SSH その4

**名無しさん＠お腹いっぱい。** · NG

SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/test/read.cgi/unix/1028157825/ (dat落ち)
　　春山さんのとこ→ http://www.unixuser.org/%7Eharuyama/security/openssh/dat/pc.2ch.net_80__unix_dat_1028157825.html
　Part3：http://pc5.2ch.net/test/read.cgi/unix/1058202104/

**名無しさん＠お腹いっぱい。** · 2006/02/01(水) 17:58:44

ボタンが無い時代に書かれた記事の孫引きだからだろ

**名無しさん＠お腹いっぱい。** · 2006/02/01(水) 19:57:54

>>798
形式が違う。

**名無しさん＠お腹いっぱい。** · 2006/02/01(水) 23:41:18

OpenSSH 4.3/4.3p1 リリース

**名無しさん＠お腹いっぱい。** · 2006/02/02(木) 01:48:07

>798
保存した物はssh-keygen -X -fで変換しないと~/.ssh/authorized_keysの形式に成らないよね

**798** · 2006/02/02(木) 02:03:23

>>799
自分もそうじゃないかと思いました。
ボタンがあるのにコピペするのは昔の名残なのかと。
しかしどうしても気になり、質問してしまいました。

>>800、>>802
！！、そういうことなんですか！ありがとうございます!!
モヤモヤが晴れました。御三方ありがとうございました。!

**名無しさん＠お腹いっぱい。** · 2006/02/02(木) 06:05:35

>>801
4.3(p1) ｷﾀー　　ヽ(ﾟ∀ﾟ)ノ

**春山征吾** ◆unIxUSernc · 2006/02/03(金) 18:57:02

4.3p1はconfigureまわりに問題があるので、4.3p2がじきにでるようですね。

>>773- 以降で議論したscp の local-to-remote, remote-to-local のコマンド挿入の
問題について、セキュリティの問題として openssh@openssh.com に連絡しようと思います。
(なぜ openssh@openssh.com かは ttp://www.openssh.com/report.html を参照)
反対意見がなければ、日曜か月曜に送ります。

メールの内容は長いので
ttp://unixuser.org/%7Eharuyama/security/openssh/tmp/openssh_scp_command_injection.txt
におきました。

**773** · 2006/02/03(金) 22:17:07

>788
> % ls
> remote:*
> これも意図しないファイルをコピーされてしまうような。
こっちの報告はどうしましょう？

>791
> これは仕様上仕方ないんじゃないか。
ってのも分かるのですが、
さらに
% ls
foo@remote:*
とかにして、
foo@remote% ls -l
rwsrwsrwx 1 foo foo 100 2006-02-03 03:55 bar
とかが
% scp * .
とかでコピーされちゃうとまずそうなんですけど。
実験したら -p オプション付けなくてもsuid bitコピーされちゃいましたし。
# umask の設定でsuid bit無効化出来ましたっけ？

後、
% ls
-p foo
とかで、予期しないオプションをremoteのscpに与える攻撃とか思い付いたのですが。
# 組み合わせや設定次第でやばげな事が出来そうです。
# remote:-Sfoo とかでremote-to-remoteになったときとか。

対策するなら796で書いた事ぐらい？

**773** · 2006/02/03(金) 22:25:54

rsyncの開発元にも別に送った方がいいかもしれません。
# scp や rsync の実装の問題でしょうし。

**春山征吾** ◆unIxUSernc · 2006/02/03(金) 22:47:52

>>806-807 に対応して
ttp://unixuser.org/%7Eharuyama/security/openssh/tmp/openssh_scp_command_injection.txt
を上書きしました。

・Subjectを scp/rsync Command Line Shell Command Injection in the case of local-to-remote and remote-to-local copies & scp/rsync user-unintended file copy with a malicious filename に。

・rsync-bugs@samba.orgにも送るという文章を追加

・次の文章を追加
In addition, This example (using a malicious filename)
----------
% ls
remote:*
% scp * .
(or rsync -e ssh * .)
----------
causes an user-unintended file copy.

