防止 rssh 使用者離開他們的監獄目錄
我正在嘗試使用 rssh 將使用者嚴格限制在他們的 /home/user/public_html 目錄中。我讓它在一個帳戶可以在測試伺服器上成功通過 SFTP 進入系統的情況下工作，但是一旦我以該帳戶登錄，我注意到我可以將目錄更改為我希望的任何位置並查看文件的內容。我可能無法編輯或轉移到那些目錄，但我認為能夠監禁它們的全部目的是為了防止這種事情發生？
SSHD 設置為子系統 sftp internal-sftp RSSH 將使用者指定為只能使用 scp 和 sftp 使用者帳戶使用 /usr/bin/rssh 作為 shell 並且 /home/user/public_html 使用者的主目錄是 root：使用者所有者：組
我注意到，儘管他們可以查看內容的唯一文件和可以 cd 進入的目錄都是世界可讀的，這是有道理的，但是為什麼允許他們離開他們的目錄呢？請不要說我只是回答了我自己的問題。目的是找到防止這種情況的最佳實踐解決方案。
期望的結果是，他們被限制任何 cd 到不屬於他們的任何目錄的能力。
我在這裡錯過了什麼嗎？
這是 rssh.conf 文件的內容；
logfacility = LOG_USER allowscp allowsftp #allowcvs #allowrdist #allowrsync #allowsvnserve # set the default umask umask = 022 user=wwwtest1:077:110000:/home/wwwtest1/public_html這是 sshd_config 文件的內容；
# Package generated configuration file # See the sshd_config(5) manpage for details # What ports, IPs and protocols we listen for Port 22 # Use these options to restrict which interfaces/protocols sshd will bind to #ListenAddress :: #ListenAddress 0.0.0.0 Protocol 2 # HostKeys for protocol version 2 HostKey /etc/ssh/ssh_host_rsa_key HostKey /etc/ssh/ssh_host_dsa_key HostKey /etc/ssh/ssh_host_ecdsa_key #Privilege Separation is turned on for security UsePrivilegeSeparation yes # Lifetime and size of ephemeral version 1 server key KeyRegenerationInterval 3600 ServerKeyBits 768 # Logging SyslogFacility AUTH LogLevel INFO # Authentication: LoginGraceTime 120 PermitRootLogin yes StrictModes yes RSAAuthentication yes PubkeyAuthentication yes #AuthorizedKeysFile %h/.ssh/authorized_keys # Don't read the user's ~/.rhosts and ~/.shosts files IgnoreRhosts yes # For this to work you will also need host keys in /etc/ssh_known_hosts RhostsRSAAuthentication no # similar for protocol version 2 HostbasedAuthentication no # Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication #IgnoreUserKnownHosts yes # To enable empty passwords, change to yes (NOT RECOMMENDED) PermitEmptyPasswords no # Change to yes to enable challenge-response passwords (beware issues with # some PAM modules and threads) ChallengeResponseAuthentication no # Change to no to disable tunnelled clear text passwords #PasswordAuthentication yes # Kerberos options #KerberosAuthentication no #KerberosGetAFSToken no #KerberosOrLocalPasswd yes #KerberosTicketCleanup yes # GSSAPI options #GSSAPIAuthentication no #GSSAPICleanupCredentials yes X11Forwarding yes X11DisplayOffset 10 PrintMotd no PrintLastLog yes TCPKeepAlive yes #UseLogin no #MaxStartups 10:30:60 #Banner /etc/issue.net # Allow client to pass locale environment variables AcceptEnv LANG LC_* #Subsystem sftp /usr/lib/openssh/sftp-server Subsystem sftp internal-sftp # Set this to 'yes' to enable PAM authentication, account processing, # and session processing. If this is enabled, PAM authentication will # be allowed through the ChallengeResponseAuthentication and # PasswordAuthentication. Depending on your PAM configuration, # PAM authentication via ChallengeResponseAuthentication may bypass # the setting of "PermitRootLogin without-password". # If you just want the PAM account and session checks to run without # PAM authentication, then enable this but set PasswordAuthentication # and ChallengeResponseAuthentication to 'no'. UsePAM yes
如果您只需要 sftp，請不要為 rssh 和創建監獄而煩惱。如果您使用的是內部 sftp 伺服器，最新版本的 openssh-server 可以為您 chroot sftp 使用者。例如，如果您想將某個組的所有使用者 chroot 到他們的主目錄，您可以將其添加到 sshd_config：
Match Group sftp-only ChrootDirectory %h ForceCommand internal-sftp AllowTcpForwarding no
設置 rssh 並非易事。您基本上必須使用要在監獄中執行的任何內容的二進製文件/庫/配置來建構 chroot/jail。
在 Debian 系統中，有一些工具可以做到這一點，例如makejail或 rssh docs 目錄中包含的腳本
/usr/share/doc/rssh/examples/mkchroot.sh。如果您還沒有，您應該查看所有與 rssh 相關的文件，以及rssh和rssh.conf
/usr/share/doc/rssh/的手冊頁 您應該特別查看的一個文件是 CHROOT 文件以查看它的執行。zless /usr/share/doc/rssh/CHROOT.gz如果你試圖限制你的使用者，他們真的需要 shell 訪問嗎？還是完全限制他們使用 sftp 是一個有效的選擇？如果他們只需要傳輸文件，請查看此伺服器故障搜尋的結果。( ForceCommand 內部 sftp )