Mittwoch, 12. März 2008
Work-Notiz: Symlinks und ProFTPD
Schon lange kein Web-Entwickler-Content mehr hier, dem kann Abhilfe geschaffen werden.
Ich habe daheim einen kleinen Linux-Server, der mir als Mail+Fileserver, Router und Spielwiese dient. Eigentlich ist es ein Single-User-System, weshalb ich wenig Aufwand dazu betreibe das Permission-System von Linux vollständig aufzudröseln und einzusetzen.
Wie auch immer, dort habe ich gelegentlich Dateien, die ich anderen Personen oder Freunden über FTP bereitstellen möchte. Dafür läuft bei mir ProFTPD, und über angelegte Linux-User kommen die Personen direkt in ihr Homedir. Da die Dateien für sie aber meist tief verschachtelt in meiner eigenen Filesystem-Hierarchie liegen, habe ich bisher immer nur einen symbolische Verzeichnislink im Homedir der User angelegt um auf meine Dateien zu verweisen.
Bis ich heute dann nebenbei bemerkte, dass das bei ProFTPD ein kapitales Problem eröffnet: Die FTP-User kommen auch aus ihrem homedir heraus auf jede andere Hierarchie des Servers. Und da liegt ja dann doch ab und an irgendwas, was man eigentlich nicht anbieten möchte (Geheimdienstakten, Terrorpläne und meine Nacktfotos).
Nachdem ich in der proftpd.conf die Zeile DefaultRoot ~ eingefügt hatte, war die Sache Geschichte. Jeder User kommt aus seinem Homedir nun nicht mehr raus. Aber dafür halt auch nicht in die symlink-Verzeichnisse rein - auch doof.
Ein kurzes Googeln hat mir die Lösung offenbart: Anstelle von Symlinks einfach self-mounts benutzen:
mount --bind /usr/development/downloads /home/guest/download
Somit wird quasi ein auf dem Server existierendes Verzeichnis nochmals im User-Verzeichnis gemounted, und der User kann trotz chroot drauf zugreifen.
Ich habe daheim einen kleinen Linux-Server, der mir als Mail+Fileserver, Router und Spielwiese dient. Eigentlich ist es ein Single-User-System, weshalb ich wenig Aufwand dazu betreibe das Permission-System von Linux vollständig aufzudröseln und einzusetzen.
Wie auch immer, dort habe ich gelegentlich Dateien, die ich anderen Personen oder Freunden über FTP bereitstellen möchte. Dafür läuft bei mir ProFTPD, und über angelegte Linux-User kommen die Personen direkt in ihr Homedir. Da die Dateien für sie aber meist tief verschachtelt in meiner eigenen Filesystem-Hierarchie liegen, habe ich bisher immer nur einen symbolische Verzeichnislink im Homedir der User angelegt um auf meine Dateien zu verweisen.
Bis ich heute dann nebenbei bemerkte, dass das bei ProFTPD ein kapitales Problem eröffnet: Die FTP-User kommen auch aus ihrem homedir heraus auf jede andere Hierarchie des Servers. Und da liegt ja dann doch ab und an irgendwas, was man eigentlich nicht anbieten möchte (Geheimdienstakten, Terrorpläne und meine Nacktfotos).
Nachdem ich in der proftpd.conf die Zeile DefaultRoot ~ eingefügt hatte, war die Sache Geschichte. Jeder User kommt aus seinem Homedir nun nicht mehr raus. Aber dafür halt auch nicht in die symlink-Verzeichnisse rein - auch doof.
Ein kurzes Googeln hat mir die Lösung offenbart: Anstelle von Symlinks einfach self-mounts benutzen:
mount --bind /usr/development/downloads /home/guest/download
Somit wird quasi ein auf dem Server existierendes Verzeichnis nochmals im User-Verzeichnis gemounted, und der User kann trotz chroot drauf zugreifen.
Trackbacks
Trackback-URL für diesen Eintrag
Keine Trackbacks
Kommentare
Ansicht der Kommentare:
(Linear | Verschachtelt)
Ich habe mir vor ca. 2 Monaten auch so ein Homedir zugelegt. Ganz schön pelzig das Ding und riechen tut es auch sehr streng. Da ich mir etwas Erleichterung verschaffen wollte habe ich es letzte Woche gemounted... nun ist es chroot!
wir danken Ihnen für den Besuch in unserer Praxis, es ist uns stets ein Vergnügen Sie hier begrüßen zu dürfen. Homedirrhiden können in der Tat eine wenig genussvolle Ausgestaltung und Ausformung annehmen.
Es ist verständlich, dass Sie da sofort zum Mounten greifen wollten, aber da dies häufig von unzertifizierten Stellen durchgeführt wird, war mit einem solchrooten Ergebnis durchaus zu rechnen.
In Zukunft empfehlen wir, sich vorher mit PHP und etwas SQL-Salbe zu präparieren. Auch kann ihnen HDR und DRI oft eine Abpelzung verschaffen.
Vor allem aber Kernel-Panics kann man so vorbeugen, auch das BSD-Root-Auditing wird erleichtert.
Sprechen Sie uns ruhig an, keine Angst. Susi & ich wissen, was wir tun.
