Teamspeak-Server in ein Chroot verbannen

Heute habe ich einen Teamspeak-Server in ein Chroot verbannt, weshalb ich hier kurz schildern möchte, wie ich das gemacht habe. Doch zunächst: Was ist ein Chroot?

chroot steht für „change root“ und ist eine Funktion auf Unix-Systemen um das Rootverzeichnis zu ändern. Sie wirkt sich nur auf den aktuellen Prozess und seine Kindprozesse aus. „chroot“ selbst kann sich auf den Systemaufruf chroot(2) als auch das Dienstprogramm chroot(8) beziehen.

Ein Programm das auf ein Verzeichnis re-rooted wurde, kann nicht mehr auf Dateien außerhalb dieses Verzeichnisses zugreifen. Chrooting bietet somit eine einfache Möglichkeit, nicht vertrauenswürdige, Test- oder sonstwie gefährliche Programme in eine Sandbox zu versetzen.

Quelle

Werbung


Ich habe mich dabei an das Tutorial aus dem Teamspeak-Forum gehalten, welches ich hier in erweiterter und übersetzter Form veröffentlichen möchte:
Zunächst muss man sich ein Verzeichnis schaffen, in dem das Chroot ausgebaut werden soll, also z.B. /home/ts-chroot/. Darin werden die benötigten System-Verzeichnisse erstellt (der TS-Server soll ja nicht merken, dass er nicht mehr im richtigen System ist 😉 )Anschließend muss man ein paar Libraries, die Teamspeak braucht ins Chroot kopieren (übrigens kann man mit einem Klick auf „PLAIN TEXT“ das ganze einfacher kopieren 😉 ):
[code]mkdir etc
mkdir dev
mkdir lib
mkdir tmp
mkdir -p usr/lib/gconv
mkdir usr/lib/locale
mkdir -p var/run
cp /etc/group etc
cp /etc/ld.so.conf etc
cp /etc/localtime etc
cp /etc/passwd etc
cp /lib/ld-linux.so.2 lib
cp /lib/libc.so.6 lib
cp /lib/libdl.so.2 lib
cp /lib/libncurses.so.5 lib
cp /lib/libpthread.so.0 lib
cp /usr/lib/gconv/ISO8859-15.so usr/lib/gconv
cp /usr/lib/gconv/gconv-modules usr/lib/gconv
cp /usr/lib/locale/locale-archive usr/lib/locale/[/code]

Nun muss die etc/passwd sowie die etc/groups editiert und alle Zeilen bis auf den root und den TS-User/TS-Gruppe entfernt werden.

Teamspeak braucht leider ein /dev/null, ohne das produziert es einen Haufen Fehler, daher machen wir mal eben eins:
[code]cd /home/ts-chroot/dev/
mknod null c 1 3
chmod 0666 null[/code]

Den Teamspeak-Server selbst muss man dann in ein Verzeichnis im Chroot kopieren, also z.B. in /home/ts-chroot/home/ts2/

Nun braucht man noch ein Script zum Starten des Server, für Debian Sarge habe ich es aus einem Forenbeitrag im Teamspeakforum kopiert:
[code]#! /bin/sh
#
# tss2 init script for TeamSpeak 2 Server
#
# Written by Alexander Skwar .
# Modified slightly by Andrew Myers.
#

# Modify the next 3 lines
CHROOT_DIR=/home/ts-chroot/
EXECDIR=/home/ts2
USER=tss2
GROUP=tss2

PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin:${CHROOT_DIR}
EXEC=${EXECDIR}/server_linux
DAEMON=${CHROOT_DIR}${EXEC}
NAME=tss2
DESC=“TeamSpeak 2 Server“
PIDFILE=${EXECDIR}/$NAME.pid
test -x $DAEMON || exit 0

