CI から SSH を許可するために、秘密のデータを置く専用の場所に置いたり鍵を暗号化して置いたりするわけですが、破られた場合の次の策として rbash を設定しようとしていました。 rbash を使用すると、実行可能なコマンドに制限のかかったユーザを作成することができますが、うっかり不十分な制限になってしまうことがあります。
.bash_profile だけではダメ（かも）
CentOS 7 で作られる .bashrc が
if [ -f /etc/bashrc ]; then
. /etc/bashrc
fi
としているおかげで、 .bash_profile で設定した PATH が上書きされてしまいます。
.bashrc で設定するようにしましょう。
ビルトインコマンドが使える
$ ssh user@host 'test -f /etc/passwd && echo test'
test
もっと厳しくするには、enable -n COMMAND を .bashrc に追記して不要なビルトインコマンドを無効化します。
scp で .bashrc を上書きできる
chown で root に所有させたりして、該当ユーザは読み込みだけにします。
その他 .profile, .bash_profile, .bash_logout あたりも注意。
任意のコマンドを実行できるコマンドを許可してしまう
awk, find など。 EDITOR を使うやつも注意。
一旦、自前のシェルスクリプトで引数を制限してしまうのも良いかもしれません。
scp, rsync で任意のコマンドを実行できる
表からはわからないので注意。
scp -S /bin/echo . example@localhost:/
とすると、実行したマシン上で任意のコマンドが実行できる。
これが困るのは rbash で制限している時。 scp は、上記の echo で示した通り、手元とリモートの両方の scp で動作するので、リモートマシンにも scp の PATH を通す必要がある。しかし、 rbash は直接起動したコマンドしか面倒を見れないので、 rbash による制約を回避できてしまう。
#!/bin/bash
if [[ " $@" = *" -S"* ]]; then
echo "Command failed: $@" >&2
exit 1
fi
/bin/scp $@
代わりに上記のようなシェルスクリプトを制限するユーザの PATH 上に置いておく。
rsync も似たようなことが出来てしまうので、
#!/bin/bash
if [[ " $@" = *" -rsh"* || " $@" = *" -e"* ]]; then
echo "Command failed: $@" >&2
exit 1
fi
/bin/rsync $@
まだ抜けがありそうな気がする。