ProHoster > Blog > Administrazioa > Aholku praktikoak, adibideak eta SSH tunelak

Aholku praktikoak, adibideak eta SSH tunelak

Aholku praktikoak, adibideak eta SSH tunelak
Adibide praktikoak SSH, urruneko sistema-administratzaile gisa zure gaitasunak maila berri batera eramango dituena. Komandoak eta aholkuak erabiltzen ez ezik SSH, baina baita sarean modu konpetenteagoan nabigatu ere.

Trikimailu batzuk ezagutzea ssh edozein sistema administratzaile, sare ingeniari edo segurtasun espezialistarentzat erabilgarria.

SSH adibide praktikoak

  1. SSH galtzerdiak proxy
  2. SSH tunela (portuak birbidaltzea)
  3. SSH tunela hirugarren ostalarira
  4. Alderantzizko SSH tunela
  5. SSH alderantzizko proxy
  6. VPN SSH bidez instalatzen
  7. SSH gako bat kopiatzen (ssh-copy-id)
  8. Urruneko komandoen exekuzioa (ez-interaktiboa)
  9. Urruneko paketeak harrapatzea eta ikustea Wireshark-en
  10. Karpeta lokal bat urruneko zerbitzari batera kopiatzea SSH bidez
  11. Urruneko GUI aplikazioak SSH X11 birbidaltzearekin
  12. Urruneko fitxategiak kopiatzea rsync eta SSH erabiliz
  13. SSH Tor sarearen bidez
  14. SSH EC2 instantziara
  15. Testu fitxategiak editatzea VIM erabiliz ssh/scp bidez
  16. Muntatu urruneko SSH karpeta lokal gisa SSHFS-rekin
  17. SSH multiplexatuz ControlPath-ekin
  18. Igorri bideoa SSH bidez VLC eta SFTP erabiliz
  19. Bi faktoreko autentifikazioa
  20. Ostalariak SSH eta -Jrekin jauzi egiten
  21. SSH indar gordineko saiakerak blokeatzea iptables erabiliz
  22. SSH Ihes ataka birbidaltzea aldatzeko

Lehenik oinarriak

SSH komando-lerroa analizatzen

Hurrengo adibidean urruneko zerbitzari batera konektatzean sarritan aurkitzen diren parametro arruntak erabiltzen dira SSH.

localhost:~$ ssh -v -p 22 -C neo@remoteserver

  • -v: Arazketaren irteera bereziki erabilgarria da autentifikazio-arazoak aztertzerakoan. Hainbat aldiz erabil daiteke informazio gehigarria bistaratzeko.
  • - p 22: konexio ataka urruneko SSH zerbitzari batera. 22 ez da zehaztu behar, hau da balio lehenetsia, baina protokoloa beste ataka batean badago, parametroa erabiliz zehaztuko dugu. -p. Entzuteko ataka fitxategian zehazten da sshd_config formatuan Port 2222.
  • -C: Konexiorako konpresioa. Konexio motela baduzu edo testu asko ikusten baduzu, konexioa azkartu egin daiteke.
  • neo@: @ ikurraren aurreko lerroak urruneko zerbitzarian autentifikaziorako erabiltzaile-izena adierazten du. Ez baduzu zehazten, lehenetsita egongo da saioa hasita zauden kontuaren erabiltzaile-izena (~$whoami). Erabiltzailea ere zehaztu daiteke parametroa erabiliz -l.
  • remoteserver: konektatu nahi den ostalariaren izena ssh, hau guztiz kualifikatutako domeinu-izen bat, IP helbide bat edo tokiko ostalarien fitxategiko edozein ostalari izan daiteke. IPv4 eta IPv6 onartzen dituen ostalari batera konektatzeko, komando-lerroko parametroa gehi dezakezu -4 edo -6 ebazpen egokia lortzeko.

Goiko parametro guztiak aukerakoak dira izan ezik remoteserver.

Konfigurazio fitxategia erabiliz

Askok fitxategia ezagutzen duten arren sshd_config, komandorako bezeroaren konfigurazio fitxategi bat ere badago ssh. Balio lehenetsia ~/.ssh/config, baina aukera baten parametro gisa defini daiteke -F.