**春山征吾** ◆unIxUSernc · 2006/02/03(金) 22:57:20

オプションを利用すると、
% ls
-S ls a
% scp * remote:
ls: No such file or directory
lost connection

とローカルホストでプログラムを実行させることもできますね。
(rsyncでも-e で同様のことができるでしょう)
送るまでにもっと例を追加します。

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:01:52

日本の恥だから止めんか！

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:11:11

春山さん乙

**春山征吾** ◆unIxUSernc · 2006/02/03(金) 23:16:03

>>809
% ls
-Sls a
% scp * remote:
ls: invalid line width: ardAgent no
lost connection

でした。

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:22:13

乙

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:27:22

そんなもの脆弱性でもなんでもないだろ。
頼むからやめてくれ。どうかしてるぞ。

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:28:11

どちらかというとシェルの問題でない？

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:37:00

バグではある。明らかに利用者が意図しない動きをしている。だが脆弱性ではない。
普通のバグリポートを送るだけで充分だ。
これはおかしな動きだと疑問に思ったら真っ先に本家のMLに聞いてみるべきなのに。
あんたこんな所にしか相談出来る相手が居ないのか？
ここには馬鹿しか居ない。このままじゃ駄目になっちゃうよ。

**名無しさん＠お腹いっぱい。** · 2006/02/03(金) 23:41:10

>ここには馬鹿しか居ない。このままじゃ駄目になっちゃうよ。
正直同感

**春山征吾** ◆unIxUSernc · 2006/02/03(金) 23:46:47

>>805 にて
>反対意見がなければ、日曜か月曜に送ります。
と書きましたので、送るのは中止します。

ここで相談しているのは、
773氏の寄与が大きいので了解を取るべきと考えたからです。

**773** · 2006/02/04(土) 00:12:45

私自身はセキュリティの問題として送ってもらう事に賛成です。
自分自身でバグリポートをさっさと送らなかった事には謝罪します。

しかし、
>816
> バグではある。明らかに利用者が意図しない動きをしている。だが脆弱性ではない。
と言うのは疑問です。
元の CVE-2006-0225 が任意のコマンドを実行される脆弱性で修整されるべきなら、
今回の物もssh自身の問題だけではないかもしれませんが、任意のコマンドを
実行してしまうもので「脆弱性ではない」とは言い切れないと思います。

**名無しさん＠お腹いっぱい。** · 2006/02/04(土) 00:38:25

>>809
少なくとも、これに関しては scp には何の罪はない。

% touch -- -l
% ls *

これで ls -l が実行されるのは ls のせいではなくシェルのせいだ。

**春山征吾** ◆unIxUSernc · 2006/02/04(土) 00:57:26

>>820
そうですね。失礼しました。

**名無しさん＠お腹いっぱい。** · 2006/02/04(土) 03:42:17

なんかおもろい流れになっててﾜﾛｽｗ

**名無しさん＠お腹いっぱい。** · 2006/02/04(土) 15:26:34

的はずれなことを言っているのかもしれませんが、ポートフォワードで
離れた場所のLAN内にあるsambaサーバもしくはWindowsの共有にアクセスすることはできますか？

**名無しさん＠お腹いっぱい。** · 2006/02/04(土) 15:30:09

ssh?

**823** · 2006/02/04(土) 16:51:29

例えば、ここの場合、
http://www.gcd.org/sengoku/docs/NikkeiLinux01-02/forward.ja.html
プロキシーサーバに接続することによって、LAN内のすべてのwwwサーバにアクセスできるようになりますが
これと似たことを、sambaでもできないかと考えているのですが。

**名無しさん＠お腹いっぱい。** · 2006/02/04(土) 21:32:09

難しい

**名無しさん＠お腹いっぱい。** · 2006/02/05(日) 00:34:30

>>823
つ [SoftEther改めPacketiX VPN]

**名無しさん＠お腹いっぱい。** · 2006/02/05(日) 01:35:04

>>823
SEはライセンスがアレなので・・・

つ [OpenVPN]

