トップページ⇒unix
1001コメント328KB

SSH その4

レス数が950を超えています。1000を超えると書き込みができなくなります。
0001名無しさん＠お腹いっぱい。NGNG
SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/test/read.cgi/unix/1028157825/ (dat落ち)
　　春山さんのとこ→ http://www.unixuser.org/%7Eharuyama/security/openssh/dat/pc.2ch.net_80__unix_dat_1028157825.html
　Part3：http://pc5.2ch.net/test/read.cgi/unix/1058202104/
0872名無しさん＠お腹いっぱい。2006/03/04(土) 01:43:45
いつもできていたのに、今日SSHで接続しようとしたら
Read from remote host ***********: Connection reset by peer

となってしまって接続できなくなってしまいました。。


どうすればよいですか？？
0873名無しさん＠お腹いっぱい。2006/03/04(土) 01:55:51
いくつか考えられる原因・・・

・単にメモリが無い。
・PAM競合で腐った。
・おまいの好きな貝が、無残にも砕かれた。
・おまいの居場所が無い。無残にもそれは管理者に消されたか
　もしくは根のモノに。
・NICが腐った。
・共有ライブラリがぶっ飛んだ。

その他もろもろの理由でSSHは不調になる（全部経験したこと）

0874名無しさん＠お腹いっぱい。2006/03/04(土) 02:06:49
とりあえずWebminは繋がるんです。

メモリは
Mem: 459M Active, 327M Inact, 173M Wired, 39M Cache, 112M Buf, 6104K Free
です。(1G)

・PAM競合で腐った。
・おまいの好きな貝が、無残にも砕かれた。
・共有ライブラリがぶっ飛んだ。

これぐらいでしょうか。。
でもsshはちゃんと起動できるんです。停止も起動も出来ました。@webmin
0875名無しさん＠お腹いっぱい。2006/03/04(土) 02:41:50
/bin/cshが壊れたようでした。
お騒がせしました。
0876名無しさん＠お腹いっぱい。2006/03/04(土) 02:59:18
なんでそんなんが壊れるんだ
0877名無しさん＠お腹いっぱい。2006/03/04(土) 06:30:17
ハックられた?
0878名無しさん＠お腹いっぱい。2006/03/04(土) 09:52:43
>873-874
>貝が無残にも砕かれた。
>共有ライブラリがぶっ飛んだ。
これってクラッキング以外に原因考えるとしたら、hddのread write不良とか？
いずれにしても穏やかでないなぁ。
0879名無しさん＠お腹いっぱい。2006/03/04(土) 15:29:16
OpenSSHでクラッカー対策にグリーティングメッセージの
「SSH-1.99-OpenSSH_3.8.1p1」みたいなのを隠したいんですが、
これってソースから直さなければならないんでしょうか？
0880名無しさん＠お腹いっぱい。2006/03/04(土) 15:37:05
隠しても対策にならんよ。
0881名無しさん@お腹いっぱい2006/03/04(土) 18:20:49
>879
とりあえず最新使っとけば?
>510-513みたいに
0882名無しさん＠お腹いっぱい。2006/03/07(火) 15:40:06
うむ。対策には成らんね。
とにかく22に繋いで試すって攻撃だし。いちいちバージョンチェックなんてしてない。

sshdがあぼーんしたときの裏口作りは重要。
% sudo /etc/rc.d/sshd restartして止めさしちゃう事も有る。
0883名無しさん＠お腹いっぱい。2006/03/07(火) 23:28:58
だぁね。
まぁせいぜい出来るのは、sshd_configの設定をぬかり無くする事と
Listen Portをｳｪﾙﾉｳﾝなポート使わないとか、そぎゃんところですか。
0884名無しさん＠お腹いっぱい。2006/03/08(水) 04:02:52
普通に、daemontools ですよ。
tcpserver で接続管理して接続できるIPアドレスを
限ればいい。
0885名無しさん＠お腹いっぱい。2006/03/08(水) 04:17:06
djb儲はdjbsshでも使ってろ
0886名無しさん＠お腹いっぱい。2006/03/08(水) 09:46:31
>>884
わざわざそんなん通さなくても libwrap でいいじゃん。
0887名無しさん＠お腹いっぱい。2006/03/09(木) 04:29:50
マエノ方面の香具師か。。。
0888名無しさん＠お腹いっぱい。2006/03/10(金) 01:14:41
信者ってどこにでも居るね。
qmail/djbdnsの話題をされるとは思わなかった。ウゼー！
0889名無しさん＠お腹いっぱい。2006/03/10(金) 01:24:24
普通にビルドしたらlibwrap使えるんだし、ネタにしかみえん。
0890名無しさん＠お腹いっぱい。2006/03/10(金) 12:38:42
>>886
http://cr.yp.to/qmail/venema.html