Host *
     Port 2222

Host remoteserver
     HostName remoteserver.thematrix.io
     User neo
     Port 2112
     IdentityFile /home/test/.ssh/remoteserver.private_key

Goiko ssh konfigurazio fitxategian ostalari sarrera bi daude. Lehenengoak ostalari guztiak esan nahi du, guztiak Port 2222 konfigurazio parametroa erabiliz. Bigarrenak ostalariarentzat hori dio. urruneko zerbitzaria beste erabiltzaile-izen bat, ataka, FQDN eta IdentityFile erabili behar dira.

Konfigurazio fitxategi batek idazteko denbora asko aurreztu dezake, ostalari zehatzetara konektatzean konfigurazio aurreratua automatikoki aplikatzeko aukera emanez.

Fitxategiak SSH bidez kopiatzea SCP erabiliz

SSH bezeroak beste bi tresna oso erabilgarri ditu fitxategiak kopiatzeko ssh konexio zifratua. Ikus behean scp eta sftp komandoen erabilera estandarraren adibide bat. Kontuan izan ssh aukera asko komando hauei ere aplikatzen zaizkiela.

localhost:~$ scp mypic.png neo@remoteserver:/media/data/mypic_2.png

Adibide honetan fitxategia mypic.png kopiatu urruneko zerbitzaria karpetara /media/data eta izena aldatu mypic_2.png.

Ez ahaztu atakaren parametroaren aldea. Hau da jende asko abiaraztean harrapatzen du scp komando-lerrotik. Hona hemen atakaren parametroa -PEta ez -p, ssh bezero batean bezala! Ahaztuko duzu, baina ez kezkatu, denek ahaztu egiten dute.

Kontsola ezagutzen dutenentzat ftp, komando asko antzekoak dira sftp. Egin dezakezu bultza, jarri ΠΈ lsbihotzak nahi duen bezala.

sftp neo@remoteserver

Adibide praktikoak

Adibide horietako askotan, emaitzak metodo desberdinak erabiliz lor daitezke. Gure guztietan bezala testuliburuak eta adibideak, beren lana besterik gabe egiten duten adibide praktikoei lehentasuna ematen zaie.

1. SSH galtzerdiak proxy

SSH Proxy funtzioa 1 zenbakia da arrazoi on batengatik. Askok uste baino indartsuagoa da eta urruneko zerbitzariak sarbidea duen edozein sistematarako sarbidea ematen dizu, ia edozein aplikazio erabiliz. Ssh bezero batek SOCKS proxy baten bidez trafikoa tunel dezake komando sinple batekin. Garrantzitsua da urrutiko sistemetarako trafikoa urruneko zerbitzari batetik etorriko dela ulertzea, hori web zerbitzariaren erregistroetan adieraziko da.

localhost:~$ ssh -D 8888 user@remoteserver

localhost:~$ netstat -pan | grep 8888
tcp        0      0 127.0.0.1:8888       0.0.0.0:*               LISTEN      23880/ssh

Hemen galtzerdi proxy bat exekutatzen dugu TCP 8888 atakan, bigarren komandoak ataka aktibo dagoela entzute moduan egiaztatzen du. 127.0.0.1-ek adierazten du zerbitzua localhost-en soilik exekutatzen dela. Komando apur bat desberdina erabil dezakegu interfaze guztietan entzuteko, ethernet edo wifi barne, honek gure sareko beste aplikazio batzuk (nabigatzaileak, etab.) ssh socks proxyaren bidez proxy zerbitzura konektatzeko aukera emango du.

localhost:~$ ssh -D 0.0.0.0:8888 user@remoteserver

Orain nabigatzailea konfiguratu dezakegu galtzerdietako proxyra konektatzeko. Firefox-en, hautatu Ezarpenak | Oinarrizkoa | Sarearen ezarpenak. Zehaztu konektatzeko IP helbidea eta ataka.

Aholku praktikoak, adibideak eta SSH tunelak

Kontuan izan inprimakiaren behealdean dagoen aukera zure arakatzailearen DNS eskaerak SOCKS proxy batetik pasatzeko. Zure sare lokaleko web trafikoa enkriptatzeko proxy zerbitzari bat erabiltzen ari bazara, ziurrenik aukera hau hautatu nahi izango duzu DNS eskaerak SSH konexioaren bidez tunelizatu daitezen.

