chroot - endlos Thema

[thomas.km]

Guten tag,

wie mir hier im Forum geraten wurde, habe ich versucht eine C-root Umgebung zu installieren

http://www.tjw.org/chroot-login-HOWTO/

Aber ich kann mich auf den Kopf stellen, es reicht immer nur für einen Access Denied beim einloggen :-(

Was habe ich angelegt, kopiert:
:/home/peon # ll
total 0
drwxr-xr-x 8 root root 67 Dec 23 16:02 .
drwxr-xr-x 7 root root 106 Dec 23 16:01 ..
drwxr-xr-x 2 root root 71 Dec 23 16:19 bin
drwxr-xr-x 2 root root 30 Dec 23 16:08 dev
drwxr-xr-x 2 root root 31 Dec 23 16:03 etc
drwxr-xr-x 2 1000 peon 6 Dec 23 16:02 home
drwxr-xr-x 2 root root 6 Dec 23 16:01 lib
drwxr-xr-x 3 root root 16 Dec 23 16:02 usr

/home/peon/bin # ll
total 764
drwxr-xr-x 2 root root 71 Dec 23 16:19 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
-rwxr-xr-x 1 root root 447256 Dec 23 16:06 bash
-rwxr-xr-x 1 root root 65855 Dec 23 16:19 cp
-rwxr-xr-x 1 root root 29775 Dec 23 16:19 ln
-rwxr-xr-x 1 root root 90616 Dec 23 16:19 ls
-rwxr-xr-x 1 root root 68275 Dec 23 16:19 mv
-rwxr-xr-x 1 root root 38338 Dec 23 16:19 rm
-rwsr-xr-x 1 root root 22952 Dec 23 16:06 su


/home/peon/dev # ll
total 0
drwxr-xr-x 2 root root 30 Dec 23 16:08 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
crw-rw-rw- 1 root root 5, 0 Dec 23 16:08 tty
crw-r--r-- 1 root root 1, 9 Dec 23 16:08 urandom


/home/peon/etc # ll
total 8
drwxr-xr-x 2 root root 31 Dec 23 16:03 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
-rw-r--r-- 1 root root 22 Dec 23 16:05 group
-rw-r--r-- 1 root root 57 Dec 23 16:06 passwd

group file:
root0:
peon1004:

passwd file:
root0:0::/:/bin/bash
peon1004:/home:/bin/bash


/home/peon/usr/bin # ll
total 276
drwxr-xr-x 2 root root 36 Dec 23 16:08 .
drwxr-xr-x 3 root root 16 Dec 23 16:02 ..
-rwxr-xr-x 1 root root 17723 Dec 23 16:08 env
-rwxr-xr-x 1 root root 35864 Dec 23 16:08 scp
-rwxr-xr-x 1 root root 224340 Dec 23 16:07 ssh




Dann noch in /etc/passwd:
peon1004:/tmp:/bin/chroot-shell

etc/group:
peon1004:



Hat noch jemand eine Idee?

[thomas.km]

ok, bin einen schritt weiter......ich kann mich mehr oder weniger einloggen:

login as: peon
Password:
Last login: Thu Dec 23 16:41:14 2004 from pd122344.dip.t-dialin.net
Have a lot of fun...
Password:
Sorry, try again.
Password:



er fragt und fragt.....hmmmm....bin doch aber drin?......

[thomas.km]

Dec 23 17:11:23 sshd[32731]: Accepted keyboard-interactive/pam for peon from ::ffff:217.82.118.134 port 28326 ssh2
Dec 23 17:11:33 sudo: peon : 3 incorrect password attempts ; TTY=pts/2 ; PWD=/tmp ; USER=root ; COMMAND=/usr/sbin/chroot /home/peon /bin/su - peon

[captaincrunch]

Geh noch mal alles Schritt für Schritt durch. Irgendwas wirst du schon vergessen haben. Das Howto ist eigentlich ziemlich narrensicher.

[thomas.km]

ich habe alles wieder gelöscht und nochmal neu gemacht, weil ich mir auch dachte das ich vielleicht was vergessen habe, aber ich komme leider auf das gleiche Ergebnis.

obwohl das HOWTO sehr gut gemacht ist...das stimmt

[thomas.km]

Hi

wie CC gesagt hat, habe ich nochmal alles gelöscht und habe noch mal das ganze, IMO wirklich gute, Howto abgearbeitet, aber das result ist das gleiche.

