使用chroot构建linux沙盒

定位

使用chroot构建linux沙盒

因为idc上挂了一个外部网站,idc权限一般不外放,之前给一个登录shell为/bin/nologin的用户建ftp,现在希望更进一步，可以ssh到该目录中使用git命令进行代码管理但不能对其他目录和系统有权限。早先知道有个chroot命令，今天用了一下。如:
chroot /home/chroot /bin/bash
注意如果提示no such file or directory,实际上是提示/bin/bash或它需要的文件(如so文件)找不到，解决方法就是把所有需要目录都拷贝过去(用ldd /bin/bash查看)。

chroot的目录必须是root所有的,相当于一个系统目录沙盒,我看到网上有很多用chroot方法在一台机器上构建不同linux发行版(centos,redhat,slackware)。

我的具体做法是这样:
sudo mkdir /home/chroot
cd /home/chroot
sudo cp /bin . -rf
sudo cp /lib . -rf
sudo cp /lib64 . -rf
sudo cp /usr . -rf
sudo cp /sbin . -rf
sudo cp /etc . -rf
sudo mkdir ./dev
sudo mkdir ./proc
sudo mount  --bind /dev/ ./dev
sudo mount  --bind /proc/ ./proc
chroot /home/chroot /bin/bash

恩，这样就可以了，现在要添加一个home/hopkins目录在/home/chroot/中的用户,登陆shell为/bin/bash的用户,添加之后在/etc/password中看到是这样:
hopkinsadmin:x:1004:1004::/home/hopkinsadmin:/bin/bash

修改/etc/ssh/sshd_config,添加:
Match User hopkinsadmin
ChrootDirectory /home/chroot/

重启sshd:
sudo service ssh restart
现在ssh登陆就可以了,很棒吧。