Galtzerdiaren proxya aktibatzen Chrome-n

Chrome komando-lerroko parametro jakin batzuekin abiarazteak galtzerdiaren proxya gaituko du, baita arakatzailearen DNS eskaerak tunelizatu ere. Konfiantza baina egiaztatu. Erabili tcpdump DNS kontsultak jada ikusgai ez daudela egiaztatzeko.

localhost:~$ google-chrome --proxy-server="socks5://192.168.1.10:8888"

Proxy batekin beste aplikazio batzuk erabiltzea

Kontuan izan beste aplikazio askok galtzerdiaren proxyak ere erabil ditzaketela. Web arakatzailea denetan ezagunena besterik ez da. Aplikazio batzuek konfigurazio aukerak dituzte proxy zerbitzari bat gaitzeko. Beste batzuek laguntza apur bat behar dute programa laguntzaile batekin. Adibidez, proxykateak Microsoft RDP galtzerdi proxy baten bidez exekutatzeko aukera ematen du, etab.

localhost:~$ proxychains rdesktop $RemoteWindowsServer

Socks proxy konfigurazio-parametroak proxychains konfigurazio fitxategian ezartzen dira.

Aholkua: Linuxetik urruneko mahaigaina erabiltzen baduzu Windows-en? Saiatu bezeroa FreeRDP. Hau baino inplementazio modernoagoa da rdesktop, askoz esperientzia leunagoa duena.

SSH galtzerdiaren proxy bidez erabiltzeko aukera

Kafetegi edo hotel batean eserita zaude eta nahiko fidagarria den WiFi erabiltzera behartuta zaude. Ssh proxy bat abiarazten dugu lokalean ordenagailu eramangarri batetik eta ssh tunel bat instalatzen dugu etxeko sarean Rasberry Pi lokal batean. Galtzerdietako proxy baterako konfiguratutako arakatzaile bat edo beste aplikazio batzuk erabiliz, gure etxeko sareko edozein sare-zerbitzuetara sar gaitezke edo gure etxeko konexioaren bidez Internetera sar gaitezke. Zure ordenagailu eramangarriaren eta etxeko zerbitzariaren arteko guztia (Wi-Fi eta Internet bidez zure etxera) SSH tunel batean enkriptatuta dago.

2. SSH tunela (portuak birbidaltzea)

Bere formarik errazenean, SSH tunel batek zure sistema lokaleko ataka bat irekitzen du, tunelaren beste muturrean dagoen beste portu batera konektatzen dena.

localhost:~$ ssh  -L 9999:127.0.0.1:80 user@remoteserver

Ikus dezagun parametroa -L. Entzumenaren alde lokala dela pentsa daiteke. Beraz, goiko adibidean, 9999 ataka lokaleko ostalariaren aldetik entzuten ari da eta 80 atakatik birbidaltzen du urruneko zerbitzarira. Kontuan izan 127.0.0.1 urruneko zerbitzariko localhost-ari egiten diola erreferentzia!

Goazen urratsa. Hurrengo adibidean sare lokaleko beste ostalari batzuekin entzuteko atakak komunikatzen dira.

localhost:~$ ssh  -L 0.0.0.0:9999:127.0.0.1:80 user@remoteserver

Adibide hauetan web zerbitzariko ataka batera konektatzen ari gara, baina hau proxy zerbitzari bat edo beste edozein TCP zerbitzu izan daiteke.

3. SSH tunela hirugarrenen ostalari batera

Parametro berdinak erabil ditzakegu urruneko zerbitzari batetik tunel bat hirugarren sistema batean exekutatzen den beste zerbitzu batera konektatzeko.

localhost:~$ ssh  -L 0.0.0.0:9999:10.10.10.10:80 user@remoteserver

Adibide honetan, tunel bat urruneko zerbitzaritik 10.10.10.10ean exekutatzen ari den web zerbitzari batera birbideratzen ari gara. Urruneko zerbitzaritik 10.10.10.10ra arteko trafikoa jada ez SSH tunelean. 10.10.10.10eko web zerbitzariak urruneko zerbitzaria web eskaeren iturritzat hartuko du.