Hätte jemand Zeit sich mit mir irgendwann auf IRC zu treffen oder das gemeinsam zu machen?

Würde mich freuen......bin hier am verzweifeln....:-/

Grüsse
Thomas

[kuntho]

NOTE: On RedHat 7.x systems, not only do you have to build a new su binary but you must copy /lib/libnss_files.so.2 and /lib/libnsl.so.1 (as well as /lib/libnss_compat.so.2) to the chroot /lib directory even though they don't show up in 'ldd su'. Thanks to Arnstein Ressem and others for figuring this out.

Bei mir lags daran. Versuch mal, diese libs noch ins /lib deines Jails zu kopieren.

[kuntho]

http://www.jmcresearch.com/projects/jail/

ist eine sammlung von funktionen, die dir beim anlegen des jails hilft. kann man sehr schön einiges automatisieren. allerdings musst du auch da einige libs noch nachinstallieren, die nicht erkannt werden.

[thomas.km]

hm jail habe ich gar nicht benutzt.....werde ich mir mal angucken........ich hoffe das klappt....aber son gutes Gefühl habe ich da nicht lolol

[kuntho]

hast du schon. wenn du eine chroot - umgebung baust, dann erstellst du einen jail (gefängnis), in dem du deinen user einsperrst. ob du's jetzt für jeden user von hand machst, oder per skript, ist letztendlich egal. versuchs mal mit den libs von oben, die schreiben zwar, man braucht sie bei debian, aber bei mir (suse) lags auch daran, dass es zuerst nicht gefunzt hat.

[thomas.km]

so sind drin,

/home/peon/lib # ll
total 164
drwxr-xr-x 2 root root 73 Dec 25 23:49 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
-rwxr-xr-x 1 root root 88036 Dec 25 23:49 libnsl.so.1
-rwxr-xr-x 1 root root 32110 Dec 25 23:49 libnss_compat.so.2
-rwxr-xr-x 1 root root 41737 Dec 25 23:48 libnss_files.so.2



ich versuche es jetzt :-)

[kuntho]

weiis ja nicht, was du für ein system aufsetzt, aber bei mir braucht die minimalkonfiguration wesentlich mehr libs...

Code: Select all

# ls -al lib
total 2704
-rwxr-xr-x    1 root     root        86441 Dec 25 23:52 ld-linux.so.2
-rwxr-xr-x    1 root     root        25238 Dec 25 23:52 libacl.so.1
-rwxr-xr-x    1 root     root         9429 Dec 25 23:52 libattr.so.1
-rwxr-xr-x    1 root     root      1321674 Dec 25 23:52 libc.so.6
-rwxr-xr-x    1 root     root        11848 Dec 25 23:52 libdl.so.2
-rwxr-xr-x    1 root     root       122891 Dec 25 23:52 libhistory.so.4
-rwxr-xr-x    1 root     root       307598 Dec 25 23:52 libncurses.so.5
-rwxr-xr-x    1 root     root        35112 Dec 25 23:52 libpam.so.0
-rwxr-xr-x    1 root     root       106013 Dec 25 23:52 libpthread.so.0
-rwxr-xr-x    1 root     root       650278 Dec 25 23:52 libreadline.so.4
-rwxr-xr-x    1 root     root        33743 Dec 25 23:52 librt.so.1

[thomas.km]

war klar das das bei meinem Glück nicht funktioniert :-((


login as: peon
Password:
Last login: Thu Dec 23 17:11:23 2004 from pd123456789.dip.t-dialin.net
Have a lot of fun...
Password:
Sorry, try again.
Password:
Sorry, try again.
Password:


Dec 25 23:52:01 sshd[1330]: error: PAM: Authentication failure
Dec 25 23:52:04 sshd[1330]: Failed password for peon from ::ffff:217.93.46.57 port 10379 ssh2
Dec 25 23:52:31 sshd[1343]: Accepted keyboard-interactive/pam for peon from ::ffff:217.93.46.57 port 10399 ssh2
Dec 25 23:52:41 sudo: peon : 2 incorrect password attempts ; TTY=pts/2 ; PWD=/tmp ; USER=root ; COMMAND=/usr/sbin/chroot /home/peon /bin/su - peon
Dec 25 23:53:57 sshd[1330]: fatal: Timeout before authentication for ::ffff:217.93.46.57

[kuntho]

/home/peon/etc/passwd ?
/home/peon/etc/group ?
/home/peon/etc/shadow ?

