Chroot prostředí - II (diskuse)

[IW]

Opet, opet prvni, ach jo.... BASH je program jako kazdy jiny, takze by se mel pouzit addjailsw. Shodou okolnosti jsou (tusim) vsechny potrebne knihovny jiz v chrootu nainstalovany jailem, nicmene to nemeni nic na faktu, ze tento postup zavani stylem, Windows (nejede to, zkopiruj knihovnu/soubor jinam a mozna to pojede). Jinak jeste jedna vec, to zjistovani demendencies a tak v Jailu dela program "strace". Autor me nakopl k hrani s chrootem a na mem LinuxuFromScratch jsem se v tom musel trochu vrtat, nez jsem to rozjel. Pro Autora: Neminim to ve zlem, jen ty chyby v clancich by udelal jen naprosty linuxovy zacatecnik, takze primo biji do oci. To ovsem muze byt i pozitivni zalezitost, kdyby vse fungovalo presne dle clanku, nehral bych si s tim a vedel o dost mene. Takze shrnuto podtrzeno drzim palce v editorske cinost, jen mozna pred vydanim nechat clanek projet nekym kompetentnim.

[Martin Pavlíček]

Co se BASHe tyce tak mate pravdu, ale bohuzel pri testovani se mi stalo, ze "addjailsw" proste na binarku BASHe "zapomel" (jenom na ni, vsechno ostatni tam bylo). Proto mi neprijde az tak divne, kdyz jsem ji tam prikopiroval "rucne".

[BoodOk]

Asi myslel
/usr/local/bin/addjailsw /chroot -P bash

[Tofu]

Ahojte,

pred nejakym casom som sa pokusal strcit ssh pod chroot. Zistil som ze to nie je vobec lahka uloha.

Tiez som nasiel zopar programov ktore na zaklade strace hladali subor a kniznice, ale vela projektov bolo mrtvych alebo nefungovali ako mali.

Kedze pouzivam Fedoru, povedal som si - naco mam rpm databazu a v nej zoznam vsetkych nainstalovanych suborov ak ju neviem vyuzit a vypisat vsetky subory a kniznice ktore pouziva ssh?

No ako som skusal, tak som skusal, nevedel som...

Preto som napisal maly skritp RPMDIG. Ako nazov zadate meno nainstalovane balicka a on rekurzivne vypise vsetky subory, kniznice a balicky ktore tento balicek pouziva. Mozete si ho stiahnut z http://freshmeat.net/projects/rpmdig Help zobrazite pomocou rpmdig --help Skript bol testovany pod RH7.3 aj pod FC3, no mal by bezat aj pod ostatnymi RPM systemami.

Bohuzial nemal som cas dokoncit moj pokus s ssh + chroot, tak ak to niekto dokonci, dajte mi vediet.

Inak z chrootu v linuxe sa varj da dost lahko uniknut, hlavne ak mate prava roota - hladajte na googli chroot escape, navod ako na to je strucne popisany aj tu: http://linux.about.com/library/cmd/blcmdl2_chroot.htm

Som zvedavy na vase reakcie.

tofu na pobox bodka sk

[Tonda]

Zajimalo by me, jak to resi updaty. coz je docela podstatne, protoze kdyz uz to pracuje skoro automaticky, tak by to nejak mohlo resit i updatovani sw. Take by o tom mohla byt v clanku aspon zminka.

[alekibango]

Pro ty z vas, kterym jailovani prijde ponekud omezene, bych doporucil http://www.linux-vserver.org/ Umoznuje to spustit cele virtualni servery, s omezenim internetu, CPU, pameti a disku a skupinky CAPS. Takze je mozne pomoci teto techniky a par Giga na disku udelat celou virtualni sit plnou pocitacu, bezne kolem 500, a to bez znatelneho zpomaleni (jak je tomu v pripade pouziti emulatoru pc). Prave se dokoncuje prvni verze distribuce Linuxu, zalozena prave na virtualnich serverech. Poskytuje tak modularni reseni s nizsimi naklady na spravu. Vyvoj probiha v ramci projektu edunix.cz. Kdyby nekdo mel zajem (predevsim lide ze skolstvi), prijdte na irc kanal #edunix-cz na irc.freenode.net.

