auth-rhosts.c

   1 /* $OpenBSD: auth-rhosts.c,v 1.39 2006/07/22 20:48:22 stevesk Exp $ */
   2 /*
   3  * Author: Tatu Ylonen <ylo@cs.hut.fi>
   4  * Copyright (c) 1995 Tatu Ylonen <ylo@cs.hut.fi>, Espoo, Finland
   5  *                    All rights reserved
   6  * Rhosts authentication.  This file contains code to check whether to admit
   7  * the login based on rhosts authentication.  This file also processes
   8  * /etc/hosts.equiv.
   9  *
  10  * As far as I am concerned, the code I have written for this software
  11  * can be used freely for any purpose.  Any derived versions of this
  12  * software must be clearly marked as such, and if the derived work is
  13  * incompatible with the protocol description in the RFC file, it must be
  14  * called by a name other than "ssh" or "Secure Shell".
  15  */
  16
  17 #include "includes.h"
  18
  19 #include <sys/types.h>
  20 #include <sys/stat.h>
  21
  22 #ifdef HAVE_NETGROUP_H
  23 # include <netgroup.h>
  24 #endif
  25 #include <pwd.h>
  26 #include <string.h>
  27
  28 #include "packet.h"
  29 #include "uidswap.h"
  30 #include "pathnames.h"
  31 #include "log.h"
  32 #include "servconf.h"
  33 #include "canohost.h"
  34 #include "auth.h"
  35
  36 /* import */
  37 extern ServerOptions options;
  38 extern int use_privsep;
  39
  40 /*
  41  * This function processes an rhosts-style file (.rhosts, .shosts, or
  42  * /etc/hosts.equiv).  This returns true if authentication can be granted
  43  * based on the file, and returns zero otherwise.
  44  */
  45
  46 static int
  47 check_rhosts_file(const char *filename, const char *hostname,
  48                   const char *ipaddr, const char *client_user,
  49                   const char *server_user)
  50 {
  51         FILE *f;
  52         char buf[1024]; /* Must not be larger than host, user, dummy below. */
  53
  54         /* Open the .rhosts file, deny if unreadable */
  55         f = fopen(filename, "r");
  56         if (!f)
  57                 return 0;
  58
  59         while (fgets(buf, sizeof(buf), f)) {
  60                 /* All three must be at least as big as buf to avoid overflows. */
  61                 char hostbuf[1024], userbuf[1024], dummy[1024], *host, *user, *cp;
  62                 int negated;
  63
  64                 for (cp = buf; *cp == ' ' || *cp == '\t'; cp++)
  65                         ;
  66                 if (*cp == '#' || *cp == '\n' || !*cp)
  67                         continue;
  68
  69                 /*
  70                  * NO_PLUS is supported at least on OSF/1.  We skip it (we
  71                  * don't ever support the plus syntax).
  72                  */
  73                 if (strncmp(cp, "NO_PLUS", 7) == 0)
  74                         continue;
  75
  76                 /*
  77                  * This should be safe because each buffer is as big as the
  78                  * whole string, and thus cannot be overwritten.
