最近上的某水課的作業(yè)是出 ctf web題目，然而大多數(shù)同學(xué)連 php 都沒學(xué)過，(滑稽）更別說配置服務(wù)器了，于是我想能不能趁機賺一波外快 造福一下同學(xué),（其實就是想折騰了）。所以打算把我自己的 vps 分成虛擬空間給大家用。但是一般的虛擬空間安全性難以得到保證，一個空間出問題，其他的用戶可能都跟著遭殃，也就是旁站攻擊。更何況我們這個虛擬空間的用處是 ctf web 題目，總不能讓人做出一道題目就能順手拿到所有題目的 flag 吧。于是想到了使用 docker 來構(gòu)建安全的虛擬空間，其間遇到了不少問題，下面就是折騰的過程了。
實現(xiàn)思路
大體的思路是，在我的 vps 上為每個用戶創(chuàng)建一個文件目錄，然后將目錄掛載到 docker 容器的默認(rèn)網(wǎng)站目錄，也就是/var/www/html，，用戶可以通過 FTP 將網(wǎng)站源碼上傳到自己的文件目錄，文件也會同步到容器內(nèi)。這樣就實現(xiàn)了各個空間的環(huán)境隔離，避免旁站攻擊。
而數(shù)據(jù)庫則可以單獨構(gòu)建一個 mysql 容器，為每個用戶分配一個 user&database，讓用戶和空間容器來遠(yuǎn)程連接。
前期準(zhǔn)備
選擇鏡像：
空間使用的鏡像為：mattrayner/lamp:latest-1604 (ubuntu 16.04 + apachd2 + mysql，其實只要有mysql-client 就可以了)
數(shù)據(jù)庫所使用的鏡像為： mysql：5 (mysql 官方鏡像)
配置FTP：
和配置常規(guī)的 FTP 沒什么區(qū)別，這里特別強調(diào)3點：
一定要開啟 ch_root，防止不同用戶之間可以互相查看文件；
如果使用被動模式，那么 云主機的安全組 或者iptables 不要忘了放行端口；
將 umask 設(shè)置為 022 (保證用戶上傳的文件默認(rèn)權(quán)限為755。
選擇一個位置存放用戶文件夾：
我這里新建一個 ~/rooms/ 來存放用戶的文件夾。
配置數(shù)據(jù)庫：
1. 網(wǎng)絡(luò)：
要讓虛擬空間的容器能夠遠(yuǎn)程連接數(shù)據(jù)庫，首先要使容器之間在一個網(wǎng)段，那么我們就需要設(shè)置一個橋接模式的 docker network，我這里使用 172.22.0.0/16 這個網(wǎng)段。
$ docker network create --driver = bridge --subnet = 172 .22.0.0/16 room_net
2.創(chuàng)建 MySQL 容器：
我們的數(shù)據(jù)庫需要滿足：
允許用戶遠(yuǎn)程連接；
允許空間容器連接。
第一點要求，我們通過將數(shù)據(jù)庫容器的 3306 端口映射到 VPS 的開放端口即可，我這里映射到 3307。
第二點要求，只要通過我們剛剛設(shè)置的 docker network 即可實現(xiàn)。
所以啟動創(chuàng)建容器的命令是的命令是：
$ docker run -d --name room-mysql --network room_net --ip 172 .22.0.1 -p 3307 :3306 -e MYSQL_ROOT_PASSWORD = your_password mysql:5
值得注意的一點是，root 用戶是不需要遠(yuǎn)程登錄的，出于安全考慮，我們應(yīng)該 禁止其通過localhost意外的host登錄
執(zhí)行：
$ docker exec -it room-mysql /bin/bash -c "mysql -u root -p -e\"use mysql;update user set host='localhost' where user='root';drop user where user='root' and host='%';flush privileges;\""
創(chuàng)建空間過程
做好前期的準(zhǔn)備工作，我們就可以開始構(gòu)建空間了，出于方便我們將整個過程編寫成 shell 腳本，這樣以后要新建空間的時候，只需要運行一下就可以了。
我們創(chuàng)建空間需要以下幾個步驟：
1. 創(chuàng)建新的 FTP 用戶
這個用戶應(yīng)該滿足這樣的要求：
可以上傳文件到虛擬空間用戶文件夾 (廢話）；
不能訪問除虛擬空間用戶文件夾之外的位置 (在配置 FTP 時通過ch_root 實現(xiàn))；
創(chuàng)建的時候設(shè)置一個隨機密碼；
不能通過 ssh 登陸 (其實這也是用戶能通過 ftp 連接 的必須條件。如果不限制的話，ftp登錄時會出現(xiàn) 530 錯誤。
那么對應(yīng)的 shell 腳本就是：
#/home/ubuntu/rooms/ 即你的vps上用來存放用戶文件夾的位置 # $1 參數(shù)為要設(shè)置的用戶名，也是虛擬空間容器&數(shù)據(jù)庫用戶&數(shù)據(jù)庫&用戶文件夾的名字useradd -g ftp -d /home/ubuntu/rooms/$1 -m $1 pass=`cat /dev/urandom | head -n 10 | md5sum | head -c 10` #生成隨即密碼echo $1:$pass | chpasswd #為用戶設(shè)置密碼#限制用戶通過 ssh 登錄(如/etc/shells 里沒有/usr/sbin/nologin 需要自己加進去usermod -s /usr/sbin/nologin $1 echo "create ftp user:$1 indentified by $pass" #輸出用戶名和密碼
2. 新建數(shù)據(jù)庫用戶&數(shù)據(jù)庫，并為用戶賦權(quán)
這部分操作比較簡單，我們就只需要為用戶新建一個 MySQL 賬戶和一個專屬數(shù)據(jù)庫就好了。
shell 腳本：
# 讓用戶輸入 mysql 容器的 root 密碼read -sp "請輸入 MySQL 容器的 root 賬戶密碼：" mysql_pass# 創(chuàng)建數(shù)據(jù)庫docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"create database $1;\""# 生成密碼pass=`cat /dev/urandom | head -n 10 | md5sum | head -c 10`# 創(chuàng)建 MySQL 用戶docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"CREATE USER '$1'@'%' IDENTIFIED BY '$pass';\""# 為用戶賦予權(quán)限docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"grant all privileges on $1.* to '$1'@'%';flush privileges;\""# 輸出賬戶信息echo "create database user:$1@'%' indentified by $pass"
3. 新建空間
到現(xiàn)在我們已經(jīng)可以創(chuàng)建空間容器了，想一想這個空間要滿足什么基本要求呢？
能夠外網(wǎng)訪問；
| 