**名無しさん＠お腹いっぱい。** · 2006/02/05(日) 07:56:54

ポート番号を指定できないWindowsが恨めしいと思ったｗ

**名無しさん＠お腹いっぱい。** · 2006/02/05(日) 11:08:33

>>823
きわものが似合いそうな823に
つ[zebedee]
http://rogiken.org/daemon/tips/smb_zbd.html

opensshってバインドするアドレスを指定できなかったんだよねぇ、たしか。

だから、いったん8139とかにバインドして、stoneでLoopbackアダプタに
バインドした気がする。
遠い昔のことでわすれた。。

**名無しさん＠お腹いっぱい。** · 2006/02/06(月) 10:17:17

>>823
望んでいるものかどうかわからないけど、
つ [ ttp://www.c3.club.kyutech.ac.jp/c3magazine/4th/nbssh/nbssh.html ]

**名無しさん＠お腹いっぱい。** · 2006/02/06(月) 16:58:10

>>823
445ポートでうまくいかない？

**名無しさん＠お腹いっぱい。** · 2006/02/07(火) 14:04:58

SoftEther系がなんも考えずにできて楽だな
無料じゃないのがやだけど

**名無しさん＠お腹いっぱい。** · 2006/02/07(火) 21:57:27

>>833
無料じゃないの？

**名無しさん＠お腹いっぱい。** · 2006/02/08(水) 01:09:06

>>834
個人かつ非営利目的な場合のみ無料。

**名無しさん＠お腹いっぱい。** · 2006/02/08(水) 01:45:58

SoftEtherは作者がkittyでさえなければ...
道具に罪はないとは言うけれど、セキュリティに関わるものだけにちょっと。

**名無しさん＠お腹いっぱい。** · 2006/02/08(水) 08:18:01

ライセンスの更新画面土井よ

**名無しさん＠お腹いっぱい。** · 2006/02/08(水) 15:45:08

SSHのスレで作者のキティ度を云々するのはいかがなものか？

**名無しさん@お腹いっぱい** · 2006/02/11(土) 17:35:31

4.3p2ｷﾀｰ
ttp://www.unixuser.org/~haruyama/security/openssh/
にも出てるよ。
さすが春山さん早いねぇ。

**名無しさん＠お腹いっぱい。** · 2006/02/11(土) 20:27:48

おいお前ら。FCの名作ソフト「いっき」のオンライン対戦するぞ！
↓
http://game.coden.ntt.com/games/ikki.html

King of Wands
http://game.coden.ntt.com/kingofwands/

**名無しさん＠お腹いっぱい。** · 2006/02/11(土) 21:08:27

lastlog直った

**名無しさん＠お腹いっぱい。** · 2006/02/15(水) 23:49:32

W-ZERO3 + Pocket PuTTYで外部からSSH接続できるんだけど
困った事に受信側のPocket PuTTYで日本語が全部文字化けしちゃうす。
誰か対策できた人おる？

**名無しさん＠お腹いっぱい。** · 2006/02/17(金) 17:24:41

>>842
うーん
速攻で設定直したからうちでは問題ないなぁ

**名無しさん＠お腹いっぱい。** · 2006/02/19(日) 17:18:14

圧縮を指定して接続しようとすると、エラーが出てしまいます。

**名無しさん＠お腹いっぱい。** · 2006/02/19(日) 18:00:39

このスレにはエスパーはいませんので、そこんとこよろしくです。

**名無しさん＠お腹いっぱい。** · 2006/02/22(水) 11:32:13

現在の本スレ

Putty その２
http://pc8.2ch.net/test/read.cgi/unix/1084686527/l50

**名無しさん＠お腹いっぱい。** · 2006/02/22(水) 16:29:31

http://www.laksmido.com/3090.html
ここにあるとおりに設定してみたのですが、依然として、
どちらからログインする際にもパスフレーズを求められてしまいます。
考えられる原因としてはどのようなものがあるでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/02/22(水) 16:33:08

>>847
これ、情報古いよ。
もっとまともなとこ読め。

**８４８** · 2006/02/22(水) 17:41:14

ありがとうございます。
どのサイトに新しい情報が載っているでしょうか？もし教えていただければ幸いです。

**名無しさん＠お腹いっぱい。** · 2006/02/22(水) 19:53:07

ssh2でぐぐれ。

**名無しさん@お腹いっぱい** · 2006/02/23(木) 02:57:08

>847
パッと見で思い当たるところ。
　.sshのパーミッション
　~/.ssh/authorized_keysの中身
/etc/sshd_configの設定
あと、logは見た?
その辺を一通り確認すれば、何とかなると思う。

