2 grundsätzliche fragen zu linux ( SuSE )

rüdiger

für 2. kannst du chroot benutzen

nman

kingruedi schrieb:

für 2. kannst du chroot benutzen

Nur musst Du dann auch darauf achten ein eigenes bin-Verzeichnis mit den "erlaubten" Programmen bereitzustellen.

Korbinian

...und die statisch gelinkt haben, sonst brauchts ne ganze glibc dazu

rüdiger

jo, du musst eigentlich fast komplette / nachbilden (ausser natuerlich die Sachen, auf die der User nicht zugreifen soll bzw. die er nicht brauch :))

nman

Ich sagte ja dass das kompliziert werden kann.

RockNix

also leute, lacht jetzt nicht, aber ich habe einmal versucht eine eigene shell für den gast account zu schreiben - da ich nicht das ganze system verbiegen möchte.

es scheint so weit zu funktionieren, dass sobald sich jemand als gast einlogged ein perl-scirpt als "shell-clone" gestartet wird. alle commands laufen jetzt über das script und ich habe innerhalb des scripts volle kontrolle über das was der gast darf und was nicht.

ist das zu einfach gedacht und ich habe da etwas übersehen ? kann man das umgehen ? oder haltet ihr das für eine gute lösung ?

rüdiger

hmm, ich weiss nicht wie dein Perl Script aussieht, da es aber auf Dinge ausserhalb des Homeverzeichniss zugreifen kann, glaub ich nicht, dass es wirklich sicher ist! Aber ohne die Arbeitsweise deines Scripts gesehen zu haben, kann ich da schlecht was zu sagen

neverbeenhere

also da müsstest du zu viel beachten (denk ich), der user könnte zum beispiel einfach eine andere shell starten usw. für sowas am besten in "großen" foren wie http://www.linux-community.de fragen, da sitzen mehr spezies *g*

TriPhoenix

RockNix schrieb:

ist das zu einfach gedacht und ich habe da etwas übersehen ? kann man das umgehen ? oder haltet ihr das für eine gute lösung ?

Wenn du dafür sorgst, dass der benutzer KEINE eigenen Dateien starten kann, okay, sonst ists mit

cat > foo
#!/bin/bash
/bin/bash
^D
chmod u+x foo
./foo

gelaufen.

nman

todo schrieb:

für sowas am besten in "großen" foren wie http://www.linux-community.de fragen, da sitzen mehr spezies *g*

Also ohne anmaßend wirken zu wollen, ich denke dass eine funktionierende chgerootete (nominiert zum Unwort des Jahres 2003) Umgebung um einiges besser als ein derartiges Skript wäre, dafür muss niemand zur linux-community-Seite deren Niveau übrigens gleich sein dürfte wie das der Konfigurationsfragen hier. (Programmierfragen hab ich dort eigentlich so auf Anhieb keine gefunden und Unixer die kompetenter wären als unsere hiesigen Experten (kingruedi, Bashar, Daniel E. & Co.) auch nicht.)