rsync alle Dateien der Remote-Maschine über SSH ohne Root-Benutzer?

Ich habe diesen Befehl, um eine Remote-Maschine zu sichern. Das Problem ist, dass ich root-Rechte benötige, um alle Dateien lesen und kopieren zu können. Ich habe aus Sicherheitsgründen keinen Root-Benutzer aktiviert und benutze sudodie Ubuntu-Methode. Benötige ich eine coole Rohrleitung oder etwas, um dies zu tun?

rsync -chavzP --stats [email protected]:/ /media/backupdisk/myserverbackup/

Ich würde empfehlen, dass Sie nur das Root-Konto in erster Linie verwenden. Wenn Sie es so einrichten:

• Konfigurieren Sie Ihre sshd_configauf dem Zielcomputer PermitRootLogin without-password.
• Verwenden Sie diese Option ssh-keygenauf dem Computer, der die Sicherung abruft, um einen privaten SSH-Schlüssel zu erstellen (nur, wenn Sie noch keinen SSH-Schlüssel haben). Legen Sie keine Passphrase fest. Google ein Tutorial, wenn Sie Details dazu benötigen, sollte es genügend geben.
• Hängen Sie den Inhalt des /root/.ssh/id_rsa.pubSicherungscomputers an den Inhalt /root/.ssh/authorized_keysIhres Zielcomputers an.
• Jetzt hat Ihr Sicherungscomputer Root-Zugriff auf Ihren Zielcomputer, ohne dass Sie die Kennwortauthentifizierung verwenden müssen.

dann sollte das resultierende Setup ziemlich sicher sein.

sudoInsbesondere in Verbindung mit NOPASSWDden Empfehlungen in den Kommentaren ergeben sich keine Sicherheitsvorteile gegenüber der Verwendung des Root-Kontos. Zum Beispiel dieser Vorschlag:

Fügen Sie Ihrer /etc/sudoersDatei Folgendes hinzu :rsyncuser ALL= NOPASSWD:/usr/bin/rsync

Im Wesentlichen gibt rsyncuserroot-Berechtigungen trotzdem. Du fragst:

@MartinvonWittich Einfach eine vollständige Root-Shell zu bekommen, da mit rsyncausgeführt sudo? Gehen Sie das bitte durch.

Na ja, einfach. Mit der empfohlenen Konfiguration rsyncuserkann jetzt rsyncals root ausgeführt werden, ohne dass Sie nach einem Passwort gefragt werden. rsyncist ein sehr leistungsfähiges Tool zum Bearbeiten von Dateien. Daher gibt es jetzt rsyncuserein sehr leistungsfähiges Tool zum Bearbeiten von Dateien mit Root-Berechtigungen. Es dauerte nur ein paar Minuten, um einen Weg zu finden, dies auszunutzen (getestet auf Ubuntu 13.04, erfordert dash, bashhat nicht funktioniert):

martin@martin ~ % sudo rsync --perms --chmod u+s /bin/dash /bin/rootdash
martin@martin ~ % rootdash
# whoami
root
# touch /etc/evil
# tail -n1 /etc/shadow
dnsmasq:*:15942:0:99999:7:::

Wie Sie sehen, habe ich mir eine Root-Shell erstellt. whoamiIdentifiziert mein Konto als root, kann ich Dateien erstellen /etcund lesen /etc/shadow. Mein Exploit bestand darin, das setuid- Bit in der dashBinärdatei zu setzen. Es bewirkt, dass Linux diese Binärdatei immer mit den Berechtigungen des Besitzers ausführt, in diesem Fall root.

Eine echte Wurzel zu haben, wird aus guten Gründen nicht empfohlen. - Redanimalwar vor 15 Stunden

Nein, unbeholfenes Umgehen des Root-Kontos in Situationen, in denen es absolut angemessen ist, es zu verwenden, hat keinen guten Grund. Dies ist nur eine andere Form der Frachtkult-Programmierung - Sie verstehen das Konzept von sudo vs root nicht wirklich, Sie wenden einfach blind den Glauben an "root ist schlecht, sudo ist gut" an, weil Sie das irgendwo gelesen haben.

Einerseits gibt es Situationen, in denen sudodefinitiv das richtige Werkzeug für den Job ist. Wenn Sie beispielsweise interaktiv an einem grafischen Linux-Desktop arbeiten, sagen wir, Ubuntu, dann ist die Verwendung sudoin den seltenen Fällen, in denen Sie manchmal Root-Zugriff benötigen , in Ordnung. Ubuntu hat absichtlich ein deaktiviertes Root-Konto und zwingt Sie, sich sudostandardmäßig anzumelden, um zu verhindern, dass Benutzer immer das Root-Konto verwenden, um sich anzumelden. Wenn der Benutzer nur z. B. den Webbrowser verwenden möchte, wäre es gefährlich, sich als Root anzumelden Wenn Sie also standardmäßig kein Root-Konto haben, wird dies von dummen Leuten verhindert.