4. Alderantzizko SSH tunela

Hemen urruneko zerbitzarian entzuteko ataka bat konfiguratuko dugu, gure localhost (edo beste sistemaren) tokiko atakara konektatuko dena.

localhost:~$ ssh -v -R 0.0.0.0:1999:127.0.0.1:902 192.168.1.100 user@remoteserver

SSH saio honek urruneko zerbitzariko 1999 atakatik gure bezero lokaleko 902 atakarako konexioa ezartzen du.

5. SSH Alderantzizko Proxy

Kasu honetan, gure ssh konexioan socks proxy bat konfiguratzen ari gara, baina proxya zerbitzariaren urruneko muturrean entzuten ari da. Urruneko proxy honetarako konexioak orain tuneletik agertzen dira gure tokiko ostalariaren trafiko gisa.

localhost:~$ ssh -v -R 0.0.0.0:1999 192.168.1.100 user@remoteserver

Urruneko SSH tunelekin arazoak konpontzea

Urruneko SSH aukerak funtzionatzeko arazoak badituzu, egiaztatu netstat, zein beste interfazeetara konektatuta dagoen entzuteko ataka. Adibideetan 0.0.0.0 adierazi dugun arren, baina balioa bada GatewayPorts Π² sshd_config ezarri no, orduan entzulea localhost-era soilik lotuko da (127.0.0.1).

Segurtasun-abisua

Kontuan izan tunelak eta galtzerdietako proxyak irekiz, barne-sareko baliabideak fidagarriak ez diren sareetarako (adibidez, Internet!) eskura daitezkeela. Hau segurtasun-arrisku larria izan daiteke, beraz, ziurtatu ulertzen duzula zer den entzulea eta zertarako sarbidea duen.

6. VPN SSH bidez instalatzea

Eraso metodoetan espezialisten artean (pentester, etab.) ohiko terminoa "sareko erpin bat" da. Sistema batean konexioa ezarri ondoren, sistema hori sarera gehiago sartzeko atebide bihurtzen da. Zabalera mugitzeko aukera ematen duen ardatza.

Halako oinetarako SSH proxy bat erabil dezakegu eta proxykateak, hala ere, muga batzuk daude. Adibidez, ezin izango da zuzenean socketekin lan egin, beraz, ezin izango ditugu sare barruko atakak eskaneatu. nmap SYN.

VPN aukera aurreratuago hau erabiliz, konexioa murrizten da 3. maila. Ondoren, trafikoa tunelean zehar bideratu dezakegu sareko bideratze estandarra erabiliz.

Metodoak erabiltzen ditu ssh, iptables, tun interfaces eta bideratzea.

Lehenik eta behin, parametro hauek ezarri behar dituzu sshd_config. Urruneko zein bezero sistemaren interfazeetan aldaketak egiten ari garenez, guk erro-eskubideak behar bi aldeetan.

PermitRootLogin yes
PermitTunnel yes

Ondoren, ssh konexio bat ezarriko dugu tun gailuak hasieratzea eskatzen duen parametroa erabiliz.

localhost:~# ssh -v -w any root@remoteserver

Orain tun gailu bat izan beharko genuke interfazeak erakustean (# ip a). Hurrengo urratsak IP helbideak gehituko ditu tuneleko interfazeetan.

SSH bezeroaren aldean:

localhost:~# ip addr add 10.10.10.2/32 peer 10.10.10.10 dev tun0
localhost:~# ip tun0 up

SSH zerbitzariaren aldean:

remoteserver:~# ip addr add 10.10.10.10/32 peer 10.10.10.2 dev tun0
remoteserver:~# ip tun0 up

Orain bide zuzena dugu beste ostalari baterako (route -n ΠΈ ping 10.10.10.10).

Edozein azpisare bideratu dezakezu beste aldean dagoen ostalari batetik.

localhost:~# route add -net 10.10.10.0 netmask 255.255.255.0 dev tun0

Urruneko aldean gaitu behar duzu ip_forward ΠΈ iptables.

remoteserver:~# echo 1 > /proc/sys/net/ipv4/ip_forward
remoteserver:~# iptables -t nat -A POSTROUTING -s 10.10.10.2 -o enp7s0 -j MASQUERADE

Aupa! VPN SSH tunelaren bidez sare-geruzan 3. Orain hori garaipen bat da.

