在做chroot()之前檢查login
     user的group,如果有某個特定的group(如chrootgrp)
     才執行chroot(),不然所有的人都會被chroot了。

3.建立CHROOT所需的環境:
  (1)必須具備的目錄:(假設$CHROOT為希望建立的路徑)
     $CHROOT/etc  $CHROOT/lib  $CHROOT/bin
     $CHROOT/sbin $CHROOT/usr/lib  $CHROOT/usr/bin
     $CHROOT/usr/bin $CHROOT/usr/local  $CHROOT/home
  (2)仔細審查/etc中的檔案,需具備執行程式時所需的檔
     案,如passwd,groups,hosts,resolv.conf等等。
  (3)拿掉不想給的執行檔,如su,sudo等SetUid的程式,
     以及compiler甚至telnet。
  (4)測試一下,以root身份執行  chroot $CHROOT /bin/sh
     即可進入CHROOT環境中。(man chroot for details)
  4.在console或是以telnet進入試試。
  5.Username/Password Resolve的考量:
   在CHROOT時你可能不希望被CHROOT的使用者(以後簡
   稱CHROOTer)能拿到/etc/passwd或是/etc/shadow等檔
   案,尤其是有root密碼的。以下有三種情形:
(1)/etc/passwd跟 $CHROOT/etc/passwd相同:
   這是最差的作法,因為一來被CHROOTer有機會得到root
   的encrypted password,二來要保持/etc/passwd及
   $CHROOT/etc/passwd的同步性是個大問題。因為
   /usr/bin/login參考的是/etc/passwd,可是一旦
   CHROOTer被chroot後執行passwd時,他所執行的
   passwd所更改的將是$CHROOT/etc/passwd。
(2)/etc/passwd跟$CHROOT/etc/passwd不同:
   你可以把$CHROOT/etc/passwd中的重要人物(如root)
   的密碼拿掉,然後以比較複雜的方法修改
   /usr/bin/login:
   if (has_chroot_group) {
     re-load $CHROOT/etc/passwd
     if (password is valid) {
        chroot($CHROOT)
        exec(shell)
     } else logout()
   }
   此法的好處是你可以將/etc/passwd跟
   $CHROOT/etc/passwd分開來。/etc/passwd只影響
   CHROOTer在login時所使用的username,其他如
   password甚至uid,gid,shell,home等等都是參
   考$CHROOT/etc/passwd的。
   缺點是你其他的daemon如ftpd,httpd都必須做相同
   的修改才能正確取的CHROOTer的資訊,而且你在把一
   個user加入或移出chroot_group時都必須更改
   /etc/passwd跟$CHROOT/etc/passwd。

(3)使用NIS/YP:
   此法大概是最簡單,且麻煩最少的了。因為一切的user
   information都經過NIS Bind來取得,不但可以保護住
   root的密碼,也省去/etc/passwd跟
   $CHROOT/etc/passwd同步管理上的問題。不只是
   passwd,連其他如groups,hosts,services,
   aliases等等都可以一併解決。

* 其他必須考慮的問題:
1.執行檔的同步性:
  再更新系統或是更新軟體時,必須考慮到一併更換
  $CHROOT目錄下的檔案,尤其如SunOS或是BSD等會用
  nlist()來取得Kernel Information的,在更新kernel
  時必須更新$CHROOT下的kernel。
2./dev的問題:
  一般而言你必須用local loopback NFS將/dev read-
  write mount到$CHROOT/dev以使得一般user跟CHROOTer
  可以互相write以及解決devices同步性的問題。
3./proc的問題:
  在Linux或是SYSV或是4.4BSD的系統上許多程式會去
  參考/proc的資料,你必須也將/proc mount到
  $CHROOT/proc。
4./var的問題:
  一般而言/var也是用local loopback NFS read-write
  mount到$CHROOT/var下,以解決spool同步性的問題,
  否則你可能必須要修改lpd或是sendmail等daemon,
  不然他們是不知道$CHROOT/var下也有spool的存在。
5.Daemon的問題:
  你必須修改一些跟使用者相關的Daemon如ftpd,httpd
  以使這些daemon能找到正確的user home。

* CHROOT無法解決的安全問題:
1.不小心或是忘記拿掉SetUid的程式:
  CHROOTer還是有機會利用SetUid的程式來取得root的
  權限,不過因為你已經將他CHROOT了,所以所能影響到
  的只有$CHROOT/目錄以下的檔案,就算他來個
  "/bin/rm -rf /" 也不怕了。
  不過其他root能做的事還是防不了,如利用tcpdump來
  竊聽該localnet中的通訊並取得在該localnet上其他
  機器的帳號密碼,reboot機器,更改NIS的資料,更改
  其他沒有被CHROOT的帳號的密碼藉以取得一般帳號(所
  以root不可加入NIS中)等等。
  (此時就必須藉由securetty或是login.access或是將
   wheel group拿出NIS來防止其login as root)
2.已載入記憶體中的Daemon:
  對於那些一開機就執行的程式如sendmail,httpd,
  gopherd,inetd等等,如果這些daemon有hole(如
  sendmail),那hacker只要破解這些daemon還是可以取
  得root權限。

* 結論:
   CHROOT可以增進系統的安全性,限制使用者能做的事,
   但是CHROOT Is Not Everything,因為還是有其他的
   漏洞等著hacker來找出來。

kenny

  • 訪客
轉貼 - 什麼是CHROOT?
« 回覆 #1 於: 2002-06-09 17:17 »
上面的設定有提到修改 login source code 的辦法﹐不過如果使用 pam 的話﹐有個 pam_chroot.so 的模組可以使用。假如您使用 redhat7.1 系統﹐請參考下面這個文件﹕
/usr/share/doc/pam-0.74/txts/README.pam_chroot

比方說﹐我在 /etc/pam.d/sshd 裡面補上一行如下﹕
session    optional     /lib/security/pam_chroot.so

然後建立 /etc/security/chroot.conf 檔﹕
echo "user1 /chroot/guest" >> /etc/security/chroot.conf

這樣﹐只要在 /chroot/guest 目錄下面建立好 chroot 環境﹐那就可以了~~
其他的﹐諸如 login 等 service 也可以如法泡制。

duncanlo

  • SA 苦力組
  • 俺是博士!
  • *****
  • 文章數: 7312
    • 檢視個人資料
轉貼 - 什麼是CHROOT?
« 回覆 #2 於: 2002-06-09 23:46 »
請較一個問題:
看一般的chroot範例,像named,ftpd都是把必需的檔案拷到那個帳號的家目錄下,
可以多個帳號共用那些檔案嗎?假如我是要限系統一般的user!

kenny

  • 訪客
轉貼 - 什麼是CHROOT?
« 回覆 #3 於: 2002-06-10 08:32 »
假如都 chroot 到同一個目錄結構下﹐是可以的。如果不同的話﹐就只能從新建囉﹐使用 link 是沒什麼用的﹐只能在正常系統下從 chroot 目錄內 link 出來﹐而不能在 chroot 後﹐將外面的 link 進來。

duncanlo

  • SA 苦力組
  • 俺是博士!
  • *****
  • 文章數: 7312
    • 檢視個人資料
轉貼 - 什麼是CHROOT?
« 回覆 #4 於: 2002-06-10 10:38 »
那又生出兩個問題:
1.每個User都要有一份,那不是會多佔些空間?
(幸好通常只給最基本需要的,而且大HDD也便宜)
2.使用HardLink可以嗎?
(我也沒試過,不過好像省不了多少空間!)

為了安全小小的成本應該還是要花的!