**名無しさん＠お腹いっぱい。** · 2006/02/24(金) 08:55:27

ssh -vでデバックとって曝せ。

**名無しさん＠お腹いっぱい。** · 2006/02/24(金) 09:42:11

デバックだってさ（*´Д`)
　　　　￣

**名無しさん＠お腹いっぱい。** · 2006/02/24(金) 14:01:15

CentOS 4.2
openssl 0.9.8a
zlib 1.2.1.2-1.2(RPM)
openssh 4.1p1

上記の環境で
# ./configure \
--with-tcp-wrappers \
--with-pam
# make
を行うと

/usr/local/lib/libcrypto.a(dso_dlfcn.o)(.text+0x321): In function `dlfcn_bind_func':
: undefined reference to `dlerror'
collect2: ld returned 1 exit status
make: *** [ssh] Error 1

とエラーになってしまいます。

そこで、直接 Makefile を編集して、
LIBS= に -ldl を追加して make を通しましたが、こういった手法しかないのでしょうか？

今回、普通に make が通らなかったことが疑問なのですが、その原因がわかる方はいらっしゃいますか？

**名無しさん＠お腹いっぱい。** · 2006/02/24(金) 14:19:05

さすが盗人CentOS厨はひとあじ違うね

**名無しさん＠お腹いっぱい。** · 2006/02/24(金) 19:47:11

板違い。リヌクス板に逝け。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 19:05:57

sftpで日本語ファイルを扱えるようにする方法を教えてください

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 19:10:10

>>857
「日本語のファイル名」を定義してください。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 20:09:26

また定義厨キタ。定義厨ウザイ。そんなの質問から読みとれるだろ。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 20:27:34

( ﾟдﾟ)ﾎﾟｶｰﾝ

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 20:40:12

質問も厨臭いが反応もすんばらすぃ

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 21:01:05

>>857
俺のところでは特に設定なしで日本語ファイル名が使えてる。
もし日本語ファイル名が使えないなら、どううまくいかないのか
もう少し詳しく書け。
少なくとも、変なことしてなければ設定なしで使えるはず。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 21:53:58

>>859
読み取れたなら答えてあげてよ。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 22:21:59

>>857
UNIX側をsjis環境にして日本語はすべてsjisに統一する
コントンジョノイコ

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 22:31:10

UNIX側をsjis環境にしてWindowsは日本語EUC環境にする。
これでおあいこじゃないか

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 22:50:10

UTF-8 ・・・そこは最後のフロンティア・・・

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 22:57:35

>>863
すでに答えてるじゃん。

**名無しさん＠お腹いっぱい。** · 2006/02/28(火) 23:02:04

>>865
「UNIX側って??」
UNIX板なんだからUNIX以外のOSは無視でしょ。
オレのところはUNIXホストはすべてEUCで統一。
この状態でsftpで日本語ファイル名は問題なく使える。

**名無しさん＠お腹いっぱい。** · 2006/03/01(水) 00:46:07

日本語ファイル名ではなく日本語ファイルだ
文字コード変換して転送とかそういうことじゃね

**名無しさん＠お腹いっぱい。** · 2006/03/01(水) 00:55:51

>>869
そもそも相手先で違う物に内容を改ざんするsftp
なら使わない選択を選ぶのが筋

**名無しさん＠お腹いっぱい。** · 2006/03/01(水) 01:08:48

filezilla+春山さんパッチ使っとけ

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 01:43:45

いつもできていたのに、今日SSHで接続しようとしたら
Read from remote host ***********: Connection reset by peer

となってしまって接続できなくなってしまいました。。

どうすればよいですか？？

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 01:55:51

いくつか考えられる原因・・・

・単にメモリが無い。
・PAM競合で腐った。
・おまいの好きな貝が、無残にも砕かれた。
・おまいの居場所が無い。無残にもそれは管理者に消されたか
　もしくは根のモノに。
・NICが腐った。
・共有ライブラリがぶっ飛んだ。

その他もろもろの理由でSSHは不調になる（全部経験したこと）

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 02:06:49

とりあえずWebminは繋がるんです。

メモリは
Mem: 459M Active, 327M Inact, 173M Wired, 39M Cache, 112M Buf, 6104K Free
です。(1G)

・PAM競合で腐った。
・おまいの好きな貝が、無残にも砕かれた。
・共有ライブラリがぶっ飛んだ。

これぐらいでしょうか。。
でもsshはちゃんと起動できるんです。停止も起動も出来ました。@webmin

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 02:41:50

/bin/cshが壊れたようでした。
お騒がせしました。

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 02:59:18

なんでそんなんが壊れるんだ

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 06:30:17

ハックられた?

