目的
- ホームディレクトリ(/home/username)よりも上位のディレクトリのアクセスをさせないようにする
ユーザがftpするときに他のユーザのディレクトリが見えてはまずい。
これを解決する。
- ただし、管理者は全てをftpできるようにしておく。
1. 変更前の/etc/ftpd/ftpaccess
aagreeting brief
class all real,guest,anonymous *
email root@localhost
loginfails 5
readme README* login
readme README* cwd=*
message /welcome.msg login
message .message cwd=*
compress yes all
tar yes all
chmod no guest,anonymous
delete no guest,anonymous
overwrite no guest,anonymous
rename no guest,anonymous
log transfers anonymous,real inbound,outbound
shutdown /etc/shutmsg
passwd-check rfc822 warn |
2. 変更後の/etc/ftpd/ftpaccess
赤：削除 青：追加または変更
reeting brief
class all real,guest,anonymous *
email root@localhost
loginfails 5
readme README* login
readme README* cwd=*
message /welcome.msg login
message .message cwd=*
compress yes all
tar yes all
chmod no anonymous
delete no anonymous
overwrite no anonymous
rename no anonymous
log transfers anonymous,real inbound,outbound
shutdown /etc/shutmsg
passwd-check rfc822 warn
# specify group, user will be “guest” or “real”.
guestgroup users
realuser koizumi
# path-filter (DON’T upload dot files)
path-filter guest /etc/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^-
|
3. /etc/passwdの変更
アクセス制限を掛けたいユーザー（ここではkitano）のホームディレクトリを以下のように変更する。
【変更前】
kitano:x:502:100:Takeshi Kitano:/home/kitano:/bin/bash
ホームディレクトリである/home/kitanoを/homeに変更する。
ログインディレクトリを/home/kitano/にする。
このため、ホームディレクトリ/./ログインディレクトリのように/./で区切って記述する。
【変更後】
kitano:x:502:100:Takeshi Kitano:/home/./kitano:/bin/bash
webをアップロードすることが多ければ、アップロード先のpublic_htmlまで指定すればよい。
kitano:x:502:100:Takeshi Kitano:/home/./kitano/public_html:/bin/bash
4. ファイルやディレクトリが見えなくなるので
/homeがホームディレクトリになったのはOK。
しかし/homeより上のディレクトリは一切アクセスできなくなった。
なぜなら、/bin/lsが利用できないからだ。
ユーザはログインしたとき/homeが/に見えるので、/home/binと/home/libを作成すればよい。
ユーザのディレクトリに移動して、binとlibディレクトリを作る。
# mkdir /home/bin
# mkdir /home/lib
lsコマンドが必要とするライブラリを調べる。
# ldd /bin/ls
libc.so.6 => /lib/libc.so.6 (0x40018000)
/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)
よって、/bin/lsには/lib/libc.so.6と/lib/ld-linux.so.2が必要なのが分かった。
この2つのファイルをコピーする。
# cp /bin/ls /home/bin/
# cp /lib/ld-linux.so.2 /home/lib/
# cp /lib/libc.so.6 /home/lib/
# cp /bin/mkdir /home/bin/
# cp /bin/rmdir /home/bin/
最後の2行、mkdirとrmdirも忘れずにコピーしよう。
5. セキュリティを高め、事故を防ぐ設定
ユーザディレクトリの先頭が「.」で始まるファイルを上書きされるのを防ぐため次の1行を/etc/ftpd/ftpaccessに追加する。
path-filter guest /etc/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^-
参考までにguestとrealの記述方法。
guestgroup <groupname> [<groupname> …]
guestuser <username> [<username> …]
realgroup <groupname> [<groupname> …]
realuser <username> [<username> …]
|
