auth-rhosts.c

   1 /* $OpenBSD: auth-rhosts.c,v 1.42 2008/06/13 04:40:22 djm Exp $ */
   2 /*
   3  * Author: Tatu Ylonen <ylo@cs.hut.fi>
   4  * Copyright (c) 1995 Tatu Ylonen <ylo@cs.hut.fi>, Espoo, Finland
   5  *                    All rights reserved
   6  * Rhosts authentication.  This file contains code to check whether to admit
   7  * the login based on rhosts authentication.  This file also processes
   8  * /etc/hosts.equiv.
   9  *
  10  * As far as I am concerned, the code I have written for this software
  11  * can be used freely for any purpose.  Any derived versions of this
  12  * software must be clearly marked as such, and if the derived work is
  13  * incompatible with the protocol description in the RFC file, it must be
  14  * called by a name other than "ssh" or "Secure Shell".
  15  */
  16
  17 #include "includes.h"
  18
  19 #include <sys/types.h>
  20 #include <sys/stat.h>
  21
  22 #ifdef HAVE_NETGROUP_H
  23 # include <netgroup.h>
  24 #endif
  25 #include <pwd.h>
  26 #include <stdio.h>
  27 #include <string.h>
  28 #include <stdarg.h>
  29 #include <fcntl.h>
  30
  31 #include "packet.h"
  32 #include "buffer.h"
  33 #include "uidswap.h"
  34 #include "pathnames.h"
  35 #include "log.h"
  36 #include "servconf.h"
  37 #include "canohost.h"
  38 #include "key.h"
  39 #include "hostfile.h"
  40 #include "auth.h"
  41 #include "misc.h"
  42
  43 /* import */
  44 extern ServerOptions options;
  45 extern int use_privsep;
  46
  47 /*
  48  * This function processes an rhosts-style file (.rhosts, .shosts, or
  49  * /etc/hosts.equiv).  This returns true if authentication can be granted
  50  * based on the file, and returns zero otherwise.
  51  */
  52
  53 static int
  54 check_rhosts_file(const char *filename, const char *hostname,
  55                   const char *ipaddr, const char *client_user,
  56                   const char *server_user)
  57 {
  58         FILE *f;
  59         char buf[1024]; /* Must not be larger than host, user, dummy below. */
  60         int fd;
  61         struct stat st;
  62
  63         /* Open the .rhosts file, deny if unreadable */
  64         if ((fd = open(filename, O_RDONLY|O_NONBLOCK)) == -1)
  65                 return 0;
  66         if (fstat(fd, &st) == -1) {
  67                 close(fd);
  68                 return 0;
  69         }
  70         if (!S_ISREG(st.st_mode)) {
  71                 logit("User %s hosts file %s is not a regular file",
  72                     server_user, filename);
  73                 close(fd);
  74                 return 0;
  75         }
  76         unset_nonblock(fd);
  77         if ((f = fdopen(fd, "r")) == NULL) {
  78                 close(fd);
  79                 return 0;
  80         }
  81         while (fgets(buf, sizeof(buf), f)) {
  82                 /* All three must be at least as big as buf to avoid overflows. */
  83                 char hostbuf[1024], userbuf[1024], dummy[1024], *host, *user, *cp;
  84                 int negated;
  85
  86                 for (cp = buf; *cp == ' ' || *cp == '\t'; cp++)
  87                         ;
  88                 if (*cp == '#' || *cp == '\n' || !*cp)
  89                         continue;
  90
  91                 /*
  92                  * NO_PLUS is supported at least on OSF/1.  We skip it (we
  93                  * don't ever support the plus syntax).
  94                  */
  95                 if (strncmp(cp, "NO_PLUS", 7) == 0)
  96                         continue;
  97
  98                 /*
  99                  * This should be safe because each buffer is as big as the
 100                  * whole string, and thus cannot be overwritten.
