Virtual Jail(V_Jail) 임시

 

구축 환경

VirtualBox - Fedora 15 (kernel : 2.6.40.4-5.fc15.i686.PAE)

 

작동 원리

chroot유저 ssh 접속 -> 접속유저의 홈디렉토리 밑 .ssh의 rc 파일 실행 -> daemonstart실행 -> daemon 작동 -> 접속 유저만의 Jail 디렉토리 생성 -> 접속 유저의 .bashrc 의 chroot 명령어 실행 -> V_Jail 접속 완료

 

chroot 구축에 필요한 파일 목록

/chroot/bin/

/chroot/dev/ : null zero

/chroot/home/ : Jail을 이용할 사용자 홈디렉토리

/chroot/lib/

/chroot/etc/

 

/chroot/usr/bin/

/chroot/usr/lib/

/chroot/usr/share/    (아래 두 디렉토리를 원본그대로 Copy )

 

V_Jail - Daemon & Daemonstart Code & fifo.h Code

- fifo.h -

#include <unistd.h>

#include <stdlib.h>

#include <stdio.h>

#include <string.h>

#include <fcntl.h>

#include <limits.h>

#include <sys/types.h>

#include <sys/stat.h>

 

#define SV_FIFO_NAME "/tmp/fifo/sv_fifo"

#define CL_FIFO_NAME "/tmp/fifo/cl_%d_fifo"

 

struct data_to_pass_st

{

pid_t client_pid;

};

 

- Daemon.c -

#include <sys/types.h>

#include <sys/stat.h>

#include <fcntl.h>

#include <signal.h>

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

#include <stdlib.h>

#include "fifo.h"

#include <ctype.h>

 

void hand(int signum);

int main()

{

pid_t pid;

 

if (( pid = fork()) < 0)

    {

exit(0);

    }

else if(pid != 0)

{

exit(0);

}

signal(SIGHUP, SIG_IGN);

close(0);

close(1);

close(2);

 

    setsid();

while(1)

{

struct sigaction act;

sigset_t set;

 

sigemptyset(&(act.sa_mask));

sigaddset(&(act.sa_mask), SIGUSR1);

 

act.sa_handler = hand;

sigaction(SIGUSR1, &act, NULL);

 

sleep(1);

}

}

 

void hand(int signum)

{

if(signum == SIGUSR1)

{

int sv_fifo_fd, cl_fifo_fd;

struct data_to_pass_st fifo_data;

int read_res;

char cl_fifo[256];

char path_1[128];

char path_2[128];

        char mnt[128]; //아래 이미지에 없는 것. 새로 추가됨

 

mkfifo(SV_FIFO_NAME, 0777);

sv_fifo_fd = open(SV_FIFO_NAME, O_RDONLY);

if (sv_fifo_fd == -1)

{

exit(EXIT_FAILURE);

}

while(1)

{

read_res = read(sv_fifo_fd, &fifo_data, sizeof(fifo_data));

if (read_res > 0)

{

sprintf(cl_fifo, CL_FIFO_NAME, fifo_data.client_pid);

cl_fifo_fd = open(cl_fifo, O_WRONLY);

 

if(cl_fifo_fd != -1)

{

sprintf(path_1, "mkdir /V_Jail/%d", fifo_data.client_pid);

sprintf(path_2, "cp –rfp /chroot/* /V_Jail/%d", fifo_data.client_pid);

                    sprintf(mnt, "mount -t proc /proc/ /V_Jail/%d/proc", fifo_data.client_pid); //아래 이미지에 없는 것. 새로 추가됨

system(path_1);

system(path_2);

                    system(mnt);

write(cl_fifo_fd, &fifo_data, sizeof(fifo_data));

close(cl_fifo_fd);

}

}

}

close(sv_fifo_fd);

unlink(SV_FIFO_NAME);

exit(EXIT_SUCCESS);

}

}

- Daemonstart.c –

#include "fifo.h"

#include <ctype.h>

 

int main()

{

system("sudo kill -10 1234"); // 1234란에는 Daemon 의 PID 입력

int sv_fifo_fd, cl_fifo_fd;

struct data_to_pass_st fifo_data;

char cl_fifo[256];

 

sv_fifo_fd = open(SV_FIFO_NAME, O_WRONLY);

if(sv_fifo_fd == 1)

{

printf("Fail_1");

exit(EXIT_FAILURE);

}

fifo_data.client_pid = getppid();

sprintf(cl_fifo, CL_FIFO_NAME, fifo_data.client_pid);

if(mkfifo(cl_fifo, 0777) == -1)

