(mozna) zacatecnicky dotaz o telnetu

[Zdenek Havelka]

> Dat tam /bin/false a pridat /bin/false do /etc/shells.
> Ale trochu schopny hacker se asi skrz dostane :-)

IMHO schopneho hackera odrazim takto:
Potreboval jsem, aby nektere accounty byly pouze pro ftp a pro nic
jineho, a mel jsem strach z der v ftpd a z hackeru.
V /etc/inetd.conf spustim ftp demona pres chroot do nejakeho adresare, v
nemz vytvorim

etc/passwd
etc/group
etc/ftpaccess
etc/.... ostatni konf. soubory ftp
etc/ld-cache.so
etc/hosts
etc/resolv.conf
etc/shells

lib/ld-linux.so.1
lib/libc.so.5
lib/libc.so.5.3.12 (link na libc.so.5)

usr/sbin/ftpd

var/log/

bin/ls

dev/null
dev/log

a eventuelne dalsi, zkuste spustit wu.ftpd pres strace a podivat se, co
vsechno vlastne pouziva.

Ja jsem si vyhradil UID a GID od urcite hodnoty vyse jen pro ucely ftp
accountu, a funguje to celkem dobre (s wu.ftp 2.4.b11). Vyhoda je, ze
FTP demon nema pristup nikam jinam nez do vyhrazeneho adresare, a neni
mi znamo, jakym zpusobem by slo chroot obejit.

IMHO naborit pres ftp onen adresar, kam se provadi chroot jde snad
jedine uploadem nejake binarky + vyuziti ev. chyby ve wu.ftpd a nasledne
spusteni one binarky s pravy roota. Vyuzit SITE_EXEC pujde tezko, je tam
jen ls (--x--x--x).

Vyhoda je, ze ve "falesnem" etc/passwd a etc/group si mohu definovat
uzivatele, kteri jinak v systemu vubec neexistuji, nevyhoda je, ze
realny uzivatel nema pristup do sveho skutecneho domovskeho adresare,
ale do nejakeho pseudo ve falesne strukture. V mem pripade to ale
nevadilo, spis naopak. Samozrejme jako default shell maji uzivatele
/bin/false, ktery ovsem na disku v onom adresari bin/ vubec neni. FTP ho
nepotrebuje, jen musi byt uveden v etc/shells.
Adresar, kam se provadi chroot pro ftp demona, vubec nemusi byt v
systemu dostupny pro jine uzivatele nez pro roota. To Vam vrele
doporucuji (drwx------).

Odpadaji i problemy s pruniky pres upload konfiguracnich souboru (.rexec
...). Pri nejhorsim na serveru prijdete o cely ftp prostor, ale jinak je
server bezpecny (bavme se jen o ftp).

Nevyhody:

- Neni dostupny cely server (adresare skutecnych uzivatelu). Pokud ale
pouzivate ssh, klidne vynechte v /etc/inetd.conf  demona pro telnet a
pouzivejte jen ssh a prenos souboru pres scp.
- musite si vyhradit nejaka UID a GID jen pro FTP uzivatele, a udrzovat
falesny passwd a group soubor.
- obcas se to trochu plete ( napr. /etc/.... a ~ftp/etc/ ). Budte
pozorny.

O jinem nevim, zatim je to OK.
  
==========

Ja mam taky 2 dotazy:

- Potrebuju nakonfigurovat virtual FTP servery, ale pomoci jedine IP
adresy. Je to mozne upravou FTP demona, nebo by to musel podporovat taky
ftp klient, jako u virt. www serveru ?

- jak spustit ftp demona na jinem portu ? V konfig. souborech jsem nic
ohledne cisla portu nenasel, musim opravovat zdrojaky ? (Predpokladam,
ze pokud pak pouziju vyssi port nez 1024, nemusi bezet s pravy roota).

-- 
Zdenek Havelka
mail: pvt.zdenek na brn.pvtnet.cz