Arazoren bat gertatzen bada, erabili tcpdump ΠΈ pingkausa zehazteko. 3. geruzan jokatzen ari garenez, gure icmp paketeak tunel honetatik igaroko dira.

7. Kopiatu SSH gakoa (ssh-copy-id)

Horretarako hainbat modu daude, baina komando honek denbora aurrezten du fitxategiak eskuz ez kopiatzen. ~/.ssh/id_rsa.pub (edo gako lehenetsia) kopiatzen du zure sistematik ~/.ssh/authorized_keys urruneko zerbitzari batean.

localhost:~$ ssh-copy-id user@remoteserver

8. Urruneko komandoen exekuzioa (ez-interaktiboa)

taldea ssh Beste komando batzuekin lotu daiteke interfaze arrunt eta atsegin baterako. Gehitu urruneko ostalarian exekutatu nahi duzun komandoa komatxo artean azken parametro gisa.

localhost:~$ ssh remoteserver "cat /var/log/nginx/access.log" | grep badstuff.php

Adibide honetan grep tokiko sisteman exekutatu erregistroa ssh kanalaren bidez deskargatu ondoren. Fitxategia handia bada, erosoagoa da exekutatzeko grep urruneko aldean bi komandoak komatxo bikoitz artean sartuz.

Beste adibide batek funtzio bera betetzen du ssh-copy-id 7. adibidetik.

localhost:~$ cat ~/.ssh/id_rsa.pub | ssh remoteserver 'cat >> .ssh/authorized_keys'

9. Urruneko paketeak harrapatzea eta ikustea Wireshark-en

Gure bat hartu nuen tcpdump adibideak. Erabili paketeak urrunetik harrapatzeko eta emaitzak zuzenean Wireshark GUI lokalean bistaratzeko.

:~$ ssh root@remoteserver 'tcpdump -c 1000 -nn -w - not port 22' | wireshark -k -i -

10. Karpeta lokal bat urruneko zerbitzari batera kopiatzea SSH bidez

Karpeta bat erabiliz konprimitzen duen trikimailu polita bzip2 (hau komandoko -j aukera da tar), eta gero korrontea berreskuratzen du bzip2 beste aldean, urruneko zerbitzarian karpeta bikoiztua sortzea.

localhost:~$ tar -cvj /datafolder | ssh remoteserver "tar -xj -C /datafolder"

11. Urruneko GUI aplikazioak SSH X11 birbidaltzearekin

X bezeroan eta urruneko zerbitzarian instalatuta badago, urrunetik exekutatu dezakezu GUI komando bat zure mahaigaineko leiho batekin. Ezaugarri hau aspalditik dago, baina oraindik oso erabilgarria da. Abiarazi urruneko web arakatzailea edo baita VMWawre Workstation kontsola adibide honetan egiten dudan bezala.

localhost:~$ ssh -X remoteserver vmware

Beharrezko katea X11Forwarding yes fitxategian sshd_config.

12. Urruneko fitxategien kopia rsync eta SSH erabiliz

rsync askoz erosoagoa scp, direktorio baten, fitxategi-kopuru handia edo fitxategi oso handiak behar badituzu. Transferentzia akats batetik berreskuratzeko eta aldatutako fitxategiak soilik kopiatzeko funtzio bat dago, eta horrek trafikoa eta denbora aurrezten ditu.

Adibide honek konpresioa erabiltzen du gzip (-z) eta artxibatzeko modua (-a), kopia errekurtsiboa ahalbidetzen duena.

:~$ rsync -az /home/testuser/data remoteserver:backup/

13. SSH Tor sarearen bidez

Tor sare anonimoak SSH trafikoa tunel dezake komandoa erabiliz torsocks. Hurrengo komandoak ssh proxy-a Tor-etik pasatuko du.

localhost:~$ torsocks ssh myuntracableuser@remoteserver

Enborrak localhost-en 9050 ataka erabiliko du proxyrako. Beti bezala, Tor erabiltzean serio egiaztatu behar duzu zer trafiko tunelatzen ari den eta beste segurtasun operatibo batzuk (opsec). Nora doaz zure DNS kontsultak?