  79                  */
  80                 switch (sscanf(buf, "%1023s %1023s %1023s", hostbuf, userbuf,
  81                     dummy)) {
  82                 case 0:
  83                         auth_debug_add("Found empty line in %.100s.", filename);
  84                         continue;
  85                 case 1:
  86                         /* Host name only. */
  87                         strlcpy(userbuf, server_user, sizeof(userbuf));
  88                         break;
  89                 case 2:
  90                         /* Got both host and user name. */
  91                         break;
  92                 case 3:
  93                         auth_debug_add("Found garbage in %.100s.", filename);
  94                         continue;
  95                 default:
  96                         /* Weird... */
  97                         continue;
  98                 }
  99
 100                 host = hostbuf;
 101                 user = userbuf;
 102                 negated = 0;
 103
 104                 /* Process negated host names, or positive netgroups. */
 105                 if (host[0] == '-') {
 106                         negated = 1;
 107                         host++;
 108                 } else if (host[0] == '+')
 109                         host++;
 110
 111                 if (user[0] == '-') {
 112                         negated = 1;
 113                         user++;
 114                 } else if (user[0] == '+')
 115                         user++;
 116
 117                 /* Check for empty host/user names (particularly '+'). */
 118                 if (!host[0] || !user[0]) {
 119                         /* We come here if either was '+' or '-'. */
 120                         auth_debug_add("Ignoring wild host/user names in %.100s.",
 121                             filename);
 122                         continue;
 123                 }
 124                 /* Verify that host name matches. */
 125                 if (host[0] == '@') {
 126                         if (!innetgr(host + 1, hostname, NULL, NULL) &&
 127                             !innetgr(host + 1, ipaddr, NULL, NULL))
 128                                 continue;
 129                 } else if (strcasecmp(host, hostname) && strcmp(host, ipaddr) != 0)
 130                         continue;       /* Different hostname. */
 131
 132                 /* Verify that user name matches. */
 133                 if (user[0] == '@') {
 134                         if (!innetgr(user + 1, NULL, client_user, NULL))
 135                                 continue;
 136                 } else if (strcmp(user, client_user) != 0)
 137                         continue;       /* Different username. */
 138
 139                 /* Found the user and host. */
 140                 fclose(f);
 141
 142                 /* If the entry was negated, deny access. */
 143                 if (negated) {
 144                         auth_debug_add("Matched negative entry in %.100s.",
 145                             filename);
 146                         return 0;
 147                 }
 148                 /* Accept authentication. */
 149                 return 1;
 150         }
 151
 152         /* Authentication using this file denied. */
 153         fclose(f);
 154         return 0;
 155 }
 156
 157 /*
 158  * Tries to authenticate the user using the .shosts or .rhosts file. Returns
 159  * true if authentication succeeds.  If ignore_rhosts is true, only
 160  * /etc/hosts.equiv will be considered (.rhosts and .shosts are ignored).
 161  */
 162
 163 int
 164 auth_rhosts(struct passwd *pw, const char *client_user)
 165 {
 166         const char *hostname, *ipaddr;
 167
 168         hostname = get_canonical_hostname(options.use_dns);
 169         ipaddr = get_remote_ipaddr();
 170         return auth_rhosts2(pw, client_user, hostname, ipaddr);
 171 }
 172
 173 static int
 174 auth_rhosts2_raw(struct passwd *pw, const char *client_user, const char *hostname,
 175     const char *ipaddr)
 176 {
 177         char buf[1024];
 178         struct stat st;
 179         static const char *rhosts_files[] = {".shosts", ".rhosts", NULL};
 180         u_int rhosts_file_index;
 181
 182         debug2("auth_rhosts2: clientuser %s hostname %s ipaddr %s",
 183             client_user, hostname, ipaddr);
 184
 185         /* Switch to the user's uid. */
 186         temporarily_use_uid(pw);
 187         /*
 188          * Quick check: if the user has no .shosts or .rhosts files, return
 189          * failure immediately without doing costly lookups from name
 190          * servers.
 191          */
 192         for (rhosts_file_index = 0; rhosts_files[rhosts_file_index];
 193             rhosts_file_index++) {
 194                 /* Check users .rhosts or .shosts. */
 195                 snprintf(buf, sizeof buf, "%.500s/%.100s",
 196                          pw->pw_dir, rhosts_files[rhosts_file_index]);
 197                 if (stat(buf, &st) >= 0)
 198                         break;
 199         }
 200         /* Switch back to privileged uid. */
 201         restore_uid();
 202
 203         /* Deny if The user has no .shosts or .rhosts file and there are no system-wide files. */
 204         if (!rhosts_files[rhosts_file_index] &&
 205             stat(_PATH_RHOSTS_EQUIV, &st) < 0 &&
 206             stat(_PATH_SSH_HOSTS_EQUIV, &st) < 0)
 207                 return 0;
 208
 209         /* If not logging in as superuser, try /etc/hosts.equiv and shosts.equiv. */
 210         if (pw->pw_uid != 0) {
 211                 if (check_rhosts_file(_PATH_RHOSTS_EQUIV, hostname, ipaddr,
 212                     client_user, pw->pw_name)) {
 213                         auth_debug_add("Accepted for %.100s [%.100s] by /etc/hosts.equiv.",
 214                             hostname, ipaddr);
 215                         return 1;
 216                 }
 217                 if (check_rhosts_file(_PATH_SSH_HOSTS_EQUIV, hostname, ipaddr,
 218                     client_user, pw->pw_name)) {
 219                         auth_debug_add("Accepted for %.100s [%.100s] by %.100s.",
 220                             hostname, ipaddr, _PATH_SSH_HOSTS_EQUIV);
 221                         return 1;
 222                 }
 223         }
 224         /*
 225          * Check that the home directory is owned by root or the user, and is
 226          * not group or world writable.
