URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 76141
[ Назад ]

Исходное сообщение
"Ограничение shell пользователей"
Отправлено helloworld , 09-Сен-07 11:04

Подскажите как ограничить обычных пользователей в просмотре содержимого всей файловой системы кроме своего каталога /usr/home/user1
А то не дело, я могу посмотреть что валется в /usr/home/user2 с sh правами user1

Содержание

Ограничение shell пользователей,zing, 12:28 , 09-Сен-07
- Ограничение shell пользователей,helloworld, 13:24 , 09-Сен-07
Ограничение shell пользователей,tux2002, 08:04 , 10-Сен-07
Ограничение shell пользователей,jd, 12:31 , 10-Сен-07
Ограничение shell пользователей,трам пам пам, 13:40 , 10-Сен-07
- Ограничение shell пользователей,jd, 14:35 , 10-Сен-07

Сообщения в этом обсуждении

"Ограничение shell пользователей"
Отправлено zing , 09-Сен-07 12:28

>Подскажите как ограничить обычных пользователей в просмотре содержимого всей файловой системы кроме
>своего каталога /usr/home/user1
>
>А то не дело, я могу посмотреть что валется в /usr/home/user2 с
>sh правами user1
chroot

"Ограничение shell пользователей"
Отправлено helloworld , 09-Сен-07 13:24

>>Подскажите как ограничить обычных пользователей в просмотре содержимого всей файловой системы кроме
>>своего каталога /usr/home/user1
>>
>>А то не дело, я могу посмотреть что валется в /usr/home/user2 с
>>sh правами user1
>
>chroot
Пробовал таким образом:
# adduser testuser
# chroot -u testuser -g testuser /home/testuser /bin/sh
chroot: /bin/sh: No such file or directory

Если не трудно, можно статью по chroot ?

"Ограничение shell пользователей"
Отправлено tux2002 , 10-Сен-07 08:04

>А то не дело, я могу посмотреть что валется в /usr/home/user2 с
>sh правами user1
Надо менять значение umask для пользователей (чтоб создавали 770/660 или 750/640) и разруливать их по частным группам по умолчанию (каждому пользователю своя одноимённая группа).

"Ограничение shell пользователей"
Отправлено jd , 10-Сен-07 12:31

Обычно в /home создаются директории пользователей с правами 700 (drwx------). Этого вполне достаточно, чтобы никто ни к кому в домашнюю директорию не заглядывал.
А ограничить пользователя "просмотром" только своей домашней директории нельзя, так как множество команд находится в /bin, /usr/bin, а некоторые программы требуют доступа к /tmp. Это как минимум. Я уже не говорю, что для полноценной работы пользователю может понадобиться и /usr/share/man, и /usr/include и много чего ещё...

"Ограничение shell пользователей"
Отправлено трам пам пам , 10-Сен-07 13:40

Всем спасибо, выставил права 711.
Буду разбираться с jail in fbsd

"Ограничение shell пользователей"
Отправлено jd , 10-Сен-07 14:35

>Всем спасибо, выставил права 711.
При правах 711 нельзя просмотреть директорию (то есть сделать ls, например), но можно прочитать файл в ней, если знать (или предположить) имя такого файла и если права на файл позволяют.