ProHoster > Blog > Administrasyon an > Konsèy pratik, egzanp ak tinèl SSH

Konsèy pratik, egzanp ak tinèl SSH

Konsèy pratik, egzanp ak tinèl SSH
Egzanp pratik Sch, ki pral pran konpetans ou kòm yon administratè sistèm aleka nan yon nouvo nivo. Kòmandman ak konsèy ap ede pa sèlman pou itilize SSH, men tou navige rezo a plis konpetans.

Konnen kèk ke trik nouvèl ssh itil pou nenpòt administratè sistèm, enjenyè rezo oswa espesyalis sekirite.

Egzanp SSH pratik

  1. SSH chosèt prokurasyon
  2. SSH tinèl (transmisyon pò)
  3. SSH tinèl pou twazyèm lame
  4. Ranvèse tinèl SSH
  5. SSH prokurasyon ranvèse
  6. Enstale VPN sou SSH
  7. Kopi yon kle SSH (ssh-copy-id)
  8. Egzekisyon lòd adistans (ki pa entèaktif)
  9. Capture ak gade pake adistans nan Wireshark
  10. Kopye yon katab lokal nan yon sèvè aleka atravè SSH
  11. Remote GUI Aplikasyon ak SSH X11 Forwarding
  12. Kopi dosye adistans lè l sèvi avèk rsync ak SSH
  13. SSH sou rezo Tor
  14. SSH pou egzanp EC2
  15. Edit dosye tèks lè l sèvi avèk VIM atravè ssh/scp
  16. Monte SSH aleka kòm katab lokal ak SSHFS
  17. Multiplexing SSH ak ControlPath
  18. Difize videyo sou SSH lè l sèvi avèk VLC ak SFTP
  19. De-faktè otantifikasyon
  20. Sote lame ak SSH ak -J
  21. Bloke tantativ fòs brital SSH lè l sèvi avèk iptables
  22. SSH chape pou chanje pò transmisyon

Premye baz yo

Analize liy lòd SSH la

Egzanp sa a sèvi ak paramèt komen yo souvan rankontre lè w konekte ak yon sèvè aleka SSH.

localhost:~$ ssh -v -p 22 -C neo@remoteserver

  • -v: Pwodiksyon debogaj espesyalman itil lè w ap analize pwoblèm otantifikasyon. Ou ka itilize plizyè fwa pou montre plis enfòmasyon.
  • - p 22: pò koneksyon nan yon sèvè SSH aleka. 22 pa dwe espesifye, paske sa a se valè default la, men si pwotokòl la se sou kèk lòt pò, Lè sa a, nou presize li lè l sèvi avèk paramèt la. -p. Se pò pou koute a espesifye nan dosye a sshd_config nan fòma Port 2222.
  • -C: Konpresyon pou koneksyon. Si ou gen yon koneksyon dousman oswa gade yon anpil nan tèks, sa a ka akselere koneksyon an.
  • neo@: Liy ki devan senbòl @ a endike non itilizatè a pou otantifikasyon sou sèvè aleka a. Si ou pa espesifye li, li pral default nan non itilizatè a nan kont ou kounye a konekte nan (~$whoami). Itilizatè a kapab tou espesifye lè l sèvi avèk paramèt la -l.
  • remoteserver: non lame a pou w konekte ssh, sa a kapab yon non domèn konplètman kalifye, yon adrès IP, oswa nenpòt ki lame nan dosye lokal la gen tout pouvwa a. Pou konekte ak yon lame ki sipòte tou de IPv4 ak IPv6, ou ka ajoute paramèt la nan liy lòd la -4 oswa -6 pou bon rezolisyon.

Tout paramèt ki anwo yo se opsyonèl eksepte remoteserver.

Sèvi ak dosye konfigirasyon an

Malgre ke anpil yo abitye ak dosye a sshd_config, gen tou yon dosye konfigirasyon kliyan pou lòd la ssh. Valè default ~/.ssh/config, men li ka defini kòm yon paramèt pou yon opsyon -F.