0891名無しさん＠お腹いっぱい。2006/03/10(金) 12:57:59
>>890
それが何?
0892名無しさん＠お腹いっぱい。2006/03/10(金) 13:36:37
信者は怖いね。
0893名無しさん＠お腹いっぱい。2006/03/10(金) 22:00:05
OpenBSD + OpenSSH + djbdns + qmail + OpenNTPD。これ最強。
0894名無しさん＠お腹いっぱい。2006/03/11(土) 00:42:17
さすがにウェブサーバーは入れないかｗｗ
0895名無しさん＠お腹いっぱい。2006/03/11(土) 03:17:56
fnordとかいれてたりして。
節操無さ過ぎｗｗｗ
0896名無しさん＠お腹いっぱい。2006/03/12(日) 12:17:41
いろいろなユーザー名でログインを試みようとした形跡があるのですが、
このようなアタックを防ぐにはどうしたらよいのでしょうか？
同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？
0897名無しさん＠お腹いっぱい。2006/03/12(日) 12:20:44
>>896
libwrap や FW などで
必要なとこ以外からのアクセスは禁止するようにする。

根本的解決ではないが
別ポートで sshd を上げると軽減するという話もある。
0898名無しさん＠お腹いっぱい。2006/03/12(日) 12:24:47
>>896
897の大作に加えて、sshd_configでログイン出来るユーザを制限しておく。
パスワード認証を許可しない。
信用出来ないユーザにシェルアカウントを与えない。

＞同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？
俺はdenyhostsを使っている。
0899名無しさん＠お腹いっぱい。2006/03/12(日) 21:18:20
犬糞ならiptablesのburst機能使えば近いことはできる。
他のOSでも同様のことができるんじゃないかな。
0900名無しさん＠お腹いっぱい。2006/03/13(月) 00:51:31
>>896
ttp://www.musicae.ath.cx/diary/?200506c&to=200506272#200506272
我が家ではここの設定をそのまま使用してる。
パスワード認証も切ってるけど。
09019002006/03/13(月) 01:21:19
認証成功でもカウントされちゃうけどね。
0902名無しさん＠お腹いっぱい。2006/03/13(月) 09:44:03
>>896
前にここにも書いたけど、うちにもすげー来る。
オレはswatchでlogを監視してhosts.denyに追加するようにしてるよ。
0903 ◆TWARamEjuA NGNG
やっぱりログ監視だよなぁ。。。

今度の休みにやろっと。
0904名無しさん＠お腹いっぱい。2006/03/13(月) 22:40:56
ログの監視もいいが、必要なところ以外からの接続は拒否した方がいいと思う。
sshdにアクセスされている時は、外向きのアクセスが不安定になっている気が
する。ルーターがヘタレなせいかもしれないが。
0905名無しさん＠お腹いっぱい。2006/03/13(月) 23:21:49
もう>>896氏は見ているかもしれないですが…、

>>896
http://www.koka-in.org/~haruyama/ssh_koka-in_org/200/250.html
以降のスレッドを見るﾖﾛｼ。
http://www.koka-in.org/~haruyama/ssh_koka-in_org/200/251.html
とかね。
0906名無しさん＠お腹いっぱい。2006/03/15(水) 20:35:23
きてるきてる
203.241.56.142から5回ずつ朝鮮。
0907名無しさん＠お腹いっぱい。2006/03/15(水) 20:39:00
>>904
不安定にみえるのは、機器やネットの処理能力をアタックに食われているだけかも。
0908名無しさん@お腹いっぱい2006/03/15(水) 21:03:44
俺もそう思う。
前に朝鮮人のIPをDROPしたらネットワークもPCも軽くなったよ。
0909名無しさん＠お腹いっぱい。2006/03/15(水) 22:26:27
>>907-908
特定のところからしかつながらないようになっているから、内部はいいと思う
のだが、ルータへのアッタックはどうにもできないから。
0910名無しさん＠お腹いっぱい。2006/03/15(水) 22:46:33
>>909
ルーターの前に透過的なFWを噛ますとか。
ルーターのフィルタを効率的にするための何かしらの手立てを講じるとか。
フィルタの順番をかえて負荷がどう変わるか観測するとかね。
0911名無しさん＠お腹いっぱい。2006/03/15(水) 23:06:28
ミドルクラスPC + NIC二枚挿し + OpenBSD で「見えない高速firewall」とか。
0912名無しさん＠お腹いっぱい。2006/03/15(水) 23:54:07
アッタック
0913名無しさん＠お腹いっぱい。2006/03/16(木) 04:18:46
>>912
汚れが落ちる。
0914名無しさん＠お腹いっぱい。2006/03/16(木) 13:39:42
アタタック
0915名無しさん＠お腹いっぱい。2006/03/16(木) 14:18:41
こっちのアタックは服の汚れを落とす
ttp://www.kao.co.jp/attack/
こっちのアタックはエンジンの汚れを落とす
ttp://web.kyoto-inet.or.jp/people/macchann/hiroshi/X1.html
0916名無しさん＠お腹いっぱい。2006/03/16(木) 18:32:46
（´・ω・）
0917名無しさん＠お腹いっぱい。2006/03/17(金) 10:35:52
使える科技庁は国によって違うのですか？
0918名無しさん＠お腹いっぱい。2006/03/18(土) 21:21:50
>>917
国によって組織の形態や名称が違うのは間違いありません。
0919名無しさん＠お腹いっぱい。2006/03/19(日) 02:50:15
>>194-
あのー、194以降、話に挙がった「鍵認証方式で接続時に、公開鍵を送るか送らないか」ですが、結論って出てます？

