连接会立马关闭，这意味着用户已经活动在一个受限制的shell中。
给在jail中的用户Bash Shell
下个重要的事情是给用户在限制环境中的一个正确的bash shell。
打开下面的文件
/opt/jail/etc/passwd
这是个jail中的password文件。类似如下
复制代码
代码如下:
root:x:0:0:root:/root:/bin/bash
robber:x:1006:1005:,,,:/home/robber:/usr/sbin/jk_lsh
将/usr/sbin/jk_lsh改为/bin/bash
复制代码
代码如下:
root:x:0:0:root:/root:/bin/bash
robber:x:1006:1005:,,,:/home/robber:/bin/bash
保存文件并退出。
登入限制环境
现在让我们再次登入受限环境
复制代码
代码如下:
$ ssh robber@localhost
robber@localhost's password:
Welcome to Ubuntu 12.04 LTS (GNU/Linux 3.2.0-25-generic x86_64)
* Documentation: https://help.ubuntu.com/
13 packages can be updated.
0 updates are security updates.
*** /dev/sda7 will be checked for errors at next reboot ***
*** /dev/sda8 will be checked for errors at next reboot ***
Last login: Sat Jun 23 12:46:01 2012 from localhost
bash: groups: command not found
I have no name!@desktop:~$
受限环境说'I have no name!'，哈哈。现在我们在受限环境中有了个完整功能的bash shell。
现在看看实际的环境。受限环境中的根目录实际就是真实文件系统中的/opt/jail。但这只有我们自己知道，受限用户并不知情。
复制代码
代码如下:
I have no name!@desktop:~$ cd /
I have no name!@desktop:/$ ls
bin dev etc home lib lib64 run usr var
I have no name!@desktop:/$
也只有我们通过jk_cp拷贝到jail中的命令能使用。
如果登入失败，请检查一下/var/log/auth.log的错误信息。
现在尝试运行一些网络命令，类似wget的命令。
复制代码
代码如下:
$ wget http://www.google.com/
如果你获得类似的错误提示：
复制代码
代码如下:
$ wget http://www.google.com/
--2012-06-23 12:56:43-- http://www.google.com/
Resolving www.google.com (www.google.com)... failed: Name or service not known.
wget: unable to resolve host address `www.google.com'
你可以通过运行下列两条命令来解决这个问题:
复制代码
代码如下:
$ sudo jk_cp -v -j /opt/jail /lib/x86_64-linux-gnu/libnss_files.so.2
$ sudo jk_cp -v -j /opt/jail /lib/x86_64-linux-gnu/libnss_dns.so.2
这样才能正确的定位到libnssfiles.so和libnssdns.so
在限制环境中运行程序或服务
现在配置已经完成了。可以在限制/安全的环境里运行程序或服务。要在限制环境中启动一个程序或守护进程可以用jk_chrootlaunch命令。
复制代码
代码如下:
$ sudo jk_chrootlaunch -j /opt/jail -u robber -x /some/command/in/jail
jk_chrootlaunch工具可以在限制环境中启动一个特殊的进程同时指定用户特权。如果守护进程启动失败，请检查/var/log/syslog/错误信息。
在限制环境中运行程序之前，该程序必须已经用jk_cp命令复制到jail中。
