Root geeft access denied bij 6.0 beta-2

[Ben(V)]

Van de website van winscp.;
Misschien iets om te proberen door iemand die een DSM 6 ergens heeft draaien.

In some cases (with Unix/Linux server) you may be able to use sudo command straight after login to change a user, before file transfer session starts.

FTP protocol does not allow this.

The SFTP and SCP protocols allow for this, but the actual method is platform dependent.

With SFTP protocol, you can use SFTP server option on SFTP page of Advanced Site Settings dialog to execute SFTP binary under a different user. With OpenSSH server, you can specify:
sudo /bin/sftp-server


Note that SFTP server binary may be located elsewhere2) (e.g. in /usr/lib/sftp-server, /usr/lib/openssh/sftp-server or /usr/libexec/openssh/sftp-server).

With SCP protocol, you can specify following command as custom shell on the SCP/Shell page of Advanced Site Settings dialog:
sudo -s


However you will not be able to provide a password for su (see remote command execution limitations). So you may be able to do the above only if you are allowed to do sudo su without being prompted with password. See sudo documentation to learn how to do that. For example you can add following line to sudoers file (/etc/sudoers):
yourusername ALL=NOPASSWD: ALL


The above line is very permissive, it allows user yourusername connected from anywhere (the first ALL) to run any command (the second ALL) as a root without being asked for password. So you should restrict it as much as possible.

For example with OpenSSH you may restrict it only to SFTP session by:
yourusername ALL=NOPASSWD: /bin/sftp-server


Note that as WinSCP cannot implement terminal emulation, you need to have sudoers option requiretty turned off (what is default).

Hier de link naar dit verhaal de de link naar de sudo documentatie waarnaar verwezen wordt.
https://winscp.net/eng/docs/faq_su
http://linux.die.net/man/8/sudo

[hYp]

Inloggen als ROOT met winSCP....SUCCES....


1. Eerst moeten we ROOT toegang hebben om de nodige aanpassingen te maken;

log in met putty met een admin account, typ daarna,

Code: [Selecteer]

sudo su -geef het admin password in en  je hebt root toegang.


2. We gaan nu het bestand sudoers aanpassen, zodat er na het geven van het sudo commando niet nogmaals om een password wordt gevraagd.

ga nu naar de sudoers file (/etc/sudoers), en open deze file in een editor (ik heb de editor van Midnight Commander gebruikt),
voeg als laatste de volgende regel toe,

Code: [Selecteer]

USER    ALL = NOPASSWD: ALLvervang USER door je admin username.


3. Nu nog winSCP aanpassen en als shell (sudo su -) gebruiken, dit werkt nu omdat er nu niet nogmaals om een password wordt gevraagd bij het sudo commando.

open nu winSCP
in win SCP ga je naar geavaneerd bij je inlogaccount, en kies je bij SCP SHELL voor de optie

Code: [Selecteer]

sudo su -
... en winSCP werkt weer als ROOT...



Getest en werkt...


Natuurlijk kunnen we nu ook automatisch als ROOT met Putty inloggen
Bij de SSH opties van Putty vul je bij het veld Remote Command, het volgende in;

Code: [Selecteer]

sudo su -Inloggen bij Putty doe je nu met je admin account, en je hebt dan gelijk root toegang.


Groetjes hYp

[Birdy]

Ha....dat is grappig, ik had hetzelfde gedaan echter was TE gefocust op user root en niet op admin dus, dat zal de reden zijn dat het bij mij niet werkte
Zal weer testen met die aanpassing maar dan voor de gebruiker root.
Kom erop terug.

[Ben(V)]

Als jouw test ook werkt misschien een sticky van maken?

[Briolet]

2. We gaan nu het bestand sudoers aanpassen, zodat er na het geven van het sudo commando niet meer om een password wordt gevraagd.

Ik vond deze tip ook elders (niet voor de synology nas), maar daar ging hij nog vergezeld van flinke waarschuwings teksten. Je zult je toegang dan wel via firewall regels moeten beperken om te voorkomen dat iedereen zonder wachtwoord rootaccess kan krijgen.

[hYp]

je moet toch nog steeds eerst met je admin account inloggen?
Alleen krijgt nu dit ene admin account gelijk root rechten, wat het tot voor deze beta 2 altijd al had.