読んでて思ったんですが、
１．ユーザの接続要求に対し、鯖はランダムな文字列を用意し、接続要求のあったユーザの(鯖に置かれてる)公開鍵(複数あれば各公開鍵)で暗号化しユーザに返す。
２．クライアントは、届いた暗号文を秘密鍵で復号→秘密鍵で暗号化して鯖に送信。
３．鯖は届いた暗号文をユーザの(それぞれの)公開鍵で復号し、最初に作成したランダムな文字列(のもの)があればＯＫ。
みたいな流れではだめ？

ユーザの秘密鍵に対応する公開鍵も分かるし、公開鍵も流さなくて済むと思うんですけど。
# 公開鍵なんだから、本来なら別に流れてても良いんだろうけど。

ソースや仕様を嫁と言われそうですが．．．
0920名無しさん＠お腹いっぱい。2006/03/19(日) 08:09:21
ソースや仕様を嫁
0921名無しさん＠お腹いっぱい。2006/03/22(水) 09:01:25
2GB以上のファイルをscpで転送する方法はないのでしょうか？
0922名無しさん＠お腹いっぱい。2006/03/22(水) 09:42:09
>>921
アップロード:
ssh remote 'cat > file' < file

ダウンロード:
ssh remote cat file > file

でいいのでは?
0923名無しさん＠お腹いっぱい。2006/03/22(水) 10:15:44
>>921
scp でできなかったっけ
0924名無しさん＠お腹いっぱい。2006/03/22(水) 13:01:12
2GB以上のファイルの扱いはOSに依存するから。
0925名無しさん＠お腹いっぱい。2006/03/22(水) 13:04:46
>>924
ファイルシステムじゃないの？
0926名無しさん＠お腹いっぱい。2006/03/22(水) 13:50:57
なんかその辺に依存するから。
0927名無しさん＠お腹いっぱい。2006/03/22(水) 15:25:51
「環境に依存する」でいいじゃんｗ
0928名無しさん＠お腹いっぱい。2006/03/22(水) 17:07:57
scpでFC5のDVDファイルを転送したところ、ちょうど2048kBで止まってしまいました。
結局wgetで取得したのですが。
0929名無しさん＠お腹いっぱい。2006/03/22(水) 17:10:01
>>928
たった2048kBで止まったのなら、ネットワークの断線とか、他の原因と思われ。
0930名無しさん＠お腹いっぱい。2006/03/22(水) 20:47:47
>>402
私もそれが発生してました。(Windows XP SP2+Athlon 64)
DEPの無視対象にWinSCP3.exeを入れたら直ったみたです。
0931名無しさん＠お腹いっぱい。2006/03/22(水) 20:52:26
>>921-928
いや、2Gってintがオーバーフローするのでそれをきちんと考慮してないソフトがへくる
というのは結構ある。　家にビデオサーバーを設定して２Gを超えるファイルが普通の
環境で色々やったらサーバ(Debian 3.0)、クライアント(Win)側で色々問題が
あった。　例えばapache 1.4が２G以上のファイルを上げることが出来ないとか
IE, Firefox内蔵のFTPクライアントがだめだとか。　（WinのコマンドラインのFTPは
okだった）。　

