最近上的某水課的作業是出 ctf web題目，然而大多數同學連 php 都沒學過，(滑稽）更別說配置服務器了，于是我想能不能趁機賺一波外快 造福一下同學,（其實就是想折騰了）。所以打算把我自己的 vps 分成虛擬空間給大家用。但是一般的虛擬空間安全性難以得到保證，一個空間出問題，其他的用戶可能都跟著遭殃，也就是旁站攻擊。更何況我們這個虛擬空間的用處是 ctf web 題目，總不能讓人做出一道題目就能順手拿到所有題目的 flag 吧。于是想到了使用 docker 來構建安全的虛擬空間，其間遇到了不少問題，下面就是折騰的過程了。

實現思路
大體的思路是，在我的 vps 上為每個用戶創建一個文件目錄，然后將目錄掛載到 docker 容器的默認網站目錄，也就是/var/www/html，，用戶可以通過 FTP 將網站源碼上傳到自己的文件目錄，文件也會同步到容器內。這樣就實現了各個空間的環境隔離，避免旁站攻擊。
而數據庫則可以單獨構建一個 mysql 容器，為每個用戶分配一個 user&database，讓用戶和空間容器來遠程連接。
前期準備
選擇鏡像：
空間使用的鏡像為：mattrayner/lamp:latest-1604 (ubuntu 16.04 + apachd2 + mysql，其實只要有mysql-client 就可以了)
數據庫所使用的鏡像為： mysql：5 (mysql 官方鏡像)
配置FTP：
和配置常規的 FTP 沒什么區別，這里特別強調3點：
一定要開啟 ch_root，防止不同用戶之間可以互相查看文件；
如果使用被動模式，那么 云主機的安全組 或者iptables 不要忘了放行端口；
將 umask 設置為 022 (保證用戶上傳的文件默認權限為755。
選擇一個位置存放用戶文件夾：
我這里新建一個 ~/rooms/ 來存放用戶的文件夾。
配置數據庫：
1. 網絡：
要讓虛擬空間的容器能夠遠程連接數據庫，首先要使容器之間在一個網段，那么我們就需要設置一個橋接模式的 docker network，我這里使用 172.22.0.0/16 這個網段。
$ docker network create --driver = bridge --subnet = 172 .22.0.0/16 room_net
2.創建 MySQL 容器：
我們的數據庫需要滿足：
允許用戶遠程連接；
允許空間容器連接。
第一點要求，我們通過將數據庫容器的 3306 端口映射到 VPS 的開放端口即可，我這里映射到 3307。
第二點要求，只要通過我們剛剛設置的 docker network 即可實現。
所以啟動創建容器的命令是的命令是：
$ docker run -d --name room-mysql --network room_net --ip 172 .22.0.1 -p 3307 :3306 -e MYSQL_ROOT_PASSWORD = your_password mysql:5
值得注意的一點是，root 用戶是不需要遠程登錄的，出于安全考慮，我們應該 禁止其通過localhost意外的host登錄
執行：
$ docker exec -it room-mysql /bin/bash -c "mysql -u root -p -e\"use mysql;update user set host='localhost' where user='root';drop user where user='root' and host='%';flush privileges;\""
創建空間過程
做好前期的準備工作，我們就可以開始構建空間了，出于方便我們將整個過程編寫成 shell 腳本，這樣以后要新建空間的時候，只需要運行一下就可以了。
我們創建空間需要以下幾個步驟：
1. 創建新的 FTP 用戶
這個用戶應該滿足這樣的要求：
可以上傳文件到虛擬空間用戶文件夾 (廢話）；
不能訪問除虛擬空間用戶文件夾之外的位置 (在配置 FTP 時通過ch_root 實現)；
創建的時候設置一個隨機密碼；
不能通過 ssh 登陸 (其實這也是用戶能通過 ftp 連接 的必須條件。如果不限制的話，ftp登錄時會出現 530 錯誤。
那么對應的 shell 腳本就是：
#/home/ubuntu/rooms/ 即你的vps上用來存放用戶文件夾的位置  # $1 參數為要設置的用戶名，也是虛擬空間容器&數據庫用戶&數據庫&用戶文件夾的名字useradd -g ftp -d /home/ubuntu/rooms/$1 -m $1 ​pass=`cat /dev/urandom | head -n 10 | md5sum | head -c 10`  #生成隨即密碼echo $1:$pass | chpasswd                                    #為用戶設置密碼​#限制用戶通過 ssh 登錄(如/etc/shells 里沒有/usr/sbin/nologin 需要自己加進去usermod -s /usr/sbin/nologin $1             echo "create ftp user:$1 indentified by $pass"              #輸出用戶名和密碼
2. 新建數據庫用戶&數據庫，并為用戶賦權
這部分操作比較簡單，我們就只需要為用戶新建一個 MySQL 賬戶和一個專屬數據庫就好了。
shell 腳本：
# 讓用戶輸入 mysql 容器的 root 密碼read -sp "請輸入 MySQL 容器的 root 賬戶密碼：" mysql_pass# 創建數據庫docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"create database $1;\""# 生成密碼pass=`cat /dev/urandom | head -n 10 | md5sum | head -c 10`# 創建 MySQL 用戶docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"CREATE USER '$1'@'%' IDENTIFIED BY '$pass';\""# 為用戶賦予權限docker exec -it mysql-docker /bin/bash -c "mysql -u root -p$mysql_pass -e \"grant all privileges on $1.* to '$1'@'%';flush privileges;\""# 輸出賬戶信息echo "create database user:$1@'%' indentified by $pass"
3. 新建空間
到現在我們已經可以創建空間容器了，想一想這個空間要滿足什么基本要求呢？
能夠外網訪問；
能夠連接數據庫；