Vertrag Shellzugang bash - Einsicht in gesamtes Dateisystem möglich

Hallo,

Ich habe gerade eine Anforderung für ein Projekt, bei der gefordert ist, daß man dem Kunden / Vertrag einen Shellzugang ermöglicht.
Das klappt auch ganz wunderbar, der webxxx-User kann sich via Shell (in dem Fall bash) anmelden.

Was mir in dem Zusammenhang etwas aufstößt ist die Tatsache, daß der webxxx-User Zugriff (lesend) auf das gesamte Dateisystem des Servers erlangen kann. Dazu muss er einfach "cd /" eingeben...

Das gefällt mir natürlich nicht ganz so...kann ich das irgendwie verhindern? Oder ist das ggf. ein Bug?

System ist ein Ubuntu 20.04LTS mit Liveconfig 2.15.1, betrifft aber auch andere Ubuntu-Versionen mir anderen LC-Versionen...
getestet via Linux-Shell sowie Windows-Putty

Freundliche Grüße
Micha

Ja, hab ich zufällig auch gerade gefunden...

Danke.

da es sich nur um einen Kunden handelt muss ich mal schauen, ob ich den Aufwand betreibe was zu unternehmen...

Immerhin könnte der eine Kunde sämtliche anderen Webspaces durchschnufteln und untersuchen und kopieren etc...

Die gehen ihn aber nichts an...

Hallo,

mit chroot habe ich gestern noch einige Stunden rumgespielt. Prinzipiell funktioniert das auch.
Allerdings muss ich hier Herrn Keppler recht geben. Durch den Chroot hat der Shell-User auch auf sämtliche Bibliotheken, Programme etc die ausserhalb des chroot-Verzeichnisses liegen keinen Zugriff und der ganze Schneuf muss mit allen Abhängigkeiten und ggf. Konfigurationen in den chroot "kopiert" werden...

Zum einen gestaltet sich es recht schwierig tatsächlich "alles " zu erwischen zum anderen gibt es speziell in den Lib-Ordnern teilweise Symbolische Links, die absolut definiert sind, was das ganze nochmal verkompliziert...

Für einfachste Befehle mag das alles noch funktionieren, aber ich sehe bei der Anforderung PHP-Cli, Composer, Pear, ggf. mc oder andere zu "installierende" Tools den Aufwand nicht wirklich gerechtfertigt... und das ganze System da reinzukippen macht auch keinen Sinn...

Viele Grüße
Micha