Host *
     Port 2222

Host remoteserver
     HostName remoteserver.thematrix.io
     User neo
     Port 2112
     IdentityFile /home/test/.ssh/remoteserver.private_key

Gen de antre lame nan egzanp ssh fichye konfigirasyon an pi wo a. Premye a vle di tout lame, tout lè l sèvi avèk paramèt konfigirasyon Port 2222. Dezyèm lan di ke pou lame a. remoteserver yon non itilizatè diferan, pò, FQDN ak IdentityFile ta dwe itilize.

Yon fichye konfigirasyon ka sove anpil tan tape lè li pèmèt konfigirasyon avanse yo dwe otomatikman aplike lè w konekte ak lame espesifik.

Kopye dosye sou SSH lè l sèvi avèk SCP

Kliyan SSH la vini ak de lòt zouti trè pratik pou kopye fichye yo koneksyon ssh chiffres. Gade anba a pou yon egzanp itilizasyon estanda kòmandman scp ak sftp. Remake byen ke anpil nan opsyon ssh yo aplike nan kòmandman sa yo tou.

localhost:~$ scp mypic.png neo@remoteserver:/media/data/mypic_2.png

Nan egzanp sa a dosye a mypic.png kopye nan remoteserver nan katab /medya/done epi chanje non an mypic_2.png.

Pa bliye sou diferans ki genyen nan paramèt pò a. Sa a se kote anpil moun jwenn kenbe lè yo lanse scp soti nan liy lòd la. Isit la se paramèt pò a -Pmen se pa -p, jis tankou nan yon kliyan ssh! Ou pral bliye, men pa enkyete, tout moun bliye.

Pou moun ki abitye ak konsole ftp, anpil nan kòmandman yo sanble nan sftp. Ou ka fè pouse, mete и lsjan kè a vle.

sftp neo@remoteserver

Egzanp pratik

Nan anpil nan egzanp sa yo, rezilta yo ka reyalize lè l sèvi avèk diferan metòd. Kòm nan tout nou yo liv lekòl yo ak egzanp, yo bay preferans egzanp pratik ki tou senpleman fè travay yo.

1. SSH chosèt prokurasyon

Karakteristik SSH Proxy la se nimewo 1 pou yon bon rezon. Li gen plis pouvwa pase anpil moun reyalize epi li ba ou aksè nan nenpòt sistèm ki sèvè a aleka gen aksè a, lè l sèvi avèk nòmalman nenpòt aplikasyon. Yon kliyan ssh ka fè yon tinèl trafik atravè yon proxy SOCKS ak yon sèl kòmand senp. Li enpòtan pou w konprann ke trafik nan sistèm aleka ap soti nan yon sèvè aleka, sa a pral endike nan mòso bwa sèvè entènèt yo.

localhost:~$ ssh -D 8888 user@remoteserver

localhost:~$ netstat -pan | grep 8888
tcp        0      0 127.0.0.1:8888       0.0.0.0:*               LISTEN      23880/ssh

Isit la nou kouri yon proxy chosèt sou TCP pò 8888, dezyèm lòd la tcheke ke pò a aktif nan mòd koute. 127.0.0.1 endike ke sèvis la kouri sèlman sou localhost. Nou ka itilize yon kòmandman yon ti kras diferan pou koute sou tout koòdone, ki gen ladan ethernet oswa wifi, sa pral pèmèt lòt aplikasyon (navigatè, elatriye) sou rezo nou an konekte ak sèvis la proxy atravè ssh socks proxy la.

localhost:~$ ssh -D 0.0.0.0:8888 user@remoteserver

Koulye a, nou ka configured navigatè a pou konekte avèk proxy chosèt la. Nan Firefox, chwazi Anviwònman | Debaz | Anviwònman rezo. Espesifye adrès IP la ak pò yo konekte.

Konsèy pratik, egzanp ak tinèl SSH

Tanpri sonje opsyon ki anba fòm lan pou demann DNS navigatè w la tou pase nan yon proxy SOCKS. Si w ap itilize yon sèvè prokurasyon pou ankripte trafik entènèt sou rezo lokal ou a, ou pral pwobableman vle chwazi opsyon sa a pou demann DNS yo se tinèl atravè koneksyon SSH la.