14. SSH-ra EC2 instantziara

EC2 instantzia batera konektatzeko, gako pribatu bat behar duzu. Deskargatu (.pem luzapena) Amazon EC2 kontrol paneletik eta aldatu baimenak (chmod 400 my-ec2-ssh-key.pem). Gorde giltza leku seguru batean edo jarri zure karpetan ~/.ssh/.

localhost:~$ ssh -i ~/.ssh/my-ec2-key.pem ubuntu@my-ec2-public

Parametroa -i besterik gabe, ssh bezeroari esaten dio gako hau erabiltzeko. Fitxategia ~/.ssh/config Ec2 ostalari batera konektatzean gakoen erabilera automatikoki konfiguratzeko aproposa.

Host my-ec2-public
   Hostname ec2???.compute-1.amazonaws.com
   User ubuntu
   IdentityFile ~/.ssh/my-ec2-key.pem

15. Testu-fitxategiak editatzea VIM erabiliz ssh/scp bidez

Maitale guztientzat vim Aholku honek denbora pixka bat aurreztuko du. Erabiliz vim fitxategiak scp bidez editatzen dira komando batekin. Metodo honek fitxategia lokalean sortzen du /tmpeta gero kopiatzen du behin gordeta vim.

localhost:~$ vim scp://user@remoteserver//etc/hosts

Oharra: formatua ohikoarekin alderatuta apur bat desberdina da scp. Ostalariaren ostean bikoitza dugu //. Hau bide-erreferentzia absolutua da. Barra batek zure etxeko karpetari dagokion bide bat adieraziko du users.

**warning** (netrw) cannot determine method (format: protocol://[user@]hostname[:port]/[path])

Errore hau ikusten baduzu, egiaztatu komandoaren formatua. Honek normalean sintaxi errore bat esan nahi du.

16. Urruneko SSH bat SSHFS-rekin karpeta lokal gisa muntatzea

Bidez sshfs - fitxategi-sistemaren bezeroa ssh - Direktorio lokal bat urruneko kokapen batera konekta dezakegu fitxategi-interakzio guztiekin enkriptatutako saio batean ssh.

localhost:~$ apt install sshfs

Instalatu paketea Ubuntu eta Debian-en sshfs, eta, ondoren, muntatu urruneko kokapena gure sisteman.

localhost:~$ sshfs user@remoteserver:/media/data ~/data/

17. SSH Multiplexing ControlPath-ekin

Lehenespenez, urruneko zerbitzari batera konexiorik badago ssh bigarren konexioa erabiliz ssh edo scp saio berri bat ezartzen du autentifikazio gehigarriarekin. Aukera ControlPath lehendik dagoen saioa hurrengo konexio guztietan erabiltzeko aukera ematen du. Horrek nabarmen azkartuko du prozesua: eragina nabaria da sare lokal batean ere, eta are gehiago urruneko baliabideetara konektatzean.

Host remoteserver
        HostName remoteserver.example.org
        ControlMaster auto
        ControlPath ~/.ssh/control/%r@%h:%p
        ControlPersist 10m

ControlPath-ek konexio berriak ikusteko socket-a zehazten du, saio aktiborik dagoen ikusteko ssh. Azken aukerak esan nahi du kontsolatik irten ondoren ere lehendik dagoen saioa irekita egongo dela 10 minutuz, beraz, denbora horretan lehendik dagoen entxufean berriro konektatu zaitezke. Informazio gehiago lortzeko, ikusi laguntza. ssh_config man.

18. Igorri bideoa SSH bidez VLC eta SFTP erabiliz

Baita aspaldiko erabiltzaileak ere ssh ΠΈ vlc (Bideo Lan Client) ez dira beti aukera eroso hau ezagutzen sarean bideo bat benetan ikusi behar duzunean. Ezarpenetan Fitxategia | Ireki Sareko korrontea programak vlc kokapena gisa sar dezakezu sftp://. Pasahitz bat behar bada, gonbita bat agertuko da.

sftp://remoteserver//media/uploads/myvideo.mkv

19. Bi faktoreko autentifikazioa

Zure banku-kontuaren edo Google-ren kontuaren bi faktoreko autentifikazio bera aplikatzen zaio SSH zerbitzuari.