set -e

case „$1“ in
start)
echo „Starting $DESC: $NAME“
start-stop-daemon –start –quiet –pidfile $PIDFILE \
–chuid $USER:$GROUP \
–chroot ${CHROOT_DIR} \
–startas $EXEC \
–exec $DAEMON \
— \
-ini=${EXECDIR}/server.ini \
-pid=$PIDFILE \
-httpdocs=${EXECDIR}/httpdocs \
-log=${EXECDIR}/server.log
echo „.“
;;
stop)
echo -n „Stopping $DESC: $NAME “
start-stop-daemon –stop –quiet –pidfile ${CHROOT_DIR}$PIDFILE \
–exec $DAEMON
echo „.“
;;
#reload)
#
# If the daemon can reload its config files on the fly
# for example by sending it SIGHUP, do it here.
#
# If the daemon responds to changes in its config file
# directly anyway, make this a do-nothing entry.
#
# echo -n „Reloading $DESC configuration…“
# start-stop-daemon –stop –signal 1 –quiet –pidfile \
# /var/run/$NAME.pid –exec $DAEMON
# echo „done.“
#;;
restart|force-reload)
#
# If the „reload“ option is implemented, move the „force-reload“
# option to the „reload“ entry above. If not, „force-reload“ is
# just the same as „restart“.
#
echo „Restarting $DESC: $NAME“
start-stop-daemon –stop –quiet –pidfile ${CHROOT_DIR}$PIDFILE \
–exec $DAEMON
sleep 1
start-stop-daemon –start –quiet –pidfile $PIDFILE \
–chuid $USER:$GROUP \
–chroot ${CHROOT_DIR} \
–startas $EXEC \
–exec $DAEMON \
— \
-ini=${EXECDIR}/server.ini \
-pid=$PIDFILE \
-httpdocs=${EXECDIR}/httpdocs \
-log=${EXECDIR}/server.log
echo „.“
;;
*)
N=/etc/init.d/$NAME
# echo „Usage: $N {start|stop|restart|reload|force-reload}“ >&2
echo „Usage: $N {start|stop|restart|force-reload}“ >&2
exit 1
;;
esac

exit 0
[/code]

Das ganze kann man nun als /etc/init.d/teamspeak ablegen und mittels update-rc.d teamspeak defaults automatisch bei Systemstart ausführen lassen.

Das wars!

Veröffentlicht von

Uli

IT-Nerd und Admin

6 Gedanken zu „Teamspeak-Server in ein Chroot verbannen“

  1. Hi,
    der Artikel ist zwar schon alt, aber ich versuche gerade verzweifelt eine TSS2 im chroot laufen zu lassen unter Debian mit dem Kernel 2.6.18-5-486.

    Als ersters hatte ich Probleme mit deinem Startskript:

    „MeinServer:/home/TSServer/home/tss2# /etc/init.d/ChailTSS2 start
    Starting TeamSpeak 2 Server: ts
    start-stop-daemon: stat /home/TSServer//home/TSServer/home/tss2/server_linux: No such file or directory (No such file or directory)“

    Wenn ich dann die Variable: –exec $DAEMON gegen –exec $EXEC austausche bekomme ich dann einen anderen Fehler:

    „Runtime error 234 at 0804CE2F“

    Hast du eine Idee wie ich das Problem lösen kann. LDD sagt mir auch keine anderen Lib-Files als wie du es oben beschrieben hast. Wäre Cool wenn du da noch eine Idee hättest.

    Vielen Dank im vorraus
    York

  2. Hoi,
    ich würde mich zunächst durch das TeamspeakForum suchen. Leider habe ich kein Debian mehr zur Verfügung, weshalb ich nicht testen kann, wie es funktionieren könnte.

    Hast du glibc-locale installiert? 🙂

    Ansonsten probier folgendes:

    Editier Dein teamspeak2-server_startscript und füg das hier:

    export GCONV_PATH=“/usr/lib/gconv/“

    nach:

    PATH

    ein

  3. Pingback: Feldstudie.net - Teamspeak 3 – How to Chroot - Teamspeak, Security, nohup, Linux, Jail, chroot, Kaspersky, Malware, Tutorials, Microsoft

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.