 101                  */
 102                 switch (sscanf(buf, "%1023s %1023s %1023s", hostbuf, userbuf,
 103                     dummy)) {
 104                 case 0:
 105                         auth_debug_add("Found empty line in %.100s.", filename);
 106                         continue;
 107                 case 1:
 108                         /* Host name only. */
 109                         strlcpy(userbuf, server_user, sizeof(userbuf));
 110                         break;
 111                 case 2:
 112                         /* Got both host and user name. */
 113                         break;
 114                 case 3:
 115                         auth_debug_add("Found garbage in %.100s.", filename);
 116                         continue;
 117                 default:
 118                         /* Weird... */
 119                         continue;
 120                 }
 121
 122                 host = hostbuf;
 123                 user = userbuf;
 124                 negated = 0;
 125
 126                 /* Process negated host names, or positive netgroups. */
 127                 if (host[0] == '-') {
 128                         negated = 1;
 129                         host++;
 130                 } else if (host[0] == '+')
 131                         host++;
 132
 133                 if (user[0] == '-') {
 134                         negated = 1;
 135                         user++;
 136                 } else if (user[0] == '+')
 137                         user++;
 138
 139                 /* Check for empty host/user names (particularly '+'). */
 140                 if (!host[0] || !user[0]) {
 141                         /* We come here if either was '+' or '-'. */
 142                         auth_debug_add("Ignoring wild host/user names in %.100s.",
 143                             filename);
 144                         continue;
 145                 }
 146                 /* Verify that host name matches. */
 147                 if (host[0] == '@') {
 148                         if (!innetgr(host + 1, hostname, NULL, NULL) &&
 149                             !innetgr(host + 1, ipaddr, NULL, NULL))
 150                                 continue;
 151                 } else if (strcasecmp(host, hostname) && strcmp(host, ipaddr) != 0)
 152                         continue;       /* Different hostname. */
 153
 154                 /* Verify that user name matches. */
 155                 if (user[0] == '@') {
 156                         if (!innetgr(user + 1, NULL, client_user, NULL))
 157                                 continue;
 158                 } else if (strcmp(user, client_user) != 0)
 159                         continue;       /* Different username. */
 160
 161                 /* Found the user and host. */
 162                 fclose(f);
 163
 164                 /* If the entry was negated, deny access. */
 165                 if (negated) {
 166                         auth_debug_add("Matched negative entry in %.100s.",
 167                             filename);
 168                         return 0;
 169                 }
 170                 /* Accept authentication. */
 171                 return 1;
 172         }
 173
 174         /* Authentication using this file denied. */
 175         fclose(f);
 176         return 0;
 177 }
 178
 179 /*
 180  * Tries to authenticate the user using the .shosts or .rhosts file. Returns
 181  * true if authentication succeeds.  If ignore_rhosts is true, only
 182  * /etc/hosts.equiv will be considered (.rhosts and .shosts are ignored).
 183  */
 184
 185 int
 186 auth_rhosts(struct passwd *pw, const char *client_user)
 187 {
 188         const char *hostname, *ipaddr;
 189
 190         hostname = get_canonical_hostname(options.use_dns);
 191         ipaddr = get_remote_ipaddr();
 192         return auth_rhosts2(pw, client_user, hostname, ipaddr);
 193 }
 194
 195 static int
 196 auth_rhosts2_raw(struct passwd *pw, const char *client_user, const char *hostname,
 197     const char *ipaddr)
 198 {
 199         char buf[1024];
 200         struct stat st;
 201         static const char *rhosts_files[] = {".shosts", ".rhosts", NULL};
 202         u_int rhosts_file_index;
 203
 204         debug2("auth_rhosts2: clientuser %s hostname %s ipaddr %s",
 205             client_user, hostname, ipaddr);
 206
 207         /* Switch to the user's uid. */
 208         temporarily_use_uid(pw);
 209         /*
 210          * Quick check: if the user has no .shosts or .rhosts files, return
 211          * failure immediately without doing costly lookups from name
 212          * servers.
 213          */
 214         for (rhosts_file_index = 0; rhosts_files[rhosts_file_index];
 215             rhosts_file_index++) {
 216                 /* Check users .rhosts or .shosts. */
 217                 snprintf(buf, sizeof buf, "%.500s/%.100s",
 218                          pw->pw_dir, rhosts_files[rhosts_file_index]);
 219                 if (stat(buf, &st) >= 0)
 220                         break;
 221         }
 222         /* Switch back to privileged uid. */
 223         restore_uid();
 224
 225         /* Deny if The user has no .shosts or .rhosts file and there are no system-wide files. */
 226         if (!rhosts_files[rhosts_file_index] &&
 227             stat(_PATH_RHOSTS_EQUIV, &st) < 0 &&
 228             stat(_PATH_SSH_HOSTS_EQUIV, &st) < 0)
 229                 return 0;
 230
 231         /* If not logging in as superuser, try /etc/hosts.equiv and shosts.equiv. */
 232         if (pw->pw_uid != 0) {
 233                 if (check_rhosts_file(_PATH_RHOSTS_EQUIV, hostname, ipaddr,
 234                     client_user, pw->pw_name)) {
 235                         auth_debug_add("Accepted for %.100s [%.100s] by /etc/hosts.equiv.",
 236                             hostname, ipaddr);
 237                         return 1;
 238                 }
 239                 if (check_rhosts_file(_PATH_SSH_HOSTS_EQUIV, hostname, ipaddr,
 240                     client_user, pw->pw_name)) {
 241                         auth_debug_add("Accepted for %.100s [%.100s] by %.100s.",
 242                             hostname, ipaddr, _PATH_SSH_HOSTS_EQUIV);
 243                         return 1;
 244                 }
 245         }
 246         /*
 247          * Check that the home directory is owned by root or the user, and is
 248          * not group or world writable.
