Архив форумов ЦИТФорума

[Дрон]

При запуске этого фтп, от имени не рута, система не дает ему вешаться на 21 порт, как нибудь можно это обойти?

[and3008]

-

[AlexanderK]

.

[AlexanderK]

А что, в какой-то ОС не рут может сесть на порт

[AlexanderK]

.

[Дрон]

Версия ОС - asplinux 7.x, я не знаю может ли в какой-нить ос не рут сесть на порт меньше 1024, меня интересует данная ос, и возможность обхода вышеописанной ситуации. Уж очень хочется, чтоб ftp запускался не от имени рута. Спасибо.

[AlexanderK]

Если хочется безопасности - смотреть в сторону sandbox (ну или как там это в Линуксе).
Т.е. полная изоляция запущенного приложения в некоторой области с запретом выхода оттуда.

Во Фре есть еще jail.
Но надо смотреть именно в эту сторону.

[Прохожий]

Можно ftp поставить на другой машине внутри сети, тогда порты там и порты наружу можно связать так, как душе угодно...

[Dmitry.Karpov http://www.]

(empty)

[Dmitry.Karpov http://www.]

Операцию смены озера может сделать только root (пароль он должен проверить сам) - так делают login из-под getty или telnetd, ftpd, sshd и все остальные. Чем тебе помешали рутовые правА у ftpd? он же все равно их скидывает и переходит в обычного юзера; а может еще и сделать chroot, заперев себя в директории (по умолчани. это делается для юзера "ftp").

[Дрон]

поэтому, насколько я понимаю, root нужен только для того чтобы сделать bind с 21 портом. Хотя, если честно этот сервер меня уже достал и я окончательно запутался. Может посоветуете сервак под линух, где юзеры не связаны с линуховскими юзерами, и желательно такая вещь: если у юзера нет прав на какой-то каталог он его вообще не должен видеть

[and3008]

linux.webclub.ru
Раздел Архив - Книги.
Дока "Безопасность и оптимизация RedHat"
Дока на русском. Там написано как сделать безопасный FTP

[Dmitry.Karpov http://www.]

Начнем с того, что каждому имени юзера кроме рароля ставятся в соответствие UID (User ID, число) и список GIDs (Group IDs), в которые юзер входит. Права доступа к файлу определяются по UID и GIDs (надеюсь, все знают, как).

Запустить сервис от имени любого юзера можно через inetd - inetd забиндит порт (он кROOTой) и запустит сервис от имени того, кого ему прикажут. А вот как ftpd получит доступ к файлу другого юзера, если не сможет перекинуться в этого юзера?

Право видеть каталог можно выставить.


А вот нежелание связываться с системными юзерами надо давить. Впрочем, в последнем FreeBSD появилась pam-авторизация, где юзеров можно брать откуда угодно...
Допустим