Dotaz: VSFTPD-vytvareni adresaru

[Adam]

Ahoj, mam vsftpd a mam tam klasicke usery, ktere mam uzavrene v chroot() -muzou byt jen a jen ve svem home a jednoho, ktery neni uzavreny- je v chroot listu a ten muze prochazet celou strukturou. Ale potreboval bych, aby tento user mohl vytvaret a mazat adresare nejen u sebe, ale prave i u tech ostatnich uzivatelu. Nevite jak nastavit prave prava pro tohoto super usera?

Diky moc, adam

Odpovědi

[David Jež]

Tento uzivatel bude muset mit prava v adresarich ostatnich uzivatelu pro vytvareni a mazani souboru a podadresaru at uz pres prava nebo ACL...
-djz

[Adam]

A nevite prosim jak nastavit ta prava? ja jsem teprve zacaatecnik a stale zkusim a hledam.....

[Michal Marek (twofish)]

Google: unix práva adresáře soubory -- to snad bude stačit

[Adam]

Vsude se pise jen o set-uid nebo set-gid, ale nevim nevim jak to pouzit

[unchallenger]

Aby bylo jasno, vsftpd nedá tomu uživateli žádná práva ,navíc`. Bude mít v nejlepším případě tatáž práva, jako kdyby se normálně přihlásil. Takže musíš nastavit normální práva ve filesystému.

Aby bylo ještě jasněji, se standardními unixovými právy tohoto nedosáhneš (bez drastických side-effektů (zdravím MSSM)), pokud ten speciální uživatel není opravdu superuživatel (root). Zbývají ACL, a na ty nejsem takový expert, abych tu rozdával rady...

[Michal Marek (twofish)]

Jde o to, aby ten uživatel byl v nějaké speciální skupině a ty adresáře, kam má smět zapisovat, měly tu skupinu a práva 0775 -- u existujících adresářů to není problém. U nově vytvořených adresářů to problém je, protože a) mají skupinu podle defaultní skupiny vlastníka b) nemusí mít zápis pro skupinu. b) se dá ,,trochu`` vyřešit nastavením umask na 0002 (a doufat že uživatelé neumí měnit práva přes FTP) a) jsem teď zkoušel se setgid bitem a zatím se zdá, že to na Linuxu funguje -- zachovává skupinu a setgid bit u nových souborů a adresářů.

[Adam]

To je presne to co mam na mysli, ale neumim to zatim realizovat Prave ze ten "super uzivatel" staci mit prava k mazani a vytvareni adresaru od useru z FTP a Ti nemaji zadne pravomoce. Takze myslite ze by to nejak slo?

[Michal Marek (twofish)]

> Prave ze ten "super uzivatel" staci mit prava
> k mazani a vytvareni adresaru od useru z FTP
             ^^^^^^^^^

Pokud to nebude skutečně superuživatel (root), tak to konvenčními zbraněmi nepůjde úplně dokonale, protože nebude moct vytvořit něco s cizím vlastníkem. Mazání je v pohodě pakliže má právo zapisu do adresáře (třeba je ve skupine machr a ty adresáře vypadaji takhle

ls -ld /home/luser/nejaky/adresar
drwxrwxr-x   29 luser   machr       4096 zář 10 17:42 /home...
     ^                  ^^^^^

> a Ti nemaji zadne pravomoce

Jesli nemají pravomoc cokoliv vytvořit, tak odpadá problém co jsem popisoval předtím.

[Michal Marek (twofish)]

No a realizuje se to chmod, chown, groupadd, atd., což jsem chtěl říct tím odkazem na Google.

[Adam]

Mnooo on by to mohl nakone byt i root, kdo by se prihlasoval k tomu FTP a mel ty prava, ale chtel jsem to s jinym uzivatelem, kdo by mel prava mazani a vytvareni u jinych uzivatelu. Ale z5- oni Ti klasicti uzivatele musi mit taky pravo vytvaret adresare, popr. je mazat.... a to asi bude problem, ze?

[Adam]

Proste, jestli mi rozumite, chtel bych mit takoveho usera- jako je root- aspon stejna prava v oblasti mazani a vytvareni adresaru. Tedkom jsem se na FTP prihlasil jako root a jde to vsechno krasne, ale vite jak to je s rootem na FTP nenapada nekoho nejake reseni???

[Michal Marek (twofish)]

Už jsem to měl skoro napsané ale ten #@$#%&! firefox mi na Ctrl+W zavřel okno (v X!) :-/ </emotive>

Normálně to asi nepůjde, je to filesystém a ne databáze. Co se tomu blíží je následující:

1) Ten uživatel má speciální skupinu (machr)

2) Normální uživatel má umask 0002 a zakázaný chmod (FIXME: jde to ve vsftpd nastavit per uživatel nebo adresář?)

3) Adresáře normálního uživatele maji práva 2775 (drwxrwsr-x), vlastníka toho uživatele a skupinu machr.

To by mělo fungovat tak, že machr může všem mazat soubory a adresáře a normální uživatelé smějí mazat a vytvářet jen svoje věci. Problém nastane, když bude chtít machr něco vytvořit, protože to pak bude mít vlastníka machr a ne luserXY.

[unchallenger]

To vytváření snad není řešitelné ani s ACL...

[Adam]

Mnooo vite, me to ani nevadi, ze by meli vseci uzivatele vlastne stejna prava jako ten user "machr" ponevac ja je mam v chroot() jailu a ten user machr je povoleny v chroot() listu! Takze ikdyz budou mit vseci prava na vsechno, tak by to asi stacilo, neee jsou prece uzavreni jen a jen ve svem home a vyse je to nepusti - neberu v uvahu napr. buffer overfloat Nemyslite??????