 249          */
 250         if (stat(pw->pw_dir, &st) < 0) {
 251                 logit("Rhosts authentication refused for %.100s: "
 252                     "no home directory %.200s", pw->pw_name, pw->pw_dir);
 253                 auth_debug_add("Rhosts authentication refused for %.100s: "
 254                     "no home directory %.200s", pw->pw_name, pw->pw_dir);
 255                 return 0;
 256         }
 257         if (options.strict_modes &&
 258             ((st.st_uid != 0 && st.st_uid != pw->pw_uid) ||
 259             (st.st_mode & 022) != 0)) {
 260                 logit("Rhosts authentication refused for %.100s: "
 261                     "bad ownership or modes for home directory.", pw->pw_name);
 262                 auth_debug_add("Rhosts authentication refused for %.100s: "
 263                     "bad ownership or modes for home directory.", pw->pw_name);
 264                 return 0;
 265         }
 266         /* Temporarily use the user's uid. */
 267         temporarily_use_uid(pw);
 268
 269         /* Check all .rhosts files (currently .shosts and .rhosts). */
 270         for (rhosts_file_index = 0; rhosts_files[rhosts_file_index];
 271             rhosts_file_index++) {
 272                 /* Check users .rhosts or .shosts. */
 273                 snprintf(buf, sizeof buf, "%.500s/%.100s",
 274                          pw->pw_dir, rhosts_files[rhosts_file_index]);
 275                 if (stat(buf, &st) < 0)
 276                         continue;
 277
 278                 /*
 279                  * Make sure that the file is either owned by the user or by
 280                  * root, and make sure it is not writable by anyone but the
 281                  * owner.  This is to help avoid novices accidentally
 282                  * allowing access to their account by anyone.
 283                  */
 284                 if (options.strict_modes &&
 285                     ((st.st_uid != 0 && st.st_uid != pw->pw_uid) ||
 286                     (st.st_mode & 022) != 0)) {
 287                         logit("Rhosts authentication refused for %.100s: bad modes for %.200s",
 288                             pw->pw_name, buf);
 289                         auth_debug_add("Bad file modes for %.200s", buf);
 290                         continue;
 291                 }
 292                 /* Check if we have been configured to ignore .rhosts and .shosts files. */
 293                 if (options.ignore_rhosts) {
 294                         auth_debug_add("Server has been configured to ignore %.100s.",
 295                             rhosts_files[rhosts_file_index]);
 296                         continue;
 297                 }
 298                 /* Check if authentication is permitted by the file. */
 299                 if (check_rhosts_file(buf, hostname, ipaddr, client_user, pw->pw_name)) {
 300                         auth_debug_add("Accepted by %.100s.",
 301                             rhosts_files[rhosts_file_index]);
 302                         /* Restore the privileged uid. */
 303                         restore_uid();
 304                         auth_debug_add("Accepted host %s ip %s client_user %s server_user %s",
 305                                 hostname, ipaddr, client_user, pw->pw_name);
 306                         return 1;
 307                 }
 308         }
 309
 310         /* Restore the privileged uid. */
 311         restore_uid();
 312         return 0;
 313 }
 314
 315 int
 316 auth_rhosts2(struct passwd *pw, const char *client_user, const char *hostname,
 317     const char *ipaddr)
 318 {
 319         int ret;
 320
 321         auth_debug_reset();
 322         ret = auth_rhosts2_raw(pw, client_user, hostname, ipaddr);
 323         if (!use_privsep)
 324                 auth_debug_send();
 325         return ret;
 326 }