首页  |  站点地图  |  索引  |  搜索

by Mark Nielsen (homepage) 关于作者: Mark 先生是一位将自己的时间都捐献给 GNUJob.com 等事业的自由咨询者，他写了很多的文章和自由软件， 并且是eastmont.net的一名志愿者。 目录: 介绍 怎样把所有的服务都chroot呢？ 我用来创建chroot环境的Perl脚本。 对 Ntpd 进行 Chroot 对 DNS 和 named 进行 Chroot 把 Syslog 和其他服务一起进行chroot以及我所遇到的困难。 对 Apache 进行 Chroot 对 Ssh 进行 Chroot 把 PostSQL 进行 Chroot 把 Sendmail 进行 Chroot 关于 Chroot 的其他一些事情。 建议 结论 参考书目 对这篇文章发表评论

Chroot Linux中所有的服务

摘要:

对系统服务进行chroot以限制入侵者可能造成的破坏，从而提高系统的安全性。

介绍

那这样又有什么用呢？如果入侵者入侵了你的电脑，他们就不能看见你系统里所有的文件了。 这样，就限制了入侵者可能执行的命令，从而禁止了他们溢出不安全文件的机会。但唯一的缺点是， 我认为这不能阻止他们察看网络连接和其他资料。因此，你应做一些本文未深入涉及的事情：

• 保护网络端口。
• 察看是否所有的服务都以非root权限运行。另外，是否所有的服务都进行了chroot？
• 把系统日志转移到其他电脑。
• 分析日志文件。
• 分析那些试图探测你的计算机的随机端口的人们。
• 限制服务所占用的cpu和内存资源。
• 激活用户配额。

请记住 我所做的并不是100%正确的。这是我第一次尝试这样做，就算只是部分有效的话， 也应该是很容易完成基本的配置的。我想做一个chroot的HOWTO，现在所说的只是一些基本的东西。  

怎样把所有的服务都chroot呢？

• Syslogd 分别和每一个服务一起运行在hroot环境下。
• Apache 运行在/chroot/httpd下.
• Ssh 运行在/chroot/sshd下.
• PostgreSQL 运行在/chroot/postmaster下.
• Sendmail 运行在 chroot环境下，但不幸的是，它必须以root权限运行。
• ntpd 运行在 /chroot/ntpd下。
• named 运行在 /chroot/named 下。

我用来创建chroot环境的Perl脚本。

1. 创建chroot目录
   mkdir -p /chroot/Config/Backup
2. 下载Config_Chroot.pl.txt 并更名为 /chroot/Config_Chroot.pl
3. 如果你的家目录（home directory）不是/chroot，请把Perl脚本里的$Home 变量作相应的改变。
4. 下载我的配置文件。

请在Perl脚本里作相应的改变以适应你的发行版。

关于chroot，我写了一遍很长的文章，但有了我的脚本，它变得短了很多。在chroot了很多服务之后，我注意到这些服务中需要被chroot的文件和配置都很相似。对一个特定的服务来说，判断哪些文件需要拷贝的最容易的方法是查看man，如果程序要用到库文件，就再键入“ldd /usr/bin/file“。你还可以把你正在安装的服务进行chroot并手动启动， 看看出了什么错或查一查它的日志文件。

通常，要安装一个服务，可以这样做：

cd /chroot
./Config_Chroot.pl config  SERVICE
./Config_Chroot.pl install SERVICE
./Config_Chroot.pl start   SERVICE

对 Ntpd 进行 Chroot

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
#./Config_Chroot.pl config  ntpd
./Config_Chroot.pl install ntpd
./Config_Chroot.pl start   ntpd

对 DNS 和 named 进行 Chroot

如果你想用我的脚本

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
#./Config_Chroot.pl config  named
./Config_Chroot.pl install named
./Config_Chroot.pl start   named

把 Syslog 和其他服务一起进行chroot以及我所遇到的困难。

• 把syslogd分别和每一个服务进行chroot。我实际上就是这样测试的，而且记录了一些日志。我不喜欢这样做，因为我有一个以root权限运行的服务。
• 看看我们是否能连接到外部日志记录设备。
• 直接把日志记录到文件上而不是通过syslogd。这可能是最好的安全选择了，尽管如果被入侵，入侵者可以随意改动日志。
• 配置syslogd来查看几个地方，从而得到所有的服务，你可以用syslogd的-a选项来做到。