だからこれはscpの実装の問題である可能性大。
0932名無しさん＠お腹いっぱい。2006/03/22(水) 20:56:15
ヒント: 2048kB = 2MB
09339312006/03/22(水) 22:57:08
>>932
>>921=928 だと思うけど最初に２GBって言ったから >>928の2048kbは2048MBの
間違いと思われ。
0934名無しさん＠お腹いっぱい。2006/03/22(水) 23:11:31
思い込みで答えちゃいけないよ。
09359232006/03/23(木) 03:01:42
>>931
実際試すとうまくいくんだよ。環境は Debian GNU/Linux 3.1, ext3fs
$ dd of=vip seek=8192 bs=1048576 count=0
読み込んだブロック数は 0+0
書き込んだブロック数は 0+0
0 bytes transferred in 0.000629 seconds (0 bytes/sec)
$ ls -l vip
-rw-r--r-- 1 hoge hoge 8589934592 2006-03-23 02:52 vip
$ scp vip remote:/tmp
vip 100% 8192MB 26.7MB/s 05:07
$ ssh remote ls -l /tmp/vip
-rw-r--r-- 1 hoge hoge 8589934592 Mar 23 02:57 /tmp/vip
09369312006/03/23(木) 04:46:31
>>935
いや、だからそれはちゃんと対処したバージョンのscpだからであり、>>921が使ったバージョンが対処してない
実装なんじゃない?　statの代わりにstat64を使うとか、２G以上のファイルを扱うにはわざわざしなければ
ならないことがあるんだから。
09379232006/03/23(木) 11:54:13
>>936
ソース見ればわかるが _FILE_OFFSET_BITS, _LARGE_FILES などを定義するだ
けだよ。OpenSSH であれば、対応したのはかなり前の話。ChangeLog に以下の
ように書かれてる。
20010925
- (djm) Add AC_SYS_LARGEFILE configure test
19991111
- Fix integer overflow which was messing up scp's progress bar for large
file transfers. Fix submitted to OpenBSD developers. Report and fix
0938名無しさん＠お腹いっぱい。2006/03/24(金) 19:16:08
おれはとりあえず rsync 使うよ。中断しても損した気分にならないし。
0939名無しさん＠お腹いっぱい。2006/03/26(日) 23:34:58
Winscp3で質問があります。
サーバ側がcygwinでsshしてるですが、
winscpでサーバにアクセスすると、rootがcygwinを
インストールしたディレクトリ、D:\cygwinの下なんですが、
アクセスしたい場所が、Dドラ直下にあるんです。
表示されているrootから、ひとつディレクトリをあげるって
できるんでしょうか？
0940名無しさん＠お腹いっぱい。2006/03/26(日) 23:43:47
cygwinの問題だろ
0941名無しさん＠お腹いっぱい。2006/03/27(月) 00:36:45
>>939
cd /cygdrive/d
0942名無しさん＠お腹いっぱい。2006/03/27(月) 09:28:54
BUGTRAQにTheo様降臨。
09439392006/03/28(火) 00:05:29
>>941
おおぉ、うまくいきそうな予感。
やってみます。
ありがとうございます。
09449392006/03/28(火) 22:36:11
そして、うまく行きました。
ありがとうございました。
0945名無しさん＠お腹いっぱい。2006/03/30(木) 23:30:43
特定のユーザについて scp と sftp は禁止するってことは可能でしょうか
ポートフォワーディングの禁止は authorized_keys と no-port-forwarding と書くと
実現できるみたいですが scp と sftp も使えなくする方法ってありますか
09469452006/03/30(木) 23:54:47
自己レス
rssh にして許可しなければ良さそうです
0947名無しさん＠お腹いっぱい。2006/03/31(金) 21:00:58
sshコンソールが実用的に使えるモバイル機器で今のところ最小なのは何？
0948名無しさん＠お腹いっぱい。2006/03/31(金) 21:40:37
>>947
i MODE
0949名無しさん＠お腹いっぱい。2006/04/02(日) 19:45:49
>>947
W-ZERO3でも使えるよな（最小じゃないだろうけど）
0950名無しさん＠お腹いっぱい。2006/04/02(日) 21:35:42
iモードは実用的に使うにはちと辛いような
やっぱフルキーボードはほしいところ
0951名無しさん＠お腹いっぱい。2006/04/02(日) 22:01:30
SLA300
0952名無しさん＠お腹いっぱい。2006/04/02(日) 22:12:54
遠隔地のPCにsshでログインしてちょっと放置しているとセッションが切れてしまうんだけど、
これってどこかでタイムアウトの設定できるんですか？

