分類: 資安

要在menu.sh 裡增加功能 1. scp功能, 但要讓user自己設定引數與參數 2. ssh 到特定主機, 但要user自己設定登入的帳號名稱

可以，但千萬不要直接讓使用者在 menu.sh 裡「自由輸入整串 scp/ssh 參數」然後丟進 shell 執行（會被用 ;、$( )、-oProxyCommand 等方式繞出去）。正確做法是：

• 只讓 user 填「你允許的欄位」（目的主機、帳號、來源檔名、目的路徑…）
• 其餘 SSH/SCP 參數由你固定寫死
• 白名單主機 + 路徑限制（只允許在特定資料夾內操作）
• 用 wrapper script（root 擁有）承接，menu 只呼叫 wrapper

下面給你可直接套用的 SOP。

0) 先做一個專用交換目錄（限制檔案範圍）

sudo mkdir -p /home/optim/transfer
sudo chown optim:optim /home/optim/transfer
sudo chmod 700 /home/optim/transfer

1) 建立 scp wrapper（允許 user 填「引數/參數」但被你控住）

1-1 建立 /usr/local/bin/optim_scp

sudo vi /usr/local/bin/optim_scp

貼上（把 ALLOWED_HOSTS 改成你允許的目的主機）：

#!/bin/bash
set -euo pipefail

ALLOWED_HOSTS=("10.0.0.10" "server1.internal" "server2.internal")
BASE_DIR="/home/optim/transfer"

is_allowed_host() {
  local h="$1"
  for x in "${ALLOWED_HOSTS[@]}"; do
    [[ "$h" == "$x" ]] && return 0
  done
  return 1
}

valid_user() {
  [[ "$1" =~ ^[a-z_][a-z0-9_-]{0,31}$ ]]
}

# 僅允許相對路徑（避免 /etc/passwd 之類）
valid_rel_path() {
  local p="$1"
  [[ "$p" != /* ]] && [[ "$p" != *".."* ]] && [[ "$p" =~ ^[A-Za-z0-9._/-]+$ ]]
}

echo "=== SCP (受控) ==="
echo "僅允許檔案位於: $BASE_DIR"
echo "允許主機: ${ALLOWED_HOSTS[*]}"
echo

read -r -p "方向 (1=上傳到遠端, 2=從遠端下載): " mode
read -r -p "遠端主機: " host
read -r -p "遠端登入帳號: " ruser

if ! is_allowed_host "$host"; then
  echo "ERR: 主機不在白名單"
  exit 1
fi
if ! valid_user "$ruser"; then
  echo "ERR: 帳號格式不合法"
  exit 1
fi

# 固定 SSH 選項：禁用危險玩法
SSH_OPTS=(
  -o "BatchMode=no"
  -o "PermitLocalCommand=no"
  -o "ClearAllForwardings=yes"
  -o "ProxyCommand=none"
  -o "RequestTTY=no"
)

case "$mode" in
  1)
    # 上傳：BASE_DIR/相對路徑 -> 遠端:目的路徑
    read -r -p "本機檔案(相對於 transfer/): " local_rel
    read -r -p "遠端目的路徑(例如 /tmp 或 /home/user/transfer ): " remote_path

    if ! valid_rel_path "$local_rel"; then
      echo "ERR: 本機路徑必須是相對路徑且不可含 .."
      exit 1
    fi
    if [[ "$remote_path" != /* ]] || [[ "$remote_path" == *".."* ]]; then
      echo "ERR: 遠端目的路徑必須是絕對路徑且不可含 .."
      exit 1
    fi

    src="$BASE_DIR/$local_rel"
    if [[ ! -f "$src" ]]; then
      echo "ERR: 找不到檔案: $src"
      exit 1
    fi

    /usr/bin/scp "${SSH_OPTS[@]}" -- "$src" "${ruser}@${host}:${remote_path%/}/"
    echo "OK: 上傳完成"
    ;;

  2)
    # 下載：遠端:檔案 -> BASE_DIR/目的檔名
    read -r -p "遠端檔案完整路徑(例如 /tmp/a.log): " remote_file
    read -r -p "本機目的檔名(放在 transfer/ 下): " local_name

    if [[ "$remote_file" != /* ]] || [[ "$remote_file" == *".."* ]]; then
      echo "ERR: 遠端檔案路徑必須是絕對路徑且不可含 .."
      exit 1
    fi
    if ! [[ "$local_name" =~ ^[A-Za-z0-9._-]+$ ]]; then
      echo "ERR: 本機目的檔名不合法"
      exit 1
    fi

    dst="$BASE_DIR/$local_name"
    /usr/bin/scp "${SSH_OPTS[@]}" -- "${ruser}@${host}:${remote_file}" "$dst"
    /bin/chown optim:optim "$dst"
    /bin/chmod 600 "$dst"
    echo "OK: 下載完成 -> $dst"
    ;;

  *)
    echo "ERR: 模式錯誤"
    exit 1
    ;;
esac

1-2 權限

sudo chown root:root /usr/local/bin/optim_scp
sudo chmod 755 /usr/local/bin/optim_scp

2) 建立 ssh wrapper（固定主機，但 user 可自填登入帳號）

2-1 建立 /usr/local/bin/optim_ssh

sudo vi /usr/local/bin/optim_ssh

貼上（把 TARGET_HOST 改成你指定的那台）：

#!/bin/bash
set -euo pipefail

TARGET_HOST="10.0.0.10"

valid_user() {
  [[ "$1" =~ ^[a-z_][a-z0-9_-]{0,31}$ ]]
}

echo "=== SSH (受控) ==="
echo "目的主機固定: $TARGET_HOST"
read -r -p "請輸入登入帳號: " ruser

if ! valid_user "$ruser"; then
  echo "ERR: 帳號格式不合法"
  exit 1
fi

exec /usr/bin/ssh \
  -o "ClearAllForwardings=yes" \
  -o "PermitLocalCommand=no" \
  -o "ProxyCommand=none" \
  -o "ServerAliveInterval=30" \
  -o "ServerAliveCountMax=3" \
  -l "$ruser" \
  "$TARGET_HOST"

2-2 權限

sudo chown root:root /usr/local/bin/optim_ssh
sudo chmod 755 /usr/local/bin/optim_ssh

3) 把功能加到 menu.sh

在你原本的 case 裡新增選項，例如：

echo "5) SCP 檔案傳輸 (受控)"
echo "6) SSH 到指定主機 (帳號自填)"

並加入：

5)
  /usr/local/bin/optim_scp
  ;;
6)
  /usr/local/bin/optim_ssh
  ;;

4) 重要提醒（避免你以為「外部 scp 也能用」）

你現在用的是 sshd_config 的 ForceCommand /opt/optim-menu/menu.sh，所以：

• ✅ 使用者登入後在選單內執行 scp/ssh（由 server 端發起）：可行
• ❌ 從使用者電腦用 scp optim@你的主機:... 直接拉檔：通常會失敗（因為 scp 需要走 ssh 的 scp 子系統/命令，而你強制進選單）

如果你也需要「外部 scp 到這台主機」那要改成用 Match 區分 Subsystem sftp 或針對 sftp/scp 做不同規則（但那是另一套設計）。

如果你告訴我：

• 你要允許的遠端主機清單（多台？一台？）
• scp 只允許上傳？只允許下載？或都要？
• 遠端允許的目錄範圍（例如只准 /home/*/upload）

我可以把 wrapper 再加上「遠端路徑白名單」與「大小/副檔名限制」避免被拿去搬敏感檔。

信心指數：92%