chroot

增進系統安全的程序

CHROOT就是Change Root,也就是改變程序執行時所參考的根目錄位置。CHROOT可以增進系統的安全性,限制使用者能做的事。

目錄架構


/bin
/sbin
/usr/bin
/home
/hell/
/hell/bin
/hell/usr/bin
/hell/home

作用


1.限制被CHROOT的使用者所能執行的程式,如SetUid的程式,或是會造成 Load 的Compiler等等。
2.防止使用者存取某些特定檔案,如/etc/passwd。
3.防止入侵者/bin/rm -rf /。
4.提供Guest服務以及處罰不乖的使用者。
5.增進系統的安全。

建立環境


1.chroot()這個function:
chroot(PATH)這個function必須具有root的身份才能執行,執行後會將根目錄切換到PATH 所指定的地方。
2.login的過程:
使用者無論是從console或是telnet進入,都必須執行/usr/bin/login來決定是否能進入系統,而login所做的動作大致是:
(1)印出login的提示符號,等待使用者輸入密碼。
(2)檢查密碼是否正確,錯誤的話回到(1)。
(3)正確的話以setuid()來改變身份為login_user。
(4)以exec()執行user的shell。
因此我們必須先修改/usr/bin/login的source code,讓login在(2)到(3)的中間執行chroot($CHROOT_PATH)的動作,已達到CHROOT的目的,並以修改過的login 替代原先的/usr/bin/login。
(5)稍微好一點的方法必須在做chroot()之前檢查login user的group,如果有某個特定的group(如chrootgrp)才執行chroot(),不然所有的人都會被chroot了。
3.建立CHROOT所需的環境:
(1)必須具備的目錄:(假設$CHROOT為希望建立的路徑)
$CHROOT/etc $CHROOT/lib $CHROOT/bin
$CHROOT/sbin $CHROOT/usr/lib $CHROOT/usr/bin
$CHROOT/usr/bin $CHROOT/usr/local $CHROOT/home
(2)仔細審查/etc中的檔案,需具備執行程式時所需的檔案,如passwd,groups,hosts,resolv.conf等等。
(3)拿掉不想給的執行檔,如su,sudo等SetUid的程式,以及compiler甚至telnet。
(4)測試一下,以root身份執行 chroot $CHROOT /bin/sh即可進入CHROOT環境中。(man chroot for details)
4.在console或是以telnet進入試試。 > 5.Username/Password Resolve的考量:
在CHROOT時你可能不希望被CHROOT的使用者(以後簡稱CHROOTer)能拿到/etc/passwd或是/etc/shadow等檔案,尤其是有root密碼的。以下有三種情形:
(1)/etc/passwd跟 $CHROOT/etc/passwd相同:
這是最差的作法,因為一來被CHROOTer有機會得到root的encryptedpassword,二來要保持/etc/passwd及$CHROOT/etc/passwd的同步性是個大問題。因為/usr/bin/login參考的是/etc/passwd,可是一旦CHROOTer被chroot後執行passwd時,他所執行的passwd所更改的將是$CHROOT/etc/passwd。
(2)/etc/passwd跟$CHROOT/etc/passwd不同:
你可以把$CHROOT/etc/passwd中的重要人物(如root)的密碼拿掉,然後以比較複雜的方法修改
/usr/bin/login:
if (has_chroot_group) {
re-load $CHROOT/etc/passwd
if (password is valid) {
chroot($CHROOT)
exec(shell)
} else logout()
}
此法的好處是你可以將/etc/passwd跟$CHROOT/etc/passwd分開來。/etc/passwd隻影響
CHROOTer在login時所使用的username,其他如password甚至uid,gid,shell,home等等都是參
考$CHROOT/etc/passwd的。缺點是你其他的daemon如ftpd,httpd都必須做相同的修改才能正確取的CHROOTer的資訊,而且你在把一個user加入或移出chroot_group時都必須更改/etc/passwd跟$CHROOT/etc/passwd。
(3)使用NIS/YP:
此法大概是最簡單,且麻煩最少的了。因為一切的user information都經過NIS Bind來取得,不但可以保護住root的密碼,也省去/etc/passwd跟$CHROOT/etc/passwd同步管理上的問題。不只是
passwd,連其他如groups,hosts,services,aliases等等都可以一併解決。
2.將阿帕奇設定在chroot環境下
建立/chroot目錄
#mkdir /chroot
建立一些必需的子目錄
#mkdir /chroot/dev
#mkdir /chroot/lib
#mkdir /chroot/etc
#mkdir /chroot/bin
#mkdir /chroot/usr
#mkdir /chroot/usr/local
在我們的chroot建立/dev/null
#mknod -m 666 /chroot/dev/null c 1 3
將阿帕奇拷貝到/chroot目錄中
#cp -rp /usr/local/apache/ /chroot/usr/local
拷貝必需的二進位文件
#cp /bin/sh /chroot/bin
確定哪些庫是必需的——這取決於你編譯時內建了哪些模塊
#ldd /usr/local/apache/bin/httpd
將需要的庫拷貝到chroot目錄
#cp /lib/libm.* /chroot/lib/
#cp /lib/libgdbm.* /chroot/lib
#cp /lib/libdb.* /chroot/lib
#cp /lib/libdl.* /chroot/lib
#cp /lib/libc.* /chroot/lib
拷貝網路連接所需要的函數庫
#cp /lib/libnss* /chroot/lib
拷貝必需的/etc下的文件到chroot
#cp /etc/passwd /chroot/etc
#cp /etc/shadow /chroot/etc
#cp /etc/group /chroot/etc
#cp /etc/resolv.conf /chroot/etc
#cp /etc/hosts /chroot/etc
#cp /etc/localtime /chroot/etc
#cp /etc/localtime /chroot/etc
#cp /etc/ld. so.* /chroot/etc