/home/peon/dev ?

haut das alles hin?

Code: Select all

# ldd /bin/bash
        libreadline.so.4 => /lib/libreadline.so.4 (0x40019000)
        libhistory.so.4 => /lib/libhistory.so.4 (0x40045000)
        libncurses.so.5 => /lib/libncurses.so.5 (0x4004d000)
        libdl.so.2 => /lib/libdl.so.2 (0x40090000)
        libc.so.6 => /lib/libc.so.6 (0x40093000)
        /lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)

die libs sollten wenigstens noch unter /home/peon/lib zu finden sein.

[thomas.km]

weiis ja nicht, was du für ein system aufsetzt, aber bei mir braucht die minimalkonfiguration wesentlich mehr libs...

ich kopiere die von dir genannten auch mal....

[kuntho]

mal so als beispiel: ich habe hier einen user, der in der chroot folgendes machen darf:

bash php awk cat more head tail cut
tee du pwd mysql sed dir pg chmod
date echo gzip gunzip sleep fetchmail
find wget w3m rename wc tar ftp
bzip2 echo history file
rsync unzip zip

die libs für diesen User:

Code: Select all

ls -la lib
total 3324
drwxr-xr-x    2 root     root         4096 Dec 24 04:30 .
drwxrwxrwx   17 web1     web1         4096 Dec 25 23:40 ..
-rwxr-xr-x    1 root     root        86441 Dec 24 04:30 ld-linux.so.2
-rwxr-xr-x    1 root     root        25238 Dec 24 04:30 libacl.so.1
-rwxr-xr-x    1 root     root         9429 Dec 24 04:30 libattr.so.1
-rwxr-xr-x    1 root     root      1321674 Dec 24 04:30 libc.so.6
-rwxr-xr-x    1 root     root        43371 Dec 24 04:30 libcrypt.so.1
-rwxr-xr-x    1 root     root        11848 Dec 24 04:30 libdl.so.2
-rwxr-xr-x    1 root     root        41022 Dec 24 04:30 libgcc_s.so.1
-rwxr-xr-x    1 root     root       122891 Dec 24 04:30 libhistory.so.4
-rwxr-xr-x    1 root     root       176911 Dec 24 04:30 libm.so.6
-rwxr-xr-x    1 root     root       307598 Dec 24 04:30 libncurses.so.5
-rwxr-xr-x    1 root     root        87505 Dec 24 04:30 libnsl.so.1
-rwxr-xr-x    1 root     root        50549 Dec 24 04:30 libnss_compat.so.2
-rwxr-xr-x    1 root     root        15362 Dec 24 04:30 libnss_dns.so.2
-rwxr-xr-x    1 root     root        44383 Dec 24 04:30 libnss_files.so.2
-rwxr-xr-x    1 root     root        35112 Dec 24 04:30 libpam.so.0
-rwxr-xr-x    1 root     root       106013 Dec 24 04:30 libpthread.so.0
-rwxr-xr-x    1 root     root       650278 Dec 24 04:30 libreadline.so.4
-rwxr-xr-x    1 root     root        69995 Dec 24 04:30 libresolv.so.2
-rwxr-xr-x    1 root     root        33743 Dec 24 04:30 librt.so.1
-rwxr-xr-x    1 root     root        61850 Dec 24 04:30 libz.so.1