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 09:52:43

>873-874
>貝が無残にも砕かれた。
>共有ライブラリがぶっ飛んだ。
これってクラッキング以外に原因考えるとしたら、hddのread write不良とか？
いずれにしても穏やかでないなぁ。

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 15:29:16

OpenSSHでクラッカー対策にグリーティングメッセージの
「SSH-1.99-OpenSSH_3.8.1p1」みたいなのを隠したいんですが、
これってソースから直さなければならないんでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/03/04(土) 15:37:05

隠しても対策にならんよ。

**名無しさん@お腹いっぱい** · 2006/03/04(土) 18:20:49

>879
とりあえず最新使っとけば?
>510-513みたいに

**名無しさん＠お腹いっぱい。** · 2006/03/07(火) 15:40:06

うむ。対策には成らんね。
とにかく22に繋いで試すって攻撃だし。いちいちバージョンチェックなんてしてない。

sshdがあぼーんしたときの裏口作りは重要。
% sudo /etc/rc.d/sshd restartして止めさしちゃう事も有る。

**名無しさん＠お腹いっぱい。** · 2006/03/07(火) 23:28:58

だぁね。
まぁせいぜい出来るのは、sshd_configの設定をぬかり無くする事と
Listen Portをｳｪﾙﾉｳﾝなポート使わないとか、そぎゃんところですか。

**名無しさん＠お腹いっぱい。** · 2006/03/08(水) 04:02:52

普通に、daemontools ですよ。
tcpserver で接続管理して接続できるIPアドレスを
限ればいい。

**名無しさん＠お腹いっぱい。** · 2006/03/08(水) 04:17:06

djb儲はdjbsshでも使ってろ

**名無しさん＠お腹いっぱい。** · 2006/03/08(水) 09:46:31

>>884
わざわざそんなん通さなくても libwrap でいいじゃん。

**名無しさん＠お腹いっぱい。** · 2006/03/09(木) 04:29:50

マエノ方面の香具師か。。。

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 01:14:41

信者ってどこにでも居るね。
qmail/djbdnsの話題をされるとは思わなかった。ウゼー！

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 01:24:24

普通にビルドしたらlibwrap使えるんだし、ネタにしかみえん。

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 12:38:42

>>886
http://cr.yp.to/qmail/venema.html

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 12:57:59

>>890
それが何?

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 13:36:37

信者は怖いね。

**名無しさん＠お腹いっぱい。** · 2006/03/10(金) 22:00:05

OpenBSD + OpenSSH + djbdns + qmail + OpenNTPD。これ最強。

**名無しさん＠お腹いっぱい。** · 2006/03/11(土) 00:42:17

さすがにウェブサーバーは入れないかｗｗ

**名無しさん＠お腹いっぱい。** · 2006/03/11(土) 03:17:56

fnordとかいれてたりして。
節操無さ過ぎｗｗｗ

**名無しさん＠お腹いっぱい。** · 2006/03/12(日) 12:17:41

いろいろなユーザー名でログインを試みようとした形跡があるのですが、
このようなアタックを防ぐにはどうしたらよいのでしょうか？
同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？

**名無しさん＠お腹いっぱい。** · 2006/03/12(日) 12:20:44

>>896
libwrap や FW などで
必要なとこ以外からのアクセスは禁止するようにする。

根本的解決ではないが
別ポートで sshd を上げると軽減するという話もある。

**名無しさん＠お腹いっぱい。** · 2006/03/12(日) 12:24:47

>>896
897の大作に加えて、sshd_configでログイン出来るユーザを制限しておく。
パスワード認証を許可しない。
信用出来ないユーザにシェルアカウントを与えない。

＞同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？
俺はdenyhostsを使っている。