[Petr Mach]

Ja bych vytknul jeste jeden nedostatek. Lepsi nez make install je pouzit (na systemech s balickkovym systemem rpm, deb nebo slackavare kompatibilnim, tedy prakticky vsech) checkinstall. Nejsou tak naruseny zavislosti, v systemu zustava zachovan prehled kde je co nainstalovano a co k cemu patri a take to lze pak snadno odinstalovat.

[LuděkS]

Souhlasím. Např. u CentOSu lze použít balíček jmenuje jailkit příkaz pro použití jk_init -j. Je to pak tedy trochu jinak než je výše popisováno v návodu. Přesto jako "námět" se mi článek líbí.

[theo]

chroot je sice prima vec, ale jinak celkem k nicemu. paklize je znamo x ruznych metod jak se z nej vybrejkovat a v kernelu to neni (dostatecne) osetrene, je lepsi pouzit plnokrevny jail na fbsd. pro stouraly a hracicky viz. www.grsecurity.net -- najde tam docela slusne mnozstvi materialu a taky patch grsecurity.

[llook]

Jasně, kdybych to potřeboval na serveru, naučil bych se FreeBSD. Ale i tak se pro to dá najít využití. Zrovna si trochu hraju se Slaxem a tohle je pro mě skvělý nástroj, jak do jednoho adresáře shromáždit vše potřebné pro budoucí root.

[Yusho]

zdravim a zaroven vas prosim o radu mam slackware 9.1 a naistalovany jail 1.9 postupoval som presne podla navodu a pri nalogovavani usera mi napise hlasku:

jail: execve() : No such file or directory

vcom moze byt chyba???

dakujem

[sonic]

V gentoo linux, Jail (version 1.9 for linux) mam naprosto stejny problem =[

jail: execve() : No such file or directory

Nevite nekdo prosim radu?

sonic@czechcore.cz

diky.

[Vlado]

Dobry den, postupoval som podla clanku az do okamihu ked som zadal chroot /chroot dostal som hlasku cannot run command /bin/bash: No such file or directory. skusal som aj /usr/local/bin/addjailsw -P bash aj rucne prekopirovanie cp /bin/bash /chroot/bin

ale nepomohlo Dik za radu

[jm]

Ale jo, vime. V chrootu chybi /lib/ld-linux.so.2, no holt ten jail moc inteligentni neni, kdyz neumi ani korektne pouzit ldd...

[tofu]

Ahojte, pred nejakym casom som sa pokusal strcit ssh pod chroot. Zistil som ze to nie je vobec lahka uloha.

Tiez som nasiel zopar programov ktore na zaklade strace hladali subor a kniznice, ale vela projektov bolo mrtvych alebo nefungovali ako mali.

Kedze pouzivam Fedoru, povedal som si - naco mam rpm databazu a v nej zoznam vsetkych nainstalovanych suborov ak ju neviem vyuzit a vypisat vsetky subory a kniznice ktore pouziva ssh?

No ako som skusal, tak som skusal, nevedel som...

Preto som napisal maly skritp RPMDIG. Ako nazov zadate meno nainstalovane balicka a on rekurzivne vypise vsetky subory, kniznice a balicky ktore tento balicek pouziva. Mozete si ho stiahnut z http://freshmeat.net/projects/rpmdig Help zobrazite pomocou rpmdig --help Skript bol testovany pod RH7.3 aj pod FC3, no mal by bezat aj pod ostatnymi RPM systemami.

Bohuzial nemal som cas dokoncit moj pokus s ssh + chroot, tak ak to niekto dokonci, dajte mi vediet.

Inak z chrootu v linuxe sa vraj da dost lahko uniknut, hlavne ak mate prava roota - hladajte na googli chroot escape, navod ako na to je strucne popisany aj tu: http://linux.about.com/library/cmd/blcmdl2_chroot.htm

Som zvedavy na vase reakcie.

tofu na pobox bodka sk

[LuděkS]

Já jsem se s tím docela trápil, ale nakonec se mi to nepodařilo. Je ale fakt, jestli není lepší pro takové případy použít treba OpenVPN. Ptal jsem se na to tady.

[aaa]

pěkný články, jen tady asi nikdo nepochopil že to není řešení pro interaktivní přihlášení na bash anóbrž na jednotlivé instance programů jako bind atd.

[LuděkS]

man jailkit: jailkit - utilities for jailing a user or process