RootForum Community

Posted: **2005-02-14 15:40**

Hi,

bei der Installation von scponly (klappt endlich mit sarge) werde ich vor folgende Alternative gestellt:

Wenn Sie wollen, dass scponly in das home-Verzeichnis des Benutzers chrooted bevor es seine Arbeit aufnimmt, muss scponly zusätzlich als /usr/sbin/scponly installiert und suid root gesetzt werden.                                    

Dies könnte (im schlimmsten Fall) zu einer remote-root-Sicherheitslücke führen. Wenn Sie diese Funktionalität nicht benötigen, installieren sie diese Datei nicht. 

Chrooted /usr/sbin/scponlyc installieren und suid root (4755) setzen: ja/nein

Einerseits wäre ein "gechrooteter" scp-Zugang natürlich hübsch, andererseits ist ein möglicher remote root-Exploit natürlich sehr hässlich. Ich stehe beiden Alternativen noch etwas unentschieden gegenüber.

Mich würde mal eure Meinung zu dem Thema interessieren!

Gruß
Pit

Posted: **2005-02-14 18:46**

Hat der User auch Shell-Zugriff oder wirklich nur SCP?
Kann der User z.B. über Webscripte (CGI, PHP) System-Kommandos absätzen (was ja einer Shell gleichkäme)?

Wenn er irgendwas davon hat, ist chroot bei scponly IMHO überflüssig. Wenn der User keinerlei Shell-Zugriff hat und die chroot Funktionalität wirklich wichtig ist, dann könnte man es machen.

Posted: **2005-02-14 19:28**

dodolin wrote:Hat der User auch Shell-Zugriff oder wirklich nur SCP?
Kann der User z.B. über Webscripte (CGI, PHP) System-Kommandos absätzen (was ja einer Shell gleichkäme)?

Nein, PHP-Befehle wie exec usw. sind deaktiviert, CGI steht nicht zur Verfügung.

Wenn er irgendwas davon hat, ist chroot bei scponly IMHO überflüssig. Wenn der User keinerlei Shell-Zugriff hat und die chroot Funktionalität wirklich wichtig ist, dann könnte man es machen.

Ok, erstmal THX für die Info. Muß mir das nochmal durch den Kopf gehen lassen.

Gruß
Pit

Posted: **2005-02-14 20:31**

Wenn Dich folgende Listings nicht ernsthaft beunruhigen, kannst Du IMO ruhig die chroot-Funktionalität nutzen:

Code: Select all

/usr/bin/find / -type f ( -perm -2 -o -perm -20 )  
   -exec ls -lg {} ; 2>/dev/null >writable.txt
/usr/bin/find / -type d ( -perm -2 -o -perm -20 )  
   -exec ls -ldg {} ; 2>/dev/null >>writable.txt
/usr/bin/find / -type f ( -perm -004000 -o -perm -002000 )  
   -exec ls -lg {} ; 2>/dev/null >suidfiles.txt

Quelle: http://www.gentoo.org/doc/en/gentoo-security.xml

Posted: **2005-02-14 21:18**

Das sind alles nur Hacks. Sowohl proftpd, als auch vsftpd können inzwischen FTP über TLS/SSL

Posted: **2005-02-14 21:38**

juergen wrote:Das sind alles nur Hacks. Sowohl proftpd, als auch vsftpd können inzwischen FTP über TLS/SSL

Da der sshd ja eh' läuft bevorzuge ich irgendwie die scp-Variante, da ich mir so einen Dienst sparen kann.

RootForum Community

scponly chrooted suid -> ja / nein

scponly chrooted suid -> ja / nein

Re: scponly chrooted suid -> ja / nein

Re: scponly chrooted suid -> ja / nein

Re: scponly chrooted suid -> ja / nein

Re: scponly chrooted suid -> ja / nein

Re: scponly chrooted suid -> ja / nein