別にセッション切れるのはかまわないんだけど、クライアント側が固まっちゃってサーバ側では
死んだプロセスが残っているのでいちいち消して回らないといけなくて面倒です。・゜・(ノ∀`)・゜・。
0953名無しさん＠お腹いっぱい。2006/04/02(日) 22:16:34
>>952
keepalives
0954名無しさん＠お腹いっぱい。2006/04/02(日) 22:28:38
keepaliveはデフォでyesだと思ってたら、intervalの設定しないと生きないんですね・・・
ちょっといま実験中。３，４０分くらいしたら結果書きますね。
0955名無しさん＠お腹いっぱい。2006/04/02(日) 23:03:22
みごと死ななくなりました。ありがとうございました。
0956名無しさん＠お腹いっぱい。2006/04/02(日) 23:45:16
スレ的にはkeepaliveで正解かもだけど、この場合先にscreenだろ？
0957名無しさん＠お腹いっぱい。2006/04/03(月) 18:32:17
ssh_configのTCPKeepAliveとServerAliveIntervalは全然別物じゃないか？

前者はカーネルのTCP/IPレベルでのkeepaliveを使うかどうかで、
後者はSSHレベルでkeepaliveパケットを投げるかどうかだと思ったが。

TCP/IPのkeepalive送信間隔はデフォルトだと2時間とかなので、
ルータが通信のないコネクションを調べて切る間隔より長いから
yesでも切れてたんだろうな。

>>956
だな。
0958名無しさん＠お腹いっぱい。2006/04/06(木) 11:05:58
TeraTerm(SSH2、UTF-8対応版)
って、このタイプの秘密鍵に対応していないの？

"read error SSH2 private key file"
って出てしまう。
puttyやUNIXのssh -iでは問題なし。

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: DES-EDE3-CBC,A1 (略)

-----END RSA PRIVATE KEY-----
0959名無しさん＠お腹いっぱい。2006/04/06(木) 13:06:52
>>958
TeraTerm で RSA の鍵を作るとそのタイプの鍵だよ。
ssh-keygen -t rsa で作っても同じ。
手元で最新版(4.34)を使ってみたけど大丈夫だったよ。
0960名無しさん＠お腹いっぱい。2006/04/06(木) 16:55:18
サーバ側がFC5のOpnSSHでクライアント側がWindowsの商用SSHのフリー版なのですが、
パスワードなしでログインできるようにできますか？
0961名無しさん＠お腹いっぱい。2006/04/06(木) 21:40:23
>>960
Active Directoryを構築してKerberos認証すればよし。
0962名無しさん＠お腹いっぱい。2006/04/07(金) 10:38:42
sftpで日本語は使えないのですか？
0963名無しさん＠お腹いっぱい。2006/04/07(金) 11:43:44
>>962
使えるよ。(確認済み)
0964名無しさん＠お腹いっぱい。2006/04/07(金) 11:53:53
>>962
どういう意味で？
0965名無しさん＠お腹いっぱい。2006/04/07(金) 11:59:04
少なくともプロトコルの問題ではない。
クライアントとサーバのプログラムの処理及びファイルシステムのロケールに
よって使えたり使えなかったり。サーバ側が原因で使えないことはまれだと思う。
ファイル名のエンコーディングを変換できないクライアントの場合、
日本語ファイル名を扱える可能性はだいぶ低くなる(サーバとクライアントの
文字コードが一致している場合のみ)。そもそも8ビット通さないクライアントも
珍しくない。

要するに文字コード変換できるクライアント使えということだ。
0966名無しさん＠お腹いっぱい。2006/04/07(金) 13:54:25
HostbasedAuthenticationってどうしてそれほど安全じゃないのですか？
0967名無しさん＠お腹いっぱい。2006/04/09(日) 05:59:20
まずrloginとかrshが安全だと思える環境かどうか答えてちょ
0968名無しさん＠お腹いっぱい。2006/04/15(土) 11:08:45
DSA の公開鍵を設定すべきところを RSA 用の公開鍵を設置してログインできない場合、
どういう風にエラーとして表示されますか？
0969名無しさん＠お腹いっぱい。2006/04/15(土) 11:53:44
やってみれば?
0970名無しさん＠お腹いっぱい。2006/04/17(月) 04:40:45
LAN側からとWAN側からでopensshの設定切り替えることってできますか？
できれば待ち受けポートは変更したくないです。
0971名無しさん＠お腹いっぱい。2006/04/17(月) 07:26:41
>>970
ListenAddress?
レス数が950を超えています。1000を超えると書き込みができなくなります。