需要考慮


1.執行檔的同步性:
再更新系統或是更新軟體時,必須考慮到一併更換$CHROOT目錄下的檔案,尤其如SunOS或是BSD等會用nlist()來取得Kernel Information的,在更新kernel時必須更新$CHROOT下的kernel。
2./dev的問題:
一般而言你必須用local loopback NFS將/dev read-write mount到$CHROOT/dev以使得一般user跟CHROOTer可以互相write以及解決devices同步性的問題。
3./proc的問題:
在Linux或是SYSV或是4.4BSD的系統上許多程式會去參考/proc的資料,你必須也將/proc mount到
$CHROOT/proc。
4./var的問題:
一般而言/var也是用local loopback NFSread-writemount到$CHROOT/var下,以解決spool同步性的問題,否則你可能必須要修改lpd或是sendmail等daemon,不然他們是不知道$CHROOT/var下也有spool的存在。
5.Daemon的問題:
你必須修改一些跟使用者相關的Daemon如ftpd,httpd以使這些daemon能找到正確的user home。

安全問題


1.不小心或是忘記拿掉SetUid的程式:
CHROOTer還是有機會利用SetUid的程式來取得root的許可權,不過因為你已經將他CHROOT了,所以所能影響到的只有$CHROOT/目錄以下的檔案,就算他來個 "/bin/rm -rf /"也不怕了。不過其他root能做的事還是防不了,如利用tcpdump來竊聽該localnet中的通訊並取得在該localnet上其他機器的帳號密碼,reboot機器,更改NIS的資料,更改其他沒有被CHROOT的帳號的密碼藉以取得一般帳號(所
以root不可加入NIS中)等等。
(此時就必須藉由securetty或是login.access或是將wheel group拿出NIS來防止其login as root)
2.已載入記憶體中的Daemon:
對於那些一開機就執行的程式如sendmail,httpd,gopherd,inetd等等,如果這些daemon有hole(如 sendmail),那hacker只要破解這些daemon還是可以取得root許可權。

結論


CHROOT可以增進系統的安全性,限制使用者能做的事,但是CHROOT Is Not Everything,因為還是有其他的漏洞等著hacker來找出來。