Возможно несанкционированный доступ к чужим файлам через ftp

[krotx]

1.Добавил нового пользователя Demo в панели Vesta (SSH доступ - nologin)

2. Создал несколько(4) однотипных сайтов под этим пользователем сразу с созданием разных ftp пользователей demo_ftp1, demo_ftp2 и т.п.

3. Настраиваю FTP-клиент FarManager 3.0 для доступа скажем к первому сайту

Настройки FTP:

тип SFTP (secured)

логин demo_ftp1

пароль *******

Результат

захожу через FTP клиента - показывает файлы всего сервера

вижу все остальные сайты этого пользователя Demo с полным доступом (а вроде как не должны как бы)

сайты других пользователей (admin и пр.) не доступны

в папке /usr/local/vesta - частично доступ к некоторым файлам

/etc/passwd вижу

Это баг? или это нормальное функционирование?

т.е. я даю FTP доступ к одному сайту скажем так одному разработчику - а он может видеть и править другие сайты? Что то как то не так.

тут зарегистрированный баг - https://bugs.vestacp.com/responses/vozm ... ftp-klient
написал в два места - чтобы быстрее увидели

[Deeryo]

Используется vsftpd? В конфиге /etc/vsftpd/vsftpd.conf настроена опция chroot_local_user=YES ?

[krotx]

сильно не уверен что тут chroot нужен
http://www.opennet.ru/openforum/vsluhfo ... 86569.html

нашел временное решение - просто отключил SFTP

в файле /etc/rssh.conf выключить SFTP
#allowsftp

потом перезапуск ssh
/etc/init.d/ssh restart

проверил, работает только FTP.
SFTP и SCP не пускают)

[Deeryo]

Это особенность sshd, можно настроить sftp chroot https://wiki.archlinux.org/index.php/SFTP_chroot, но это требует поменять владельца папки на root, поэтому не годится для сайтов. Короче не судьба...