向用户授予 SSH 访问权限和安全问题

Question

好的，所以我有一个 VPS，我为一个朋友创建了一个帐户，这样他就可以托管自己的域（使用 DirectAdmin 中的经销商功能）。他要求 SSH 访问，我知道这可能是个坏主意。他是否有权访问我的整个服务器，例如执行命令、访问我在服务器上托管的域？我使用他的帐户详细信息登录到我的 SSH，它让我可以浏览所有根文件夹/文件，他的帐户位于 /home/AccountName/ 下。

反正有没有限制他只能访问他的文件夹？他可以使用的命令？

编辑：他可以在我的服务器上安装程序吗？

Answer 1

作为普通用户，你的朋友不会对你的服务器造成太大伤害（当然他们可能会产生叉子炸弹或填满你的磁盘，但如果他们真的是朋友，他们可能不会做出任何举动像那样）。如果我的朋友要求一个帐户，他们就会在我的机器上获得实际的登录 shell，并且会受到严厉的训诫，如果他们做了任何惹恼我的事情，他们就会被从机器上踢掉。

听起来你不太信任你的“朋友”，所以除了 The Rook 的回答之外，我还要说，一个能够运行 PHP 脚本的半途而废的人几乎和一个不受限制的用户一样危险。 （可登录）SSH 访问，我假设您的服务器允许 PHP。请记住，用户可以通过 PHP 运行不受信任的代码，甚至包括在您的系统上下载、编译和运行其他任意程序（尽管在 Web 服务器用户权限的限制范围内）。一般来说，除非你对你的网络服务器进行 chroot/jailing，否则你的朋友可以用他的登录 shell 看到的任何东西，他都可以用一些不太有创意的 PHP 脚本看到。

底线：在您的系统上为某人提供一个帐户，然后在 /etc/passwd 中锁定他们的 shell 并设置 SFTP chroot 选项会有所帮助，但您应该真正考虑任何访问的安全影响以及您对此人的信任级别。