Aktive chosèt proxy nan Chrome

Lanse Chrome ak sèten paramèt liy lòd pral pèmèt proxy chosèt la, osi byen ke tinèl demann DNS nan navigatè a. Mete konfyans men tcheke. Sèvi ak tcpdump pou tcheke si demann DNS yo pa vizib ankò.

localhost:~$ google-chrome --proxy-server="socks5://192.168.1.10:8888"

Sèvi ak lòt aplikasyon ak yon prokurasyon

Kenbe nan tèt ou ke anpil lòt aplikasyon ka itilize tou chosèt proxy. Navigatè entènèt la se tou senpleman ki pi popilè nan yo tout. Gen kèk aplikasyon ki gen opsyon konfigirasyon pou pèmèt yon sèvè prokurasyon. Gen lòt ki bezwen yon ti èd ak yon pwogram asistan. Pa egzanp, proxychains pèmèt ou kouri atravè yon proxy chosèt Microsoft RDP, elatriye.

localhost:~$ proxychains rdesktop $RemoteWindowsServer

Paramèt konfigirasyon proxy chosèt yo mete nan dosye konfigirasyon proxychains la.

Sijesyon: si ou itilize Desktop aleka nan Linux sou Windows? Eseye kliyan an FreeRDP. Sa a se yon aplikasyon ki pi modèn pase rdesktop, ak yon eksperyans pi douser.

Opsyon pou itilize SSH atravè proxy chosèt

Ou chita nan yon kafe oswa otèl - epi yo fòse yo sèvi ak fil olye enfidèl. Nou lanse yon proxy ssh lokalman soti nan yon laptop epi enstale yon tinèl ssh nan rezo kay la sou yon Rasberry Pi lokal. Sèvi ak yon navigatè oswa lòt aplikasyon ki configuré pou yon proxy chosèt, nou ka jwenn aksè nan nenpòt sèvis rezo sou rezo lakay nou oswa aksè entènèt la atravè koneksyon lakay nou. Tout bagay ki genyen ant laptop ou ak sèvè lakay ou (via Wi-Fi ak entènèt nan kay ou) ankripte nan yon tinèl SSH.

2. SSH tinèl (transmisyon pò)

Nan fòm ki pi senp li yo, yon tinèl SSH tou senpleman louvri yon pò sou sistèm lokal ou a ki konekte nan yon lòt pò nan lòt bout tinèl la.

localhost:~$ ssh  -L 9999:127.0.0.1:80 user@remoteserver

Ann gade nan paramèt la -L. Li ka konsidere kòm bò lokal la nan koute. Se konsa, nan egzanp ki anwo a, pò 9999 ap koute sou bò localhost ak voye atravè pò 80 bay remoteserver. Tanpri sonje ke 127.0.0.1 refere a localhost sou sèvè a aleka!

Ann monte etap la. Egzanp sa a kominike pò koute ak lòt lame sou rezo lokal la.

localhost:~$ ssh  -L 0.0.0.0:9999:127.0.0.1:80 user@remoteserver

Nan egzanp sa yo nou konekte ak yon pò sou sèvè entènèt la, men sa a ta ka yon sèvè proxy oswa nenpòt lòt sèvis TCP.

3. SSH tinèl nan yon lame twazyèm pati

Nou ka sèvi ak paramèt yo menm pou konekte yon tinèl ki soti nan yon sèvè aleka nan yon lòt sèvis ki kouri sou yon twazyèm sistèm.

localhost:~$ ssh  -L 0.0.0.0:9999:10.10.10.10:80 user@remoteserver

Nan egzanp sa a, nou ap redireksyon yon tinèl soti nan remoteserver nan yon sèvè entènèt ki kouri sou 10.10.10.10. Trafik soti nan remoteserver rive 10.10.10.10 pa nan tinèl SSH la ankò. Sèvè entènèt la sou 10.10.10.10 pral konsidere remoteserver kòm sous demann entènèt.

4. Ranvèse tinèl SSH

Isit la nou pral konfigirasyon yon pò koute sou sèvè a aleka ki pral konekte tounen nan pò lokal la sou localhost nou an (oswa lòt sistèm).

localhost:~$ ssh -v -R 0.0.0.0:1999:127.0.0.1:902 192.168.1.100 user@remoteserver

Sesyon SSH sa a etabli yon koneksyon soti nan pò 1999 sou remoteserver ak pò 902 sou kliyan lokal nou an.