Jakina, ssh hasieran bi faktoreko autentifikazio-funtzioa du, hau da, pasahitza eta SSH gakoa. Hardware token edo Google Authenticator aplikazioaren abantaila normalean beste gailu fisiko bat izaten da.

Ikusi gure 8 minutuko gida Google Authenticator eta SSH erabiliz.

20. Ostalariak ssh eta -Jrekin jauzi egitea

Sarearen segmentazioak esan nahi badu ssh ostalari anitzetatik igaro behar duzula azken helmugako sarera iristeko, -J lasterbideak denbora aurreztuko dizu.

localhost:~$ ssh -J host1,host2,host3 [email protected]

Hemen ulertzeko gauza nagusia hau ez dela komandoaren berdina da ssh host1, gero user@host1:~$ ssh host2 etab. -J aukerak trebetasunez erabiltzen du birbidaltzea localhost kateko hurrengo ostalariarekin saio bat ezartzera behartzeko. Beraz, goiko adibidean, gure localhost host4-n autentifikatu da. Hau da, gure localhost gakoak erabiltzen dira, eta localhost-etik host4-rako saioa guztiz enkriptatuta dago.

Horrelako aukera baterako ssh_config zehaztu konfigurazio aukera ProxyJump. Aldian-aldian hainbat ostalari igaro behar badituzu, konfigurazioaren bidez automatizatzeak denbora asko aurreztuko du.

21. Blokeatu SSH indar gordinaren saiakerak iptables erabiliz

SSH zerbitzu bat kudeatu eta erregistroak begiratu dituen edonork badaki egunero orduro gertatzen diren indar gordinaren saiakera kopurua. Erregistroetako zarata murrizteko modu azkar bat SSH estandar ez den ataka batera eramatea da. Egin aldaketak fitxategian sshd_config konfigurazio-parametroaren bidez Portua##.

With iptables Atari batera konektatzeko saiakerak ere erraz blokea ditzakezu atalase jakin batera iristean. Horretarako modu erraz bat erabiltzea da OSSEC, SSH blokeatzeaz gain, ostalari-izenetan oinarritutako intrusioak hautemateko (HIDS) neurri ugari egiten dituelako.

22. SSH Ihes ataka birbidaltzea aldatzeko

Eta gure azken adibidea ssh lehendik dagoen saio baten barruan portuen birbidaltzea hegan aldatzeko diseinatua ssh. Imajinatu eszenatoki hau. Sarean sakondu zara; agian dozena erdi ostalari baino gehiago salto egin eta Windows 2003 sistema zahar bateko Microsoft SMBra birbidaltzen den lan-estazioko ataka lokal bat behar du (inor gogoratzen da ms08-67?).

Klik eginez enter, saiatu kontsolan sartzen ~C. Lehendik dagoen konexio batean aldaketak egiteko aukera ematen duen saioa kontrolatzeko sekuentzia bat da.

localhost:~$ ~C
ssh> -h
Commands:
      -L[bind_address:]port:host:hostport    Request local forward
      -R[bind_address:]port:host:hostport    Request remote forward
      -D[bind_address:]port                  Request dynamic forward
      -KL[bind_address:]port                 Cancel local forward
      -KR[bind_address:]port                 Cancel remote forward
      -KD[bind_address:]port                 Cancel dynamic forward
ssh> -L 1445:remote-win2k3:445
Forwarding port.

Hemen ikus dezakezu gure tokiko ataka 1445 birbidali dugula barne sarean aurkitu dugun Windows 2003 ostalari batera. Orain bakarrik exekutatu msfconsole, eta aurrera egin dezakezu (ostalari hau erabiltzeko asmoa baduzu).

Amaiera

Adibide, aholku eta komando hauek ssh abiapuntu bat eman behar du; Komando eta gaitasun bakoitzari buruzko informazio gehiago esku orrietan dago eskuragarri (man ssh, man ssh_config, man sshd_config).

Betidanik liluratu nau munduko edozein lekutan sistemetara sartzeko eta komandoak exekutatzeko gaitasunak. Horrelako tresnekin zure gaitasunak garatuz ssh eraginkorragoa izango zara jokatzen duzun edozein jokotan.

Iturria: www.habr.com

Gehitu iruzkin berria