 227          */
 228         if (stat(pw->pw_dir, &st) < 0) {
 229                 logit("Rhosts authentication refused for %.100s: "
 230                     "no home directory %.200s", pw->pw_name, pw->pw_dir);
 231                 auth_debug_add("Rhosts authentication refused for %.100s: "
 232                     "no home directory %.200s", pw->pw_name, pw->pw_dir);
 233                 return 0;
 234         }
 235         if (options.strict_modes &&
 236             ((st.st_uid != 0 && st.st_uid != pw->pw_uid) ||
 237             (st.st_mode & 022) != 0)) {
 238                 logit("Rhosts authentication refused for %.100s: "
 239                     "bad ownership or modes for home directory.", pw->pw_name);
 240                 auth_debug_add("Rhosts authentication refused for %.100s: "
 241                     "bad ownership or modes for home directory.", pw->pw_name);
 242                 return 0;
 243         }
 244         /* Temporarily use the user's uid. */
 245         temporarily_use_uid(pw);
 246
 247         /* Check all .rhosts files (currently .shosts and .rhosts). */
 248         for (rhosts_file_index = 0; rhosts_files[rhosts_file_index];
 249             rhosts_file_index++) {
 250                 /* Check users .rhosts or .shosts. */
 251                 snprintf(buf, sizeof buf, "%.500s/%.100s",
 252                          pw->pw_dir, rhosts_files[rhosts_file_index]);
 253                 if (stat(buf, &st) < 0)
 254                         continue;
 255
 256                 /*
 257                  * Make sure that the file is either owned by the user or by
 258                  * root, and make sure it is not writable by anyone but the
 259                  * owner.  This is to help avoid novices accidentally
 260                  * allowing access to their account by anyone.
 261                  */
 262                 if (options.strict_modes &&
 263                     ((st.st_uid != 0 && st.st_uid != pw->pw_uid) ||
 264                     (st.st_mode & 022) != 0)) {
 265                         logit("Rhosts authentication refused for %.100s: bad modes for %.200s",
 266                             pw->pw_name, buf);
 267                         auth_debug_add("Bad file modes for %.200s", buf);
 268                         continue;
 269                 }
 270                 /* Check if we have been configured to ignore .rhosts and .shosts files. */
 271                 if (options.ignore_rhosts) {
 272                         auth_debug_add("Server has been configured to ignore %.100s.",
 273                             rhosts_files[rhosts_file_index]);
 274                         continue;
 275                 }
 276                 /* Check if authentication is permitted by the file. */
 277                 if (check_rhosts_file(buf, hostname, ipaddr, client_user, pw->pw_name)) {
 278                         auth_debug_add("Accepted by %.100s.",
 279                             rhosts_files[rhosts_file_index]);
 280                         /* Restore the privileged uid. */
 281                         restore_uid();
 282                         auth_debug_add("Accepted host %s ip %s client_user %s server_user %s",
 283                                 hostname, ipaddr, client_user, pw->pw_name);
 284                         return 1;
 285                 }
 286         }
 287
 288         /* Restore the privileged uid. */
 289         restore_uid();
 290         return 0;
 291 }
 292
 293 int
 294 auth_rhosts2(struct passwd *pw, const char *client_user, const char *hostname,
 295     const char *ipaddr)
 296 {
 297         int ret;
 298
 299         auth_debug_reset();
 300         ret = auth_rhosts2_raw(pw, client_user, hostname, ipaddr);
 301         if (!use_privsep)
 302                 auth_debug_send();
 303         return ret;
 304 }