5. SSH ranvèse proxy

Nan ka sa a, nou ap mete kanpe yon proxy chosèt sou koneksyon ssh nou an, men proxy a ap koute sou fen a aleka nan sèvè a. Koneksyon ak proxy aleka sa a kounye a parèt nan tinèl la kòm trafik ki soti nan lokalhost nou an.

localhost:~$ ssh -v -R 0.0.0.0:1999 192.168.1.100 user@remoteserver

Depanaj pwoblèm ak tinèl SSH aleka

Si w gen pwoblèm ak opsyon SSH aleka k ap travay, tcheke avèk yo netstat, ki lòt interfaces pò tande a konekte. Malgre ke nou te endike 0.0.0.0 nan egzanp yo, men si valè a GatewayPorts в sshd_config mete nan pa gen okenn, Lè sa a, koute a pral mare sèlman nan localhost (127.0.0.1).

Avètisman sekirite

Tanpri sonje ke lè ou louvri tinèl ak chosèt proxy, resous rezo entèn yo ka aksesib a rezo ki pa fè konfyans (tankou entènèt la!). Sa a ka yon risk sekirite grav, kidonk asire w ke ou konprann sa ki koute a ak ki sa yo gen aksè a.

6. Enstale VPN atravè SSH

Yon tèm komen nan mitan espesyalis nan metòd atak (pentester, elatriye) se "yon fulcrum nan rezo a." Yon fwa yo etabli yon koneksyon sou yon sistèm, sistèm sa a vin pòtay pou plis aksè nan rezo a. Yon fulcrum ki pèmèt ou deplase nan lajè.

Pou yon pye konsa nou ka sèvi ak yon proxy SSH ak proxychains, sepandan gen kèk limit. Pou egzanp, li p ap posib pou travay dirèkteman ak sipò, kidonk nou p ap kapab eskane pò nan rezo a atravè rezo a. Nmap SYN.

Sèvi ak opsyon sa a VPN pi avanse, koneksyon an redwi a nivo 3. Lè sa a, nou ka tou senpleman wout trafik nan tinèl la lè l sèvi avèk routage rezo estanda.

Metòd la itilize ssh, iptables, tun interfaces ak routage.

Premye ou bezwen mete paramèt sa yo nan sshd_config. Depi nou ap fè chanjman nan entèfas yo nan tou de sistèm yo aleka ak kliyan, nou bezwen dwa rasin sou tou de bò yo.

PermitRootLogin yes
PermitTunnel yes

Lè sa a, nou pral etabli yon koneksyon ssh lè l sèvi avèk paramèt la ki mande inisyalizasyon nan aparèy tun.

localhost:~# ssh -v -w any root@remoteserver

Nou ta dwe kounye a gen yon aparèy tun lè montre interfaces (# ip a). Pwochen etap la pral ajoute adrès IP nan entèfas tinèl yo.

SSH bò kliyan:

localhost:~# ip addr add 10.10.10.2/32 peer 10.10.10.10 dev tun0
localhost:~# ip tun0 up

Bò sèvè SSH:

remoteserver:~# ip addr add 10.10.10.10/32 peer 10.10.10.2 dev tun0
remoteserver:~# ip tun0 up

Koulye a, nou gen yon wout dirèk nan yon lòt lame (route -n и ping 10.10.10.10).

Ou ka mennen nenpòt subnet atravè yon lame sou lòt bò a.

localhost:~# route add -net 10.10.10.0 netmask 255.255.255.0 dev tun0

Sou bò aleka ou dwe pèmèt ip_forward и iptables.

remoteserver:~# echo 1 > /proc/sys/net/ipv4/ip_forward
remoteserver:~# iptables -t nat -A POSTROUTING -s 10.10.10.2 -o enp7s0 -j MASQUERADE

Boom! VPN sou tinèl SSH nan kouch rezo 3. Kounye a se yon viktwa.

Si nenpòt pwoblèm rive, sèvi ak tcpdump и pingpou detèmine kòz la. Depi nou ap jwe nan kouch 3, pake icmp nou yo pral pase nan tinèl sa a.

