在诸如 linux 之类的类 unix 系统中更改 root（chroot）是将特定用户操作与其他 linux 系统分离的一种手段；使用称为 chrooted 监狱 的新根目录更改当前运行的用户进程及其子进程的明显根目录。
<a target="_blank"></a>
1、 使用 mkdir 命令开始创建 chroot 监狱：
<code># mkdir -p /home/test</code>
2、 接下来，根据 <code>sshd_config</code> 手册找到所需的文件，<code>chrootdirectory</code> 选项指定在身份验证后要 chroot 到的目录的路径名。该目录必须包含支持用户会话所必需的文件和目录。
对于交互式会话，这需要至少一个 shell，通常为 <code>sh</code> 和基本的 <code>/dev</code> 节点，例如<code>null</code>、<code>zero</code>、<code>stdin</code>、<code>stdout</code>、<code>stderr</code> 和 <code>tty</code> 设备：
<code># ls -l /dev/{null,zero,stdin,stdout,stderr,random,tty}</code>
列出所需文件
3、 现在，使用 <code>mknod</code> 命令创建 <code>/dev</code> 下的文件。在下面的命令中，<code>-m</code> 标志用来指定文件权限位，<code>c</code> 意思是字符文件，两个数字分别是文件指向的主要号和次要号。
<code># mkdir -p /home/test/dev/</code>
<code># cd /home/test/dev/</code>
<code># mknod -m 666 null c 1 3</code>
<code># mknod -m 666 tty c 5 0</code>
<code># mknod -m 666 zero c 1 5</code>
<code># mknod -m 666 random c 1 8</code>
创建 /dev 和所需文件
4、 在此之后，在 chroot 监狱中设置合适的权限。注意 chroot 监狱和它的子目录以及子文件必须被 <code>root</code> 用户所有，并且对普通用户或用户组不可写：
<code># chown root:root /home/test</code>
<code># chmod 0755 /home/test</code>
<code># ls -ld /home/test</code>
设置目录权限
5、 首先，创建 <code>bin</code> 目录并复制 <code>/bin/bash</code> 到 <code>bin</code> 中：
<code># mkdir -p /home/test/bin</code>
<code># cp -v /bin/bash /home/test/bin/</code>
复制文件到 bin 目录中
6、 现在，识别 bash 所需的共享库，如下所示复制它们到 <code>lib64</code> 中：
<code># ldd /bin/bash</code>
<code># mkdir -p /home/test/lib64</code>
<code># cp -v /lib64/{libtinfo.so.5,libdl.so.2,libc.so.6,ld-linux-x86-64.so.2} /home/test/lib64/</code>
复制共享库文件
<code># useradd tecmint</code>
<code># passwd tecmint</code>
8、 创建 chroot 监狱通用配置目录 <code>/home/test/etc</code> 并复制已更新的账号文件（<code>/etc/passwd</code> 和 <code>/etc/group</code>）到这个目录中：
<code># mkdir /home/test/etc</code>
<code># cp -vf /etc/{passwd,group} /home/test/etc/</code>
复制密码文件
注意：每次向系统添加更多 ssh 用户时，都需要将更新的帐户文件复制到 <code>/home/test/etc</code> 目录中。
9、 现在打开 <code>sshd_config</code> 文件。
<code># vi /etc/ssh/sshd_config</code>
在此文件中添加或修改下面这些行。
<code># 定义要使用 chroot 监狱的用户</code>
<code>match user tecmint</code>
<code># 指定 chroot 监狱</code>
<code>chrootdirectory /home/test</code>
配置 ssh chroot 监狱
保存文件并退出，重启 sshd 服务：
<code># systemctl restart sshd</code>
<code>或者</code>
<code># service sshd restart</code>
10、 这次，测试 chroot 监狱的设置是否如希望的那样成功了：
<code># ssh [email protected]</code>
<code>-bash-4.1$ ls</code>
<code>-bash-4.1$ date</code>
<code>-bash-4.1$ uname</code>
测试 ssh 用户 chroot 监狱
从上面的截图上来看，我们可以看到 ssh 用户被锁定在了 chroot 监狱中，并且不能使用任何外部命令如（<code>ls</code>、<code>date</code>、<code>uname</code> 等等）。
用户只可以执行 <code>bash</code> 以及它内置的命令（比如：<code>pwd</code>、<code>history</code>、<code>echo</code> 等等）：
<code>-bash-4.1$ pwd</code>
<code>-bash-4.1$ echo "tecmint - fastest growing linux site"</code>
<code>-bash-4.1$ history</code>
ssh 内置命令
11、 从前面的步骤中，我们可以看到用户被锁定在了 root 目录，我们可以为 ssh 用户创建一个主目录（以及为所有将来的用户这么做）：
<code># mkdir -p /home/test/home/tecmint</code>
<code># chown -r tecmint:tecmint /home/test/home/tecmint</code>
<code># chmod -r 0700 /home/test/home/tecmint</code>
创建 ssh 用户主目录
12、 接下来，在 <code>bin</code> 目录中安装几个用户命令，如 <code>ls</code>、<code>date</code>、<code>mkdir</code>：
<code># cp -v /bin/ls /home/test/bin/</code>
<code># cp -v /bin/date /home/test/bin/</code>
<code># cp -v /bin/mkdir /home/test/bin/</code>
向 ssh 用户添加命令
13、 接下来，检查上面命令的共享库并将它们移到 chroot 监狱的库目录中：
<code># ldd /bin/ls</code>
<code># cp -v /lib64/{libselinux.so.1,libcap.so.2,libacl.so.1,libc.so.6,libpcre.so.1,libdl.so.2,ld-linux-x86-64.so.2,libattr.so.1,libpthread.so.0} /home/test/lib64/</code>
复制共享库
14、 最后用 sftp 做一个测试；测试你先前安装的命令是否可用。
在 <code>/etc/ssh/sshd_config</code> 中添加下面的行：
<code># 启用 sftp 的 chroot 监狱</code>
<code>forcecommand internal-sftp</code>
保存并退出文件。接下来重启 sshd 服务：
15、 现在使用 ssh 测试，你会得到下面的错误：
测试 ssh chroot 监狱
试下使用 sftp：
<code># sftp [email protected]</code>
测试 sftp ssh 用户
原文发布时间为：2017-03-16
本文来自云栖社区合作伙伴“linux中国”