[unchallenger]

To je sice celkem drsné, ale šlo by to. Za žádnou cenu se pak ovšem uživatelé nesmějí dostat z chrootu() (vsftpd bych celkem věřil), přihlásit se jinak, a pod.

Všechny je dáš do nějaké skupiny a nastavíš umask 002. Soubory, které vytvoří machr, sice budou mít pořád špatného vlastníka, ale ten, kdo se do svého adresáře dostane, bude s nimi moci zacházet i tak. A opravu vlastníků by šlo jednou za čas dělat cronem ;-)

K dovršení všeho můžeš zapnout hide_ids, takže skutečný vlastník nebude vidět.

[Adam]

Jasne, z chroot() se doufam nedostanou.... OK, tak kdyz dam vsechny user do jedne skupiny a nastavim jim umask 002, ale mam taky asi nastavit v konfiguraci vsftp local_umask=022, ze? a jak jste to myslel s tim cronem? nechapu to s temi spatnymi vlastniky

A jeste PLS jsem zacatesnik- a nevim jak dat uzivatele kteri uz existuji do skupiny a dat jim ten umask 002- je to nekde v passwd?

[unchallenger]

local_umask=002

Skupinu bych jim změnil tu implicitní, takže čtvrtou položku v /etc/passwd (a pak změnit chgrp -R skupinu už existujícíh souborů).

Soubory a adresáře, které vytvoří machr, budou patřit machrovi. Funkčně to sice nebude vadit, ale měly by raději patřit uživateli, v jehož adresáři jsou. Takže jednou za čas cronem spustíš chown na ty uživatelské adresáře.

[Adam]

Asi jsem nepochopil zacatek Vaseho odstavce- jakou ctvrtou skupinu v passwd?

[unchallenger]

Položku. Skupina je čtvrtá položka v /etc/passwd.

P.S.: Nemusíme si snad začít vykat...

[Adam]

Ctvrta? me se to moc nezda

studio:x:1001:1001:,,,:/home/studio:/bin/false

Nejak moc nerozumim tem skupinam- v /etc/group je seznam skupin? Zda se mi to jako seznam useru napr.: ondra:x:1000:

[unchallenger]

Máš zjevně distribuci, která je default dávat každého uživatele do samostatné skupiny. Takže s tím budeš mít o něco větši prudu...

[Adam]

Jooo, uz vim, uzivatel je zaroven i ve stejne nazvove skupine Ale stale mi nesedi ta ctvrta polozka Ale nejsou ty prava v local_mask 022 malo? na to co chci?

[Adam]

Ale kdyz tak premyslim, to co delame, my jim dame jen mala prava a uzavreme je do skupiny, ale stale neni ten vysledny efekt? nebo to stale nechapu???

[unchallenger]

Ale stale mi nesedi ta ctvrta polozka

man 5 passwd

Ale nejsou ty prava v local_mask 022 malo? na to co chci?

Potřebuješ přece, aby tam mohl machr (tedy přesněji kdokoli, kdo je ve správně skupině) volně zapisovat. 022 by dalo práva -rw-r--r--.

P.S.: V další odpovědi už asi začnu klít ;-)

[Adam]

Jo, sorry, jsem asi natvrdly Noo vida, prece ta 002 je jen -rw-r--r--. Neni pro GORUP write a tudiz nemuze zapisovat clen skupiny, neni to tak?

[unchallenger]

prece ta 002 je jen -rw-r--r--

Ne. Dobrá, začnu klít až příště. Zatím

man 2 umask

Maska se ANDuje negovaná.

[Adam]

Dobry, sice to stale i po precteni manu nechapu, ale budiz. Udelal jsem, ze jsem nastavil local_umask=002, zalozil jsem skupinu a v /etc/passwd jsem ji pripsal k userum no a tedkom se uz ani nedokazi prihlasit k serveru

[jm]

/etc/passwd???? A proboha proc tam??? To snad patri do /etc/group!

[unchallenger]

Jak nastavím v /etc/group uživateli primární skupinu?

[unchallenger]

Nedokáží (uživatelé), nebo nedokáži (ty)?

V prvním případě zkontroluj (a případně změň), že ten jejich home má vlastníka, skupinu a práva, jaká má mít. Taky to snad napíše něco do logu.

[Adam]

Ja to nastavuji a zaroven to i testuji Takze do logu to pise akorat FAIL LOGIN, v passwd to vypada takkhle:
ondra:x:1000:skupina:,,,:/home/ondra:/bin/false

a jejho home ma:
drwxr-xr-x 2 1000 skupina 4096 2004-09-11 02:32 ondra

takze nevim v cem to visi

[Michal Marek (twofish)]

Čtvrtá položka (man 5 passwd) musí být číslo.

[Adam]

Ahaa, to jsem nedocetl/ vidite mate pravdu-uz to jede, ale stale nemuze uzivatel "machr" vytvaret adresare u jinych

[Michal Marek (twofish)]

Read The Fine Manual: info chmod, konkrétně info '(fileutils)File permissions'

drwxr-xr-x
     ^
   TADY

[Adam]

Nooo, ja to taky tvrdil, ze tam musi byt w?! a nestaci jen local_umask=002!!!!! nebo ne?

[Michal Marek (twofish)]

Umask určuje (ne)práva nově vytvořených souborů a adresářů.

[Adam]

Ahaa, tak v tom by problem nemel byt Zeby v nastaveni skupiny?

[Michal Marek (twofish)]

Nepokazil jste náhodou něco v /etc/passwd (dvojtečka navíc ...)? To se pak přihlašuje celkem blbě