Dotaz: VSFTPd, chroot_local_user a bezpecnost?

[Libor Valenta]

Zdravim, snazim se nakonfiguroavt si bezpecne VSFTPdaemona ale pritom se pozastavuju nad polozkou v MANu: "chroot_local_user" u ktere se mimo jine pise: "Warning: This option has security implications, especially if the users have upload permission, or shell access. Only enable if you know what you are doing. Note that these security implications are not vsftpd specific. They apply to all FTP daemons which offer to put local users in chroot() jails." Nevi nekdo, co tim chtel basnik rici? On tam vylozene pise, ze dat YES muze byt nebezpecne (snad to blbe nechapu). Pochopil bych to naopak, tzn. ze nebezpecne by bylo ty usery neJAILovat. Jak si to vysvetlujete vy?

Odpovědi

[mikulkajan]

No sice stary prispevek, ale taky by me to zajimalo....

[#Tom]

Bezpečnost chrootu můžete posoudit třeba s takovýmto programem:

#include <stdio.h>
#include <unistd.h>
#include <fcntl.h>
#include <sys/stat.h>
#include <sys/types.h>
#include <dirent.h>
#include <string.h>

#define CHROOT_TEMP "chroot_temp"

int ls(char *dirname) {
  DIR *dir = opendir(dirname);
  struct dirent *dirent;
  char tmp[4096];
  struct stat st;
  
  if (dir == NULL) return -1;
  printf("Výpis adresáře '%s'\n", dirname);
  while ((dirent = readdir(dir))) {
    strcpy(tmp, dirname);
    strcat(tmp, "/");
    strcat(tmp, dirent->d_name);
    lstat(tmp, &st);
    if (S_ISDIR(st.st_mode)) printf("d"); else
    if (S_ISLNK(st.st_mode)) printf("l"); else
    if (S_ISBLK(st.st_mode)) printf("b"); else
    if (S_ISCHR(st.st_mode)) printf("c"); else
    if (S_ISFIFO(st.st_mode)) printf("p"); else
    if (S_ISSOCK(st.st_mode)) printf("s"); else
    if (S_ISREG(st.st_mode)) printf("-"); else printf("?");
    if (st.st_mode & 00400) printf("r"); else printf("-");
    if (st.st_mode & 00200) printf("w"); else printf("-");
    if (st.st_mode & 04000)
      if (st.st_mode & 00100)
        printf("s");
      else printf("S");
    else
      if (st.st_mode & 00100)
        printf("x");
      else
        printf("-");
    if (st.st_mode & 00040) printf("r"); else printf("-");
    if (st.st_mode & 00020) printf("w"); else printf("-");
    if (st.st_mode & 02000)
      if (st.st_mode & 00010)
        printf("s");
      else
        printf("S");
    else
      if (st.st_mode & 00010)
        printf("x");
      else
        printf("-");
    if (st.st_mode & 00004) printf("r"); else printf("-");
    if (st.st_mode & 00002) printf("w"); else printf("-");
    if (st.st_mode & 01000)
      if (st.st_mode & 00001)
        printf("t");
      else
        printf("T");
    else
      if (st.st_mode & 00001)
        printf("x");
      else
        printf("-");
    printf(" %2u %6u %6u %10lu %s", st.st_nlink, st.st_uid,
      st.st_gid, st.st_size, dirent->d_name);
    if (S_ISLNK(st.st_mode)) {
      tmp[readlink(tmp, tmp, sizeof(tmp))] = 0;
      printf(" -> %s", tmp);
    }
    printf("\n");
  }
  return 0;
}

int main() {
  int d; 
  int i;
  struct stat fi;
  char buf[1024];
  printf("Aktuální adresář: %s\n", getcwd(buf, sizeof(buf)));
  ls(".");
  if (stat("chroot_temp", &fi) < 0)
    mkdir("chroot_temp", 0700); /* uděláme si podadresář */
  else
    if ((fi.st_mode & S_IFDIR) == 0) {
      printf("Dočasný adresář '" CHROOT_TEMP "' nelze vytvořit.\n");
      return 1;
    }
  d = open(".", O_RDONLY);    /* vytvoříme si návratový bod */
  chroot("chroot_temp");      /* zanoříme se do podadresáře */
  fchdir(d);                  /* vyskočíme zpět a chroot pokazíme */
  for (i = 0; i < 10000; i++) /* utečeme */
    chdir("..");
  chroot(".");                /* a potvrdíme to */
  printf("Aktuální adresář: %s\n", getcwd(buf, sizeof(buf)));
  ls(".");
  return 0;
}

Prográmek se přeloží a vyzkouší takto:

gcc -static -o chroot_test chroot_test.c
chroot `pwd` /chroot_test

Fungovat to však bude jen se správcovskými právy - to je koneckonců napsáno i v manuálové stránce: man 2 chroot.

O této problematice najdete více tady a ještě tady.

[petr_p]

No to je ale stary trik. Navic kazdy vi, ze proces s EUID==0 si muze delat v systemu, co chce, vubec si neumusi hrat s inody mimo koren procesu, napr. si muze otevrit /proc/kmem nebo primountovat libovolny FS nebo cokoliv jineho.

Ale k tematu: Pokud je FTP server napsany dobre, tak se nemate ceho bat. Tim dobre myslim, ze se nejdriv forkne, pak si zaridi logovani (napr. pres puvodniho demona), pak provede autentizaci, pak pozavira vsechny nepotrebne sokety, odmapuje pamet apod., pak chroot(), a konecne suid(non_priviledge_uid).

Pote neni mozne ziskat standardnimi prostredky roota zpet. Viz setuid(2):

If the user is root or the program is setuid root, special
care must be taken. The setuid function checks the  effec-
tive  uid  of  the  caller and if it is the superuser, all
process related user ID's are set to uid.  After this  has
occurred,  it is impossible for the program to regain root
privileges.

[Zdeněk Burda]

Při vhodně nastaveném/upraveném systému tenhle jednoduchý test nemá šanci...

book:/# chroot /tmp/ /chroot_test
Aktuální adresár: /
Výpis adresáre '.'
drwxr-xr-x  3      0      0         42 .
drwxr-xr-x  3      0      0         42 ..
-rwxr-xr-x  1   1000    100     502147 chroot_test
drwx------  2      0      0          6 chroot_temp
Aktuální adresár: /
Výpis adresáre '.'
drwx------  2      0      0          6 .
drwx------  2      0      0          6 ..

[#Tom]

To je pěkný. Není to náhodou nějakej SELinux, nebo něco takového?

[Zdeněk Burda]

grsec