如果你不想为每一个服务都配备一个独立的syslogd，那么当你的系统运行syslogd时，请在syslogd开始时运行下面命令：

syslogd -a /chroot/SERVICE/dev/log

syslogd -a /chroot/ssh/dev/log -a /chroot/named/dev/log -a /dev/log

关于syslogd，我最后想说的是，我希望它能运行在非root账户下。我试了几个简单的东西， 但都没有成功，于是就放弃了。如果能让syslogd和每一个服务一起运行在非root账户下， 我就会对我的安全措施感到满意了。如果可能的话，最好将日志记录到外部设备上。  

对 Apache 进行 Chroot

$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE',"","", {PrintError=>0});

if ($dbh ) {$dbh->{PrintError} = 1;}
else
  {$dbh ||= DBI->connect('dbi:Pg:dbname=DATABASE;host=127.0.0.1',"","",
      {PrintError=>1});}

源地址: http://httpd.apache.org/dist/httpd/

把apache编译并安装在你系统的/usr/local/apache目录下，然后运行Perl脚本。

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
 # ./Config_Chroot.pl config  httpd
./Config_Chroot.pl install httpd
./Config_Chroot.pl start   httpd

ExtendedStatus On

<Location /server-status>
    SetHandler server-status
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

<Location /server-info>
    SetHandler server-info
    Order deny,allow
    Deny from all
    Allow from 127.0.0.1
</Location>

对 Ssh 进行 Chroot

此外，我们只要把ssh进行chroot并让你看一看那样做的结果（如果你只做了这些，你不必观察整个系统）。 当然，如果能把日志记录在外部设备上就更好了。我们应该用OpenSSH，但为了方便（这好像不是一个好的借口），我用的是一个商业的SSH。

源地址: http://www.ssh.com/products/ssh/download.cfm

在/usr/local/ssh_chroot下安装ssh并运行脚本。

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
 # ./Config_Chroot.pl config  sshd
./Config_Chroot.pl install sshd
./Config_Chroot.pl start   sshd

把 PostSQL 进行 Chroot

源代码: ftp://ftp.us.postgresql.org/source/v7.1.3/postgresql-7.1.3.tar.gz

把apache编译并安装在你系统里的/usr/local/postgres目录下。然后运行Perl脚本。

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
 # ./Config_Chroot.pl config  postgres
./Config_Chroot.pl install postgres
./Config_Chroot.pl start   postgres

把 Sendmail 进行 Chroot

cd /chroot
 # 如果你没有使用我的配置文件，请把下一行的注释去掉。
 # ./Config_Chroot.pl config  sendmail
./Config_Chroot.pl install sendmail
./Config_Chroot.pl start   sendmail

好在你随时可以发送邮件，当你收信的时候才会出问题。因此，我可以把sendmail和apache一起安装而不出问题。 我的一些Perl脚本会向外发送邮件，所以我要把sendmail程序拷贝到apache的chroot环境下。  

关于 Chroot 的其他一些事情。

1. 你的机器上包括sendmail, ssh, apache, postgresql, syslog在内的所有服务都必须运行在chroot环境下。
2. 每一个服务都必须以非root账户运行（你也许需要把已受保护的端口重定向到未受保护得端口。这包括sendmail和syslog。
3. 日志应该远离现场。
4. 对每一个服务都实行磁盘配额，以限制入侵者所能占用的磁盘。当磁盘已写满时，你应该在回环设备上为某些服务安装文件系统。
5. 所有不需改动的文件的拥有者应该是root账户。

至于syslog，我还没有试过，但我认为应该以非root账户去记录日志，我想这应该是可行的。 至少我可以为每一个服务在chroot的环境下记录日志。

所有的服务都要运行在非root账户下，甚至是NFS。请记住，是所有的服务。  

建议

• 请运行两个sshd守护进程，并进行二次登录。
• 设法使sendmail或其他邮件程序运行在非root账户下。
• 删掉/lib下不需要的函数库。我只是拷了我需要的函数库在上面。其实你不需要其中的大部分。
• 请用syslogd进行远程日志记录，看看我们是否能让syslogd连接到网络端口上并得到运行在回环设备网络端口上的所有服务的日志。 看看能否使syslogd运行在非root账户下。

结论

我绝对支持让所有服务都运行在非root权限的chroot的环境下，任何不能做到这一点的发行版，我都不会考虑在生产环境中使用它。 我正使所有的服务都运行在chroot环境下，尽我的可能使越来越多的东西这样运行 -- 最终，我会达到我的理想。

我打算为chroot写一个HOWTO。我正发送请求，希望某个人能够把我这篇文章转换成LyX格式，以便它可以放到Linux得HOWTO上。  

参考书目

1. 如有变动，请见http://www.gnujobs.com/Articles/23/chroot.html

对这篇文章发表评论

2002-01-02, generated by lfparser version 2.23