转自：http://4585258.blog.51cto.com/4575258/1285734/
服务器为 RedHat5.5
root用户操作：
1. 部署目录环境
创建一个目录，目录结构与实际的/目录结构类似
创建用户
useradd ppp
passwd ppp
将chroot目录设置在/chroot下
mkdir -p /chroot/{etc,dev,proc,lib,bin,home,usr}
mkdir -p /chroot/usr/{bin,lib,libexec}
mkdir -p /chroot/home/ppp
拷贝/etc/passwd文件
cp -a /etc/passwd/ chroot/etc/passwd 然后删除里面的无关用户。
拷贝需要的命令例如
cp -a /bin/bash /chroot/bin/
查看bash命令需要哪些.so文件，拷贝到相应的目录中
[root@localhost ~]# ldd /bin/bash
linux-gate.so.1 => (0x003a6000)
libtermcap.so.2 => /lib/libtermcap.so.2 (0x004b7000)
libdl.so.2 => /lib/libdl.so.2 (0x004b1000)
libc.so.6 => /lib/i686/nosegneg/libc.so.6 (0x00110000)
/lib/ld-linux.so.2 (0x0031f000)
拷贝动态库文件
cp -a /lib/{libtermcap.so.2,libdl.so.2,ld-linux.so.2} /chroot/lib
cp -a /lib/i686/nosegneg/libc.so.6 /chroot/lib/
拷贝完成后，ls -l,会发现拷贝的都是软链接文件
1.# ll
2.total 0
3.lrwxrwxrwx. 1 root root 10 Feb 6 13:58 ld-linux.so.2 -> ld-2.12.so
4.lrwxrwxrwx. 1 root root 12 Feb 6 13:58 libc.so.6 -> libc-2.12.so
5.lrwxrwxrwx. 1 root root 13 Feb 6 13:58 libdl.so.2 -> libdl-2.12.so
6.lrwxrwxrwx. 1 root root 15 Jan 16 22:36 libtinfo.so.5 -> libtinfo.so.5.7
拷贝原始文件
cp -a /lib/{ld-2.12.so,libc-2.12.so,libdl-2.12.so,libtinfo.so.5.7} /chroot/lib
拷贝用户下的信息
cp -a /home/ppp/* /chroot/home/ppp/
简单测试一下，看看chroot命令是否可以用该目录当作/环境。
chroot /chroot
没有错误信息即可，正常应显示bash的信息。
2. ssh设置
cat /etc/ssh/sshd_config | grep UsePAM
确保
UsePAM yes
默认为yes
3. pam验证增加chroot模块
/etc/pam.d/sshd
在最下面添加一行：
session required pam_chroot.so
一定要确保输入正确，否则可能造成ssh无法登录.
pam_chroot.so 执行后会读取配置文件以决定是否使用chroot环境。
/etc/security/chroot.conf
[root@localhost security]# cat chroot.conf
# /etc/security/chroot.conf
# format:
# username_regex chroot_dir
#matthew /home
增加下面一行
ppp /chroot
4. 调试ssh服务
测试：
ssh ppp@192.168.13.136
登录失败，打开/var/log/secure日志查看：
Aug 19 07:08:52 localhost sshd[9993]: pam_env(sshd:setcred): Unable to open config file: /etc/security/pam_env.conf: No such file or directory
Aug 19 07:08:52 localhost sshd[9978]: error: openpty: No such file or directory
Aug 19 07:08:52 localhost sshd[9993]: error: session_pty_req: session 0 alloc failed
cp -a /etc/security /chroot/etc/
为chroot准备dev环境，准备pts环境以及准备proc环境
mount --bind /dev /chroot/dev
mount -t devpts -o pid=5,mode=620 devpts /chroot/dev/pts
mount -t proc /proc /chroot/proc/
再次登录测试：
ssh ppp@192.168.13.136
Aug 2007:08:52 localhost sshd[21426]: pam_env(sshd:setcred): Unable to open env file: /etc/environment: No such file or directory
Aug 2007:08:52 localhost sshd[21390]: error: ssh_selinux_setup_pty: security_compute_relabel: No such file or directory
cp -a /etc/environment /chroot/etc/
重新测试：
ssh ppp@192.168.13.136
ppp@192.168.13.136's password:
-bash-3.5$
OK,可以正常登录了。
5. 环境设置
最简单的就是不设置环境，使用bash版本号作为提示符。
或者也可以按正常的用户一样设置提示符，需要做的操作比较多。
cp -a /etc/{profile,profile.d,bashrc} /chroot/etc/
ssh ppp@192.168.13.136
ppp@192.168.13.136's password:
-bash: id: command not found
-bash: id: command not found
-bash: uname: command not found
-bash: /bin/grep: No such file or directory
-bash: /bin/grep: No such file or directory
-bash: /bin/grep: No such file or directory
-bash: /usr/bin/id: No such file or directory
-bash: [: =: unary operator expected
#whereis id
id: /usr/bin/id /usr/share/man/man1p/id.1p.gz /usr/share/man/man1/id.1.gz
cp -a /usr/bin/id /chroot/usr/bin/
cp -a /bin/grep /chroot/bin/
cp -a /bin/uname /chroot/bin/
# ldd /chroot/usr/bin/id
linux-vdso.so.1 => (0x00007fff4cba1000)
libselinux.so.1 => /lib/libselinux.so.1 (0x0000003690200000)
libc.so.6 => /lib/libc.so.6 (0x000000368e600000)
libdl.so.2 => /lib/libdl.so.2 (0x000000368ea00000)
/lib/ld-linux.so.2 (0x000000368e200000)
按上面的方法解决即可。
如果SSH登录不能上传下载文件的话，有可能是sftp的问题
[root@localhost ssh]# cat sshd_config | tail -1
Subsystem sftp /usr/libexec/openssh/sftp-server
可能是sftp-server没有加载
cp -a /usr/libexec/openssh/sftp-server /chroot/usr/libexec/openssh/sftp-server
然后在/chroot/home/ppp/目录下修改.bashrc文件
再最前面加一行
[ -z "$PS1" ] && return
或者：
[$-!=*i*]&&return
. .bashrc 执行加载
ssh登录即可上传下载文件。
补充：
1）在我的环境中，执行到第4步ssh连接时报错：
pam_unix(sshd:session): session closed for user root
解决办法：
vi /etc/ssh/sshd_config
修改如下内容：
#PermitRootLogin NO
PermitRootLogin yes
2)使用ssh上传文件失败
第一次执行失败是因为方括号两侧未留空格，正确写法：[ $-!=*i* ] && return
[root@localhost zhangs]# . .bashrc
-bash: [himBH!=*i*]: command not found
[root@localhost zhangs]# vi .bashrc
[root@localhost zhangs]# . .bashrc
[root@localhost zhangs]#
centos7中配置
http://www.myhack58.com/Article/sort099/sort0102/2017/86571.htm