ls -la usr/lib
total 9912
drwxr-xr-x    2 root     root         4096 Dec 24 04:30 .
drwxr-xr-x    6 root     root         4096 Dec 24 04:30 ..
-rwxr-xr-x    1 root     root       147905 Dec 24 04:30 libasn1.so.5
-rwxr-xr-x    1 root     root        67085 Dec 24 04:30 libbz2.so.1
-rwxr-xr-x    1 root     root       735696 Dec 24 04:30 libc-client.so
-rwxr-xr-x    1 root     root         7801 Dec 24 04:30 libcom_err.so.1
-rwxr-xr-x    1 root     root       970764 Dec 24 04:30 libcrypto.so.0.9.6
-rwxr-xr-x    1 root     root       154612 Dec 24 04:30 libcurl.so.2
-rwxr-xr-x    1 root     root       744626 Dec 24 04:30 libdb-4.0.so
-rwxr-xr-x    1 root     root       161248 Dec 24 04:30 libexpat.so.0
-rwxr-xr-x    1 root     root       948481 Dec 24 04:30 libfreetype.so.6
-rwxr-xr-x    1 root     root       198870 Dec 24 04:30 libgd.so.4
-rwxr-xr-x    1 root     root        26620 Dec 24 04:30 libgdbm.so.2
-rwxr-xr-x    1 root     root       201378 Dec 24 04:30 libgmp.so.3
-rwxr-xr-x    1 root     root        23425 Dec 24 04:30 libgpm.so.1
-rwxr-xr-x    1 root     root        53230 Dec 24 04:30 libgssapi.so.1
-rwxr-xr-x    1 root     root       122197 Dec 24 04:30 libiodbc.so.2
-rwxr-xr-x    1 root     root       135966 Dec 24 04:30 libjpeg.so.62
-rwxr-xr-x    1 root     root       263374 Dec 24 04:30 libkrb5.so.17
-rwxr-xr-x    1 root     root        54048 Dec 24 04:30 liblber.so.2
-rwxr-xr-x    1 root     root       215052 Dec 24 04:30 libldap.so.2
-rwxr-xr-x    1 root     root        27943 Dec 24 04:30 libltdl.so.3
-rwxr-xr-x    1 root     root        64240 Dec 24 04:30 libmcal.so
-rwxr-xr-x    1 root     root        22269 Dec 24 04:30 libmcrypt.so.4
-rwxr-xr-x    1 root     root        15084 Dec 24 04:30 libmm.so.12
-rwxr-xr-x    1 root     root       224606 Dec 24 04:30 libmysqlclient.so.10
-rwxr-xr-x    1 root     root       504472 Dec 24 04:30 libmysqlclient.so.14
-rwxr-xr-x    1 root     root       213811 Dec 24 04:30 libpng12.so.0
-rwxr-xr-x    1 root     root        80367 Dec 24 04:30 libpq.so.2
-rwxr-xr-x    1 root     root        84253 Dec 24 04:30 libroken.so.9
-rwxr-xr-x    1 root     root       827483 Dec 24 04:30 libsablot.so.0
-rwxr-xr-x    1 root     root        89109 Dec 24 04:30 libsasl.so.7
-rwxr-xr-x    1 root     root       413184 Dec 24 04:30 libsnmp-0.4.2.5.so
-rwxr-xr-x    1 root     root       218504 Dec 24 04:30 libssl.so.0.9.6
-rwxr-xr-x    1 root     root       914129 Dec 24 04:30 libstdc++.so.5
-rwxr-xr-x    1 root     root       266251 Dec 24 04:30 libt1.so.1
-rwxr-xr-x    1 root     root       753656 Dec 24 04:30 libxml2.so.2

ls -la usr/X11R6/lib
total 1156
drwxr-xr-x    2 root     root         4096 Dec 24 04:30 .
drwxr-xr-x    3 root     root         4096 Dec 24 04:30 ..
-rwxr-xr-x    1 root     root      1098066 Dec 24 04:30 libX11.so.6
-rwxr-xr-x    1 root     root        64888 Dec 24 04:30 libXpm.so.4

[Joe User]

http://chrootsafe.sourceforge.net/

[thomas.km]

/home/peon/etc/passwd ?
/home/peon/etc/group ?
/home/peon/etc/shadow ?

/home/peon/dev ?

haut das alles hin?

die libs sollten wenigstens noch unter /home/peon/lib zu finden sein.

ll
total 2316
drwxr-xr-x 2 root root 4096 Dec 26 00:03 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
-rwxr-xr-x 1 root root 104484 Dec 26 00:06 ld-linux.so.2
-rw-r--r-- 1 root root 31632 Dec 25 23:59 libacl.so.1
-rw-r--r-- 1 root root 14350 Dec 26 00:00 libattr.so.1
-rwxr-xr-x 1 root root 1334147 Dec 26 00:05 libc.so.6
-rwxr-xr-x 1 root root 13647 Dec 26 00:05 libdl.so.2
-rwxr-xr-x 1 root root 24828 Dec 26 00:04 libhistory.so.4
-rwxr-xr-x 1 root root 316410 Dec 26 00:05 libncurses.so.5
-rwxr-xr-x 1 root root 88036 Dec 25 23:49 libnsl.so.1
-rwxr-xr-x 1 root root 32110 Dec 25 23:49 libnss_compat.so.2
-rwxr-xr-x 1 root root 41737 Dec 25 23:48 libnss_files.so.2
-rwxr-xr-x 1 root root 33263 Dec 26 00:03 libpam.so.0
-rwxr-xr-x 1 root root 87702 Dec 26 00:03 libpthread.so.0
-rwxr-xr-x 1 root root 176736 Dec 26 00:04 libreadline.so.4
-rwxr-xr-x 1 root root 35631 Dec 26 00:03 librt.so.1