7. Kopi kle SSH la (ssh-copy-id)

Gen plizyè fason pou fè sa, men kòmandman sa a ekonomize tan lè yo pa kopye fichye yo manyèlman. Li tou senpleman kopye ~/.ssh/id_rsa.pub (oswa kle default la) nan sistèm ou a ~/.ssh/authorized_keys sou yon sèvè aleka.

localhost:~$ ssh-copy-id user@remoteserver

8. Egzekisyon lòd adistans (ki pa entèaktif)

ekip ssh Èske yo ka lye ak lòt kòmandman pou yon komen, koòdone itilizatè-zanmitay. Jis ajoute kòmandman an ou vle kouri sou lame a aleka kòm paramèt ki sot pase a nan quotes.

localhost:~$ ssh remoteserver "cat /var/log/nginx/access.log" | grep badstuff.php

Nan egzanp sa a grep egzekite sou sistèm lokal la apre yo fin telechaje boutèy demi lit la atravè chanèl ssh. Si fichye a gwo, li pi bon pou kouri grep sou bò aleka pa tou senpleman mete tou de kòmandman yo nan doub quotes.

Yon lòt egzanp fè menm fonksyon ak ssh-copy-id soti nan egzanp 7.

localhost:~$ cat ~/.ssh/id_rsa.pub | ssh remoteserver 'cat >> .ssh/authorized_keys'

9. Remote pake kaptire ak gade nan Wireshark

Mwen pran youn nan nou tcpdump egzanp. Sèvi ak li pou pran pake adistans epi montre rezilta yo dirèkteman nan Wireshark GUI lokal la.

:~$ ssh root@remoteserver 'tcpdump -c 1000 -nn -w - not port 22' | wireshark -k -i -

10. Kopye yon katab lokal nan yon sèvè aleka atravè SSH

Yon Trick bèl ki konprese yon katab lè l sèvi avèk bzip2 (sa a se opsyon -j nan lòd la tar), ak Lè sa a, rekipere kouran an bzip2 sou lòt bò a, kreye yon katab kopi sou sèvè a aleka.

localhost:~$ tar -cvj /datafolder | ssh remoteserver "tar -xj -C /datafolder"

11. Remote GUI Aplikasyon ak SSH X11 Transmisyon

Si X enstale sou kliyan an ak sèvè aleka a, Lè sa a, ou ka adistans egzekite yon lòd GUI ak yon fenèt sou Desktop lokal ou a. Karakteristik sa a te alantou pou yon tan long, men li toujou trè itil. Lanse yon navigatè entènèt aleka oswa menm konsole VMWawre Workstation tankou mwen fè nan egzanp sa a.

localhost:~$ ssh -X remoteserver vmware

Fisèl obligatwa X11Forwarding yes nan dosye sshd_config.

12. Kopi dosye Remote lè l sèvi avèk rsync ak SSH

rsync pi plis pratik scp, si ou bezwen sovgad peryodik nan yon anyè, yon gwo kantite fichye, oswa dosye trè gwo. Gen yon fonksyon pou rekipere nan yon echèk transfè ak kopye sèlman chanje dosye, ki sove trafik ak tan.

Egzanp sa a itilize konpresyon gzip (-z) ak mòd achiv (-a), ki pèmèt kopi repetitif.

:~$ rsync -az /home/testuser/data remoteserver:backup/

13. SSH sou rezo Tor

Rezo Tor anonim la ka fè yon tinèl trafik SSH lè l sèvi avèk lòd la torsocks. Kòmandman sa a pral pase prokurasyon ssh nan Tor.

localhost:~$ torsocks ssh myuntracableuser@remoteserver

Torsocks pral sèvi ak pò 9050 sou localhost pou proxy. Kòm toujou, lè w ap itilize Tor ou bezwen seryezman tcheke ki trafik yo te tunneled ak lòt pwoblèm sekirite operasyonèl (opsec). Ki kote demann DNS ou yo ale?

