1 Тема от Craken

  • Craken
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.03.2010
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Приветствую Вас Уважаемые форумчане!
Вопрос следующий: существует сервер на Centos'e, по мимо рута, есть еще один пользователь (назовем его просто user)! Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли! Ну или запретить как можно больше! Делается это чисто для безопасности, все кому "разрешено" заходить на сервер, используют рут!
Пробовал в /etc/security/access.conf указать "- : user : ALL", так не сработало!
Все заранее спасибо за помощь!

С ув., Алексей!

2 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
Craken пишет:

Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

А для чего нужен такой «ущербный» пользователь?
Используйте для этого пользователя chroot с ограниченным набором команд.

Был, был и весь вышел...

3 Ответ от Craken

  • Craken
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.03.2010
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
Lupo Alberto пишет:
Craken пишет:

Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

А для чего нужен такой «ущербный» пользователь?
Используйте для этого пользователя chroot с ограниченным набором команд.

Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

4 Ответ от Lupo Alberto

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]
Craken пишет:

Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

Так такие пользователи уже есть, заметьте, у меня обычный ноутбук, у вас на сервере их больше:

# grep nologin /etc/passwd
sshd:x:22:22:added by portage for openssh:/var/empty:/sbin/nologin
messagebus:x:101:407:added by portage for dbus:/dev/null:/sbin/nologin
haldaemon:x:102:199:added by portage for hal:/dev/null:/sbin/nologin
dhcp:x:103:104:added by portage for dhcp:/var/lib/dhcp:/sbin/nologin
ntp:x:123:123:added by portage for ntp:/dev/null:/sbin/nologin
polkituser:x:104:103:added by portage for polkit:/dev/null:/sbin/nologin
cron:x:16:16:added by portage for cronbase:/var/spool/cron:/sbin/nologin
vnstat:x:105:998:added by portage for vnstat:/dev/null:/sbin/nologin
transmission:x:106:997:added by portage for transmission:/dev/null:/sbin/nologin
mediatomb:x:107:996:added by portage for mediatomb:/dev/null:/sbin/nologin

Да и редко какое «правильное» серверное ПО не имеет такого «псевдопользователя» и требует привилегий root'а для своей работы.

Был, был и весь вышел...

5 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
Craken пишет:

Вопрос следующий: существует сервер на Centos'e, по мимо рута, есть еще один пользователь (назовем его просто user)! Требуется сделать так, чтобы пользователь user не смог ВООБЩЕ использовать команды консоли!

отберите у него /bin/sh

Craken пишет:

Дело в том, что этот пользователь нужен только для того, чтобы ПО которое работает на сервере, работало НЕ от рута.....

всё верно. И пароль отберите. Заходить туда тоже никому не надо. В /etc/shadow вместо хеша пароля пропишите !, а в /etc/passwd пропишите /sbin/nologin (или что там в вашем дистре принято)

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

6 Ответ от Craken

  • Craken
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.03.2010
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Всем Спасибо за ответы!

отберите у него /bin/sh

Каким лучше способом это можно сделать?

7 Ответ от Lupo Alberto (01.11.2010 09:10:34 отредактировано Lupo Alberto)

  • Откуда: Беларусь, Гомель
  • Зарегистрирован: 04.07.2010
  • Сообщений: 11,183
  • Репутация : [ 571 | 8 ]

Каким лучше способом это можно сделать?

Как-то так:

usermod -s /sbin/nologin -d /dev/null

...либо прямым редактированием файла /etc/passwd.

Был, был и весь вышел...

8 Ответ от Craken

  • Craken
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.03.2010
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]
Lupo Alberto пишет:

Каким лучше способом это можно сделать?

Как-то так:

usermod -s /sbin/nologin -d /dev/null

...либо прямым редактированием файла /etc/passwd.

Я прошу прощение за то что не совсем ясно выразился!
Возможность логинится я убил уже, я хотел уточнить про способ отключения /bin/sh
Спасибо!

9 Ответ от drBatty (02.11.2010 09:39:52 отредактировано drBatty)

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
Craken пишет:

Я прошу прощение за то что не совсем ясно выразился!
Возможность логинится я убил уже, я хотел уточнить про способ отключения /bin/sh


Да, остаётся возможность сделать

 Консоль:
# sudo -u user /bin/sh

(если мы в убунте, или если у нас есть права рута)

Кроме того, при наличие уязвимости в вашем сервере, можно выполнить /bin/sh из него. Это конечно неприятно, но не фатально - особых разрушительных последствий не будет. В крайнем случае, можно поместить этот сервер в chroot, но это сложнее, и, ИМХО, не имеет особого смысла.

ЗЫЖ я так браузер защитил недавно.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)