/home/peon/etc/passwd
root0:0::/:/bin/bash
peon1004:/home:/bin/bash

/home/peon/etc/group
root0:
peon1004:

/home/peon/etc/shadow
peon:N7E04YtqZEQWs0:99999:7:::

/home/peon/dev # ll
total 0
drwxr-xr-x 2 root root 30 Dec 23 16:08 .
drwxr-xr-x 8 root root 67 Dec 23 16:02 ..
crw-rw-rw- 1 root root 5, 0 Dec 23 16:08 tty
crw-r--r-- 1 root root 1, 9 Dec 23 16:08 urandom


Im Moment würde mir ja ein erfolgreicher Login schon reichen :-//

[kuntho]

ich würds trotzdem mal mit dem jail - projekt versuchen. nbei ein kleiner skript, mit dem ich meine chroot - umgebungen anlege. dir parameter

HOMEPATH

und

SOFTWARE

musst halt entsprechend anpassen.

Code: Select all

#!/bin/bash
# CHROOT - Environment für User $1 generieren

export NEWUSER=$1
export HOMEPATH="/home/www"

/usr/local/bin/mkjailenv ${HOMEPATH}/${NEWUSER}
/usr/local/bin/addjailsw ${HOMEPATH}/${NEWUSER}

# zusätzliche Software installieren

export SOFTWARE="bash awk cat more head tail cut
                 tee du pwd sed pg chmod
                 date echo gzip gunzip sleep 
                 find wget rename wc tar 
                 bzip2 echo history file
                 rsync unzip zip"

for i in ${SOFTWARE} ; do
 echo "installiere $i"
 /usr/local/bin/addjailsw ${HOMEPATH}/${NEWUSER} -P ${i}
done


# Benutzer im jail anlegen:

/usr/local/bin/addjailuser ${HOMEPATH}/${NEWUSER} / /bin/bash ${NEWUSER}

# abschliessende Operationen
cp /lib/libnss_files.so.2 ${HOMEPATH}/${NEWUSER}/lib
cp /lib/libnsl.so.1 ${HOMEPATH}/${NEWUSER}/lib
cp /lib/libnss_compat.so.2  ${HOMEPATH}/${NEWUSER}/lib
cp /root/install/su ${HOMEPATH}/${NEWUSER}/bin
rm -r ${HOMEPATH}/${NEWUSER}. 2>/dev/null
mkdir -p ${HOMEPATH}/${NEWUSER}/var/lib/mysql
ln -f /var/lib/mysql/mysql.sock ${HOMEPATH}/${NEWUSER}/var/lib/mysql/mysql.sock
mkdir -p ${HOMEPATH}/${NEWUSER}/var/log
ln -f /var/log/messages ${HOMEPATH}/${NEWUSER}/var/log/messages
ln -f /var/log/warn ${HOMEPATH}/${NEWUSER}/var/log/warn
cp /root/install/profile.4friends ${HOMEPATH}/${NEWUSER}/.profile
chown root.root ${HOMEPATH}/${NEWUSER}/.profile
chmod 644 ${HOMEPATH}/${NEWUSER}/.profile
cat /etc/group | grep www >> ${HOMEPATH}/${NEWUSER}/etc/group

[thomas.km]

danke, so werde ich tun ;-))

(pls check PM)

[kuntho]

das mit dem jail-project funzt ganz gut. habs auf 2 meiner server so gemacht. dass ich im confixx **ganztiefduck** die standard - shell der user auf

/usr/local/bin/jail

geändert habe. ein cronskript liest diese user aus, prüft, ob die chroot- umgebung bereits existiert und legt sie bei bedarf neu an. ist ne klasse sache, brauchst nur noch den ssh-login im confixx für nen user zu enabeln, und der rest erledigt sich von alleine...