14. SSH pou egzanp EC2

Pou konekte ak yon egzanp EC2, ou bezwen yon kle prive. Telechaje li (.pem ekstansyon) nan panèl kontwòl Amazon EC2 epi chanje otorizasyon yo (chmod 400 my-ec2-ssh-key.pem). Kenbe kle a nan yon kote ki an sekirite oswa mete l nan katab pwòp ou a ~/.ssh/.

localhost:~$ ssh -i ~/.ssh/my-ec2-key.pem ubuntu@my-ec2-public

Paramèt -i tou senpleman di kliyan ssh pou itilize kle sa a. File ~/.ssh/config Ideyal pou otomatikman konfigirasyon itilizasyon kle lè w konekte ak yon lame ec2.

Host my-ec2-public
   Hostname ec2???.compute-1.amazonaws.com
   User ubuntu
   IdentityFile ~/.ssh/my-ec2-key.pem

15. Edit dosye tèks lè l sèvi avèk VIM atravè ssh/scp

Pou tout renmen vim Konsèy sa a pral ekonomize kèk tan. Lè w itilize vim dosye yo modifye atravè scp ak yon sèl lòd. Metòd sa a tou senpleman kreye dosye a lokalman nan /tmpak Lè sa a, kopi li tounen yon fwa nou sove li soti nan vim.

localhost:~$ vim scp://user@remoteserver//etc/hosts

Remak: fòma a se yon ti kras diferan de nòmal la scp. Apre lame a nou gen doub //. Sa a se yon referans chemen absoli. Yon koupe ap endike yon chemen ki gen rapò ak katab lakay ou users.

**warning** (netrw) cannot determine method (format: protocol://[user@]hostname[:port]/[path])

Si ou wè erè sa a, tcheke fòma kòmandman an. Sa a anjeneral vle di yon erè sentaks.

16. Monte yon SSH aleka kòm yon katab lokal ak SSHFS

Pa vle di nan sshfs - kliyan sistèm dosye ssh - nou ka konekte yon anyè lokal nan yon kote aleka ak tout entèraksyon dosye nan yon sesyon chiffres ssh.

localhost:~$ apt install sshfs

Enstale pake a sou Ubuntu ak Debian sshfs, ak Lè sa a, tou senpleman monte kote a aleka nan sistèm nou an.

localhost:~$ sshfs user@remoteserver:/media/data ~/data/

17. SSH Multiplexing ak ControlPath

Pa default, si gen yon koneksyon ki deja egziste nan yon sèvè aleka lè l sèvi avèk ssh dezyèm koneksyon lè l sèvi avèk ssh oswa scp etabli yon nouvo sesyon ak otantifikasyon adisyonèl. Opsyon ControlPath pèmèt sesyon ki egziste deja yo dwe itilize pou tout koneksyon ki vin apre yo. Sa a pral siyifikativman akselere pwosesis la: efè a se aparan menm sou yon rezo lokal, e menm plis konsa lè w konekte ak resous aleka.

Host remoteserver
        HostName remoteserver.example.org
        ControlMaster auto
        ControlPath ~/.ssh/control/%r@%h:%p
        ControlPersist 10m

ControlPath presize priz la pou tcheke si gen nouvo koneksyon pou wè si gen yon sesyon aktif ssh. Dènye opsyon a vle di ke menm apre ou fin soti konsole a, sesyon ki deja egziste a ap rete ouvè pou 10 minit, kidonk pandan tan sa a ou ka rekonekte sou priz ki deja egziste a. Pou plis enfòmasyon, gade èd la. ssh_config man.

18. Kouran videyo sou SSH lè l sèvi avèk VLC ak SFTP

Menm itilizatè ki dire lontan ssh и vlc (Videyo Lan Kliyan) yo pa toujou okouran de opsyon sa a pratik lè ou reyèlman bezwen gade yon videyo sou rezo a. Nan anviwònman Dosye | Louvri Network Stream pwogram vlc ou ka antre kote a kòm sftp://. Si yo mande yon modpas, yon èd memwa ap parèt.

sftp://remoteserver//media/uploads/myvideo.mkv

19. De-faktè otantifikasyon

Menm otantifikasyon de faktè ak kont labank ou oswa kont Google aplike nan sèvis SSH la.