Auf der anderen Seite gibt es Situationen wie Ihre, in denen ein automatisiertes Skript Root-Berechtigungen für etwas erfordert, zum Beispiel um ein Backup zu erstellen. Das Umgehen sudodes Root-Kontos ist nicht nur sinnlos, sondern auch gefährlich: Auf den ersten Blick rsyncusersieht es aus wie ein gewöhnliches nicht privilegiertes Konto. Aber wie ich bereits erklärt habe, wäre es für einen Angreifer sehr einfach, vollständigen Root-Zugriff zu erhalten, wenn er bereits rsyncuserZugriff erhalten hätte. Im Grunde haben Sie jetzt ein zusätzliches Root-Konto, das überhaupt nicht wie ein Root-Konto aussieht, was keine gute Sache ist.

Verwenden Sie die --rsync-pathOption, um den Remote- rsyncBefehl mit sudoBerechtigungen auszuführen . Ihr Befehl sollte dann zB sein:

rsync -chavzP --rsync-path="sudo rsync" --stats [email protected]:/ .

Wenn sudoSie zur Eingabe eines Kennworts aufgefordert werden, müssen Sie dies vermeiden, indem Sie entweder ein NOPASSWDPrivileg für das Remote-Benutzerkonto verwenden (sinnlos für root, kann in anderen Anwendungsfällen sinnvoll sein) oder wenn Sie dies nicht möchten:

• Stellen Sie sicher, dass die Option tty_ticketsfür den von Ihnen verwendeten Benutzer deaktiviert ist, indem Sie z. B. sudo visudo -f /etc/sudoers.d/local-rsync ausführen und Folgendes eingeben:

  Defaults:your.username.for.rsync !tty_tickets
  

• Stellen Sie sicher, dass die Option requirettyfür den von Ihnen verwendeten Benutzer deaktiviert ist - sie ist möglicherweise standardmäßig deaktiviert. Die Methode ist die gleiche wie oben.

• Legen Sie das sudoPasswort auf dem Remote-Computer fest, indem Sie z ssh -t [email protected] sudo

Eine einfache Möglichkeit, dies zu tun, besteht darin, das grafische ssh-askpassProgramm mit zu verwenden sudo. Dies umgeht die Tatsache, dass sudokeine Verbindung zum Terminal besteht und Sie das Passwort sicher eingeben können:

rsync -chavzPe 'ssh -X' --stats \
  --rsync-path='SUDO_ASKPASS=/usr/lib/ssh/x11-ssh-askpass sudo -A rsync' \
  [email protected]:/ .

Natürlich ssh-askpassmuss das Programm am angegebenen Speicherort installiert sein und Sie müssen eine X-Sitzung auf dem Computer ausführen, an dem Sie arbeiten. Es gibt einige Variationen des ssh-askpassProgramms, die auch funktionieren sollten (Gnome / KDE-Versionen). Auch ein grafisches sudoErsatzprogramm gefällt gksuoder kdesudosollte auch funktionieren.

Wenn Ihr Benutzer bereits sudo-Berechtigungen hat, die mit einem Kennwort geschützt sind, würde ich sie unverändert lassen und nur eine Zeilengruppe hinzufügen, um rsync ohne Kennwort zu verwenden:

%admin ALL=(ALL) ALL
%admin ALL= NOPASSWD:/usr/bin/rsync 

Ich bin heute auf dieses Problem gestoßen und habe es gelöst, ohne Konfigurationsdateien zu ändern oder Benutzerkonten Berechtigungen auf Stammebene zu erteilen. Mein besonderes Set-up war , dass Benutzer Aauf der Maschine fooalle Benutzerverzeichnisse von kopieren hatten foozu Maschine barin einem backupVerzeichnis der Benutzer Agehören. (Benutzer Ahat Sudo-Berechtigungen auf foo.)

Der Befehl, den ich verwendet habe, ist unten. Es wurde vom Benutzer Aim /homeVerzeichnis am aufgerufen foo.

sudo rsync -avu -e "ssh -i /home/A/.ssh/id_rsa -l A"  * B:/home/backup

Dadurch wird rsync als sudo ausgeführt, sodass auf alle Benutzerverzeichnisse foozugegriffen werden kann, aber rsync wird angewiesen, ssh zu verwenden, um barmit Aden Anmeldeinformationen des Benutzers auf den Computer zuzugreifen . Meine Anforderungen waren etwas anders als in der obigen Frage, aber dies ermöglichte es mir, schnell eine Sicherung aller Benutzerverzeichnisse auf einem bestimmten Computer zu erstellen, ohne die Systemkonfiguration zu beeinträchtigen.

Wenn Sie rsync als Daemon auf dem Zielcomputer ausführen, können Sie tun, was Sie möchten.

Meine Lösung ist zu verwenden, --rsync-path="sudo rsync"aber es fragt nach einem Passwort, Workaround:

rsync -chavzP --stats --rsync-path="echo <SUDOPASS> | sudo -Sv && sudo rsync"  [email protected]:/ .