OpenSSH jail 패치

서버를 세팅하던 도중에 jail안에 사용자를 몽땅 다 넣어버리려고, chroot 패치를 할까 하다가, 요새 jail에서 jail_attach도 지원하고 하길래, 간단하게 jail 패치로 바꿔 봤습니다.

요렇게 하면 chroot보다 리소스 제한을 좀 더 섬세하게 할 수 있고, top나 ps같은 것도 jail 안의 것만 볼 수 있도록 제한됩니다. 이히히 🙂

--- crypto/openssh/session.c.orig	Tue Apr 20 18:46:40 2004
+++ crypto/openssh/session.c	Sun Apr  3 15:59:05 2005
@@ -1262,6 +1262,12 @@
 	}
 }
 
+#include <jail.h>
+
+#define JAIL 1
+#define JAILPREFIX "/thunderbluff/"
+#define JAILIDFILE "/var/run/jail_thunderbluff.id"
+
 /* Set login name, uid, gid, and groups. */
 void
 do_setusercontext(struct passwd *pw)
@@ -1275,6 +1281,25 @@
 		if (setpcred(pw->pw_name, (char **)NULL) == -1)
 			fatal("Failed to set process credentials");
 #endif /* HAVE_SETPCRED */
+
+#ifdef JAIL
+		if (strncmp(pw->pw_dir, JAILPREFIX "/",
+				sizeof(JAILPREFIX)) == 0) {
+			FILE *fp;
+			int jailid = -1;
+			fp = fopen(JAILIDFILE, "r");
+			if (fp == NULL)
+				fatal("Couldn't open " JAILIDFILE);
+			fscanf(fp, "%d", &jailid);
+			fclose(fp);
+			if (jailid == -1)
+				fatal("Invalid argument on " JAILIDFILE);
+			if (jail_attach(jailid) != 0)
+				fatal("Failed to get into the jail");
+			pw->pw_dir += sizeof(JAILPREFIX) - 1;
+		}
+#endif /* JAIL */
+
 #ifdef HAVE_LOGIN_CAP
 # ifdef __bsdi__
 		setpgid(0, 0);