Het is absoluut niet zo dat hierdoor alle admin accounts root toegang krijgen, alleen degene die je toegang geeft in de sudoers file.

We kunnen in ieder geval weer winSCP en Putty gebruiken als root.

hYp

[Birdy]

@Ben(V)
Dan pas ik deze sticky weer aan.

@Briolet
En SSH poort (22) wijzigen !

[Ben(V)]

@Birdy
Goed plan

@Briolet
Misschien een scriptje maken die het aan en uit kan zetten.
Kun je het aanzetten als je Winscp nodig hebt en daarna weer uitzetten.

[Briolet]

@hYp, dat klopt, maar je loopt toch meer risico. Als er b.v. een 0-day lek gevonden wordt, is de kans groter dat ze dit ook effectief kunnen misbruiken voor root acces.

[Birdy]

Wilde weer gaan testen echter, loop overal spaak, in GUI mag ik ineens niets meer aanpassen en PuTTY mag niet connecten en nog meer duistere problemen 
Ik ga nu eerst maar weer DSM6 herinstalleren (factory reset)

[Birdy]

@Briolet Dat risico hadden we toch altijd al in Versie 6 Beta1 en lager ?

[Birdy]

Nou, DSM6 opnieuw geinstalleerd en getest, WinSCP werkt weer met schrijfrechten
Was dus inderdaad eerst met gebruiker root bezig i.p.v. admin* in /etc/sudoers

Bedankt @hYp dat je me hebt wakker gemaakt. 

*In mij voorbeeld dus gewoon admin gebruikt maar moet dus eigenlijk een gebruiker zijn met admin rechten.

login as: admin OF een gebruiker met administrator rechten (dus lid van de gebruikersgroep administrators)
admin@192.168.1.22's password:

admin@DS111-1:/$ sudo su -
Password: <zelfde password als je eerste login>

root@DS111-1:~# cd /etc
root@DS111-1:/etc# ls -l sudoers
-r--r----- 1 root root 281 Dec 27 20:16 sudoers

NOTE: File is READ ONLY dus, wijzigen:
root@DS111-1:/etc# chmod +w sudoers
root@DS111-1:/etc#

root@DS111:/etc# ls -l sudoers
-rw-r----- 1 root root 281 Dec 27 20:16 sudoers

root@DS111:/etc# vi sudoers

Toevoegen aan het eind van de file:
# Allow admin, or <user> with admin rights, root access without password
admin    ALL = NOPASSWD: ALL

NOTE: Weer READ ONLY maken:
root@DS111:/etc# chmod -w sudoers
root@DS111:/etc# ls -l sudoers
-r--r----- 1 root root 383 Jan 24 12:21 sudoers

Zoals eerder aangegeven zal ik deze Sticky Topic weer aanpassen (later op de dag) voor DSM6 en hoger.

[Birdy]

Ondertussen maar bedacht om het simpeller te maken voor leden zonder Linux en vi ervaring:

login as: admin OF een gebruiker met administrator rechten (dus lid van de gebruikersgroep administrators)
admin@192.168.1.22's password:

Vanaf hier de commando's copy en plak in PuTTY (plakken in PuTTY is rechter muisknop) verder altijd een <enter> geven na een commando.

Commando: sudo su -
Password: <zelfde password als je eerste login>

Commando: chmod +w /etc/sudoers

Commando: echo "" >> /etc/sudoers && echo "admin    ALL = NOPASSWD: ALL" >> /etc/sudoers

Commando: chmod -w /etc/sudoers

Commando: exit

Commando: exit

NOTE: De kans is wel zeer groot dat je na een DSM update of upgrade dit weer moet herhalen.

Moet nog even wat dingetjes testen, daarna zal ik die Sticky aanpassen.

[Birdy]

Jullie hebben het er allemaal over met dat /bin/sh. Dat hoeft helemaal niet meer.

Er is een tijd geweest dan /bin/sh echt nodig was dus, was ik in de veronderstelling dat dit nog steeds nodig was.
Wat blijkt, het was een WinSCP (oudere versie) issue, het werkt n.l. hier nu ook weer op m'n DSM4 NASsen 

[Birdy]

NAS benaderen met SSH: Windows en OSX
Het Windows gedeelte is aangepast, OSX komt nog misschien (Heb zelf geen OSX n.l.).