Чому chroot_local_user vsftpd небезпечний?

Я встановлюю на моєму VPS vsftpd, і я не хочу, щоб користувачі залишали домашній каталог ftp. Я використовую local_user ftp, не анонімний, тому я додав:

chroot_local_user = ТАК

Я багато читав у форумі, що це незахищено.

1. Чому це незахищено?
2. Якщо це незахищено через використання ssh для приєднання до моєї VPS, то я можу просто заблокувати цих користувачів із sshd, правда?
3. Чи є інший варіант для досягнення такої поведінки vsftpd? (Я не хочу видаляти дозволи на читання з усіх папок / файлів для "world" у моїй системі)

Тут ви знайдете відповіді на запитання VSFTPD для відповіді, яку шукаєте. Нижче наведено важливий уривок, який, я думаю, відповість на ваше запитання.

Q) Допомога! Про які наслідки для безпеки йдеться у варіанті "chroot_local_user"?

А) По-перше, зауважте, що інші ftp-демон мають такі самі наслідки. Це загальна проблема. Проблема не надто гостра, але це так: Деякі люди мають облікові записи користувачів FTP, яким не довіряють повний доступ до оболонки. Якщо ці акаунти також можуть завантажувати файли, існує невеликий ризик. Зараз поганий користувач має контроль над коренем файлової системи, який є їх домашнім каталогом. Демон ftp може спричинити зчитування деякого конфігураційного файла - наприклад / etc / some_file. З chroot () цей файл зараз знаходиться під контролем користувача. vsftpd є обережним у цій галузі. Але, libc системи може захотіти відкрити локальні файли конфігурацій або інші налаштування ...

Проблема полягає в тому, що ви не можете користуватися локальними обліковими записами, а також відключити ці облікові записи із входу в оболонку. Якщо ви встановите їх оболонку для входу в / bin / nologin, вона також не дозволить вам увійти через vsftpd.

Кращим і безпечнішим демоном FTP буде Pure-ftpd. Подивіться, він доступний у сховищі EPEL, і він дозволяє створювати віртуальних користувачів. Сервер використовує загальний користувач / групу для встановлення всіх дозволів для домашніх папок користувачів і "карта" віртуальних користувачів цьому користувачеві, коли він входить для роботи з дозволами. Це більш безпечно, і вам не доведеться мати справу з безпекою входу в систему opensh.

Pure-ftpd також підтримує цілий ряд функцій, таких як квоти, коефіцієнти тощо. Набагато краще, ніж vsftpd.

Ось простий підручник щодо його встановлення та налаштування базового віртуального користувача: http://blog.namran.net/2011/05/04/how-to-setup-virtual-ftp-server-using-pure-ftpd- в центрі /

Якщо ви прочитаєте повний документ (який вам слід), ви знатимете, що перемикач -d при створенні віртуального користувача є автоматичним хротографією до цього каталогу для цього користувача.