使用chroot構建linux沙盒
因為idc上掛了一個外部網站,idc權限一般不外放,之前給一個登錄shell為/bin/nologin的用戶建ftp,現在希望更進一步，可以ssh到該目錄中使用git命令進行代碼管理但不能對其他目錄和系統有權限。早先知道有個chroot命令，今天用了一下。如:
chroot /home/chroot /bin/bash
注意如果提示no such file or directory,實際上是提示/bin/bash或它需要的文件(如so文件)找不到，解決方法就是把所有需要目錄都拷貝過去(用ldd /bin/bash查看)。
chroot的目錄必須是root所有的,相當於一個系統目錄沙盒,我看到網上有很多用chroot方法在一台機器上構建不同linux發行版(centos,redhat,slackware)。
我的具體做法是這樣:
sudo mkdir /home/chroot
cd /home/chroot
sudo cp /bin . -rf
sudo cp /lib . -rf
sudo cp /lib64 . -rf
sudo cp /usr . -rf
sudo cp /sbin . -rf
sudo cp /etc . -rf
sudo mkdir ./dev
sudo mkdir ./proc
sudo mount --bind /dev/ ./dev
sudo mount --bind /proc/ ./proc
chroot /home/chroot /bin/bash
恩，這樣就可以了，現在要添加一個home/hopkins目錄在/home/chroot/中的用戶,登陸shell為/bin/bash的用戶,添加之後在/etc/password中看到是這樣:
hopkinsadmin:x:1004:1004::/home/hopkinsadmin:/bin/bash
修改/etc/ssh/sshd_config,添加:
Match User hopkinsadmin
ChrootDirectory /home/chroot/
重啟sshd:
sudo service ssh restart
現在ssh登陸就可以了,很棒吧。