{

printf("Fail_2");

exit(EXIT_FAILURE);

}

write(sv_fifo_fd, &fifo_data, sizeof(fifo_data));

cl_fifo_fd = open(cl_fifo, O_RDONLY);

if(cl_fifo_fd != -1)

{

if(read(cl_fifo_fd, &fifo_data, sizeof(fifo_data)) > 0 )

{

            //이 부분은 IPS가 성공했을 때 실행할 코드

}

close(cl_fifo_fd);

}

close(sv_fifo_fd);

unlink(cl_fifo);

exit(EXIT_SUCCESS);

}

 

V_Jail을 사용할 사용자의 rc(~/.ssh/rc) Code & .bashrc

- rc –

#!/bin/bash

 

trap "" 2 3 9

echo "Connecting....Please Wait..."

sudo /home/chroottest/.ssh/fifotest2 &

# 위 경로는 fifotest2 가 있는 경로로 바꿀 수 있음.

 

while [ 1 ]

do

if [ -d /V_Jail/$! ] && [ -e /V_Jail/$!/etc/passwd ] && [ -d /V_Jail/$!/home/chroottest ] && [ -d /V_Jail/$!/usr/share/vim/vimfiles/tutor ] && [ -e /V_Jail/$!/usr/bin/whoami ]

then

echo "Welcome !!"

echo $! > ./.ssh/ppid

break;

fi

done

 

- .bashrc -

# .bashrc

 

trap "" 2 3 9

# Source global definitions

if [ -f /etc/bashrc ]; then

. /etc/bashrc

fi

 

# User specific aliases and functions

var=$(echo $SSH_TTY | awk -F/ '{print $4}')

ppid=$(cat .ssh/ppid_$var)

 

chroot --userspec=chroottest:Jail /V_Jail/$ppid /bin/bash

# --userspec의 내용은 사용할 사용자의 정보로 바꾸어야함

visudo 의 추가내용

chroottest ALL=NOPASSWD:/bin/kill, NOPASSWD:/home/chroottest/.ssh/fifotest2, NOPASSWD:/bin/chown, NOPASSWD:/bin/chmod

 

V_Jail을 사용할 사용자의 rc(~/.ssh/rc) Code(수정 : 종료기 추가)

- rc – (if문 안에 있는 echo들은 빼도 상관없음)

#!/bin/bash

 

trap "echo Warning! Invalid Command!" 2 3 9

 

echo "Connecting....Please Wait..."

sudo /home/ctest/.ssh/connecter-1.0 &

 

var=$(echo $SSH_TTY | awk -F/ '{print $4}')

echo $! > .ssh/ppid_$var

 

while [ 1 ]

do

if [ -d /V_Jail/$! ] && [ -e /V_Jail/$!/etc/passwd ] && [ -d /V_Jail/$!/home/chroottest ] && [ -d /V_Jail/$!/usr/share/vim/vimfiles/tutor ] && [ -e /V_Jail/$!/usr/bin/whoami ]

then

#exit 만드는 부분

#var=$(echo $SSH_TTY | awk -F/ '{print $4}')

echo "1"

ptsnum=$(echo $SSH_TTY | awk -F/ '{print $4}')

echo "2"

ptsps=$(ps -ef | grep pts/"$ptsnum" | grep sshd | awk '{print $2}' | head -1)

echo "3"

cp /home/ctest/exitfirst.c /V_Jail/$!/bin/

echo "3-2"

sed "s/ptsps/$ptsps/g" /V_Jail/$!/bin/exitfirst.c > /V_Jail/$!/bin/exitsecond.c

echo "4"

gcc -o /V_Jail/$!/bin/exit /V_Jail/$!/bin/exitsecond.c

echo "5"

rm -rf /V_Jail/$!/bin/exitfirst.c /V_Jail/$!/bin/exitsecond.c

echo "6"

 

sudo chmod o-w /V_Jail/$!/bin

break;

fi

done

 

 

* 여기까지 접속 관련 *

* 주의 : V_Jail이란 디렉토리와 chroot라는 디렉토리는 / 밑에 있음 *

* 주의 : /chroot/ 안에는 맨 위의 필요한 파일들이 들어 있어야함 *

* 주의 : /V_Jail/ 퍼미션 주의 *

* 참고 : /chroot/bin 퍼미션은 757 이어야함(접속 계정 권한 문제) *

V_Jail(1.0).pdf