Natirèlman, ssh okòmansman gen yon fonksyon otantifikasyon de faktè, ki vle di yon modpas ak yon kle SSH. Avantaj nan yon siy pyès ki nan konpitè oswa aplikasyon Google Authenticator se ke li se nòmalman yon aparèy fizik diferan.

Gade gid 8 minit nou an lè l sèvi avèk Google Authenticator ak SSH.

20. Sote lame ak ssh ak -J

Si segmantasyon rezo a vle di ou oblije pase nan plizyè lame ssh pou ale nan rezo destinasyon final la, chemen kout -J a pral ekonomize tan.

localhost:~$ ssh -J host1,host2,host3 [email protected]

Bagay pwensipal lan konprann isit la se ke sa a se pa menm ak kòmandman an ssh host1lè sa a user@host1:~$ ssh host2 elatriye Opsyon -J a malen itilize transmisyon pou fòse localhost pou etabli yon sesyon ak pwochen lame a nan chèn lan. Se konsa, nan egzanp ki anwo a, localhost nou an otantifye nan host4. Sa vle di, kle localhost nou yo itilize, epi sesyon an soti nan localhost nan host4 konplètman ankripte.

Pou yon posibilite konsa nan ssh_config presize opsyon konfigirasyon ProxyJump. Si ou regilyèman oblije ale nan plizyè lame, Lè sa a, automatisation nan konfigirasyon an pral ekonomize anpil tan.

21. Bloke tantativ fòs brital SSH lè l sèvi avèk iptables

Nenpòt moun ki te jere yon sèvis SSH epi gade mòso bwa yo konnen kantite tantativ fòs brital ki fèt chak èdtan nan chak jou. Yon fason rapid pou diminye bri nan mòso bwa yo se deplase SSH nan yon pò ki pa estanda. Fè chanjman nan dosye a sshd_config atravè paramèt konfigirasyon Port##.

Avèk iptables Ou kapab tou fasil bloke tantativ pou konekte ak yon pò lè w rive nan yon sèten papòt. Yon fason fasil pou fè sa se sèvi ak OSSEC, paske li pa sèlman bloke SSH, men li fè yon pakèt lòt mezi deteksyon entrizyon ki baze sou non host (HIDS).

22. SSH chape pou chanje port transfert

Ak dènye egzanp nou an ssh fèt pou chanje pò transmisyon sou vole nan yon sesyon ki egziste deja ssh. Imajine senaryo sa a. Ou byen fon nan rezo a; petèt hop plis pase yon demi douzèn hôtes Et bezwen yon pò lokal sou estasyon travay ki te voye bay Microsoft SMB yon ansyen sistèm Windows 2003 (nenpòt moun sonje ms08-67?).

Klike enter, eseye antre nan konsole a ~C. Sa a se yon sekans kontwòl sesyon ki pèmèt chanjman yo dwe fè nan yon koneksyon ki deja egziste.

localhost:~$ ~C
ssh> -h
Commands:
      -L[bind_address:]port:host:hostport    Request local forward
      -R[bind_address:]port:host:hostport    Request remote forward
      -D[bind_address:]port                  Request dynamic forward
      -KL[bind_address:]port                 Cancel local forward
      -KR[bind_address:]port                 Cancel remote forward
      -KD[bind_address:]port                 Cancel dynamic forward
ssh> -L 1445:remote-win2k3:445
Forwarding port.

Isit la ou ka wè ke nou te voye pò lokal nou an 1445 nan yon lame Windows 2003 ke nou te jwenn sou rezo entèn la. Koulye a, jis kouri msfconsole, epi ou ka avanse sou (si ou gen plan pou itilize lame sa a).

Konplete

Egzanp sa yo, konsèy ak kòmandman ssh ta dwe bay yon pwen depa; Plis enfòmasyon sou chak kòmandman ak kapasite yo disponib nan paj man yo (man ssh, man ssh_config, man sshd_config).

Mwen te toujou kaptive pa kapasite pou jwenn aksè nan sistèm ak egzekite kòmandman nenpòt kote nan mond lan. Lè w devlope konpetans ou ak zouti tankou ssh ou pral vin pi efikas nan nenpòt jwèt ou jwe.

Sous: www.habr.com

Add nouvo kòmantè