SSH その4

1 名前：名無しさん＠お腹いっぱい。 mailto:sage [04/12/05 19:35:08] SSHに関する情報交換のスレッドです。 FAQ、リンク集は >>2-5 あたり。 過去ログ 　Part1：pc.2ch.net/unix/kako/976/976497035.html 　Part2：pc.2ch.net/test/read.cgi/unix/1028157825/ (dat落ち) 　　春山さんのとこ→ www.unixuser.org/%7Eharuyama/security/openssh/dat/pc.2ch.net_80__unix_dat_1028157825.html 　Part3：pc5.2ch.net/test/read.cgi/unix/1058202104/ 812 名前：春山征吾 ◆unIxUSernc mailto:sage [2006/02/03(金) 23:16:03 ] >>809 % ls -Sls a % scp * remote: ls: invalid line width: ardAgent no lost connection でした。 813 名前：名無しさん＠お腹いっぱい。 mailto:これだけしかいえないがsage [2006/02/03(金) 23:22:13 ] 乙 814 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/03(金) 23:27:22 ] そんなもの脆弱性でもなんでもないだろ。 頼むからやめてくれ。どうかしてるぞ。 815 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/03(金) 23:28:11 ] どちらかというとシェルの問題でない？ 816 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/03(金) 23:37:00 ] バグではある。明らかに利用者が意図しない動きをしている。だが脆弱性ではない。 普通のバグリポートを送るだけで充分だ。 これはおかしな動きだと疑問に思ったら真っ先に本家のMLに聞いてみるべきなのに。 あんたこんな所にしか相談出来る相手が居ないのか？ ここには馬鹿しか居ない。このままじゃ駄目になっちゃうよ。 817 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/03(金) 23:41:10 ] >ここには馬鹿しか居ない。このままじゃ駄目になっちゃうよ。 正直同感 818 名前：春山征吾 ◆unIxUSernc mailto:sage [2006/02/03(金) 23:46:47 ] >>805 にて >反対意見がなければ、日曜か月曜に送ります。 と書きましたので、送るのは中止します。 ここで相談しているのは、 773氏の寄与が大きいので了解を取るべきと考えたからです。 819 名前：773 mailto:sage [2006/02/04(土) 00:12:45 ] 私自身はセキュリティの問題として送ってもらう事に賛成です。 自分自身でバグリポートをさっさと送らなかった事には謝罪します。 しかし、 >816 > バグではある。明らかに利用者が意図しない動きをしている。だが脆弱性ではない。 と言うのは疑問です。 元の CVE-2006-0225 が任意のコマンドを実行される脆弱性で修整されるべきなら、 今回の物もssh自身の問題だけではないかもしれませんが、任意のコマンドを 実行してしまうもので「脆弱性ではない」とは言い切れないと思います。 820 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/04(土) 00:38:25 ] >>809 少なくとも、これに関しては scp には何の罪はない。 % touch -- -l % ls * これで ls -l が実行されるのは ls のせいではなくシェルのせいだ。 821 名前：春山征吾 ◆unIxUSernc mailto:sage [2006/02/04(土) 00:57:26 ] >>820 そうですね。失礼しました。 822 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/04(土) 03:42:17 ] なんかおもろい流れになっててﾜﾛｽｗ 823 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/04(土) 15:26:34 ] 的はずれなことを言っているのかもしれませんが、ポートフォワードで 離れた場所のLAN内にあるsambaサーバもしくはWindowsの共有にアクセスすることはできますか？ 824 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/04(土) 15:30:09 ] ssh? 825 名前：823 mailto:sage [2006/02/04(土) 16:51:29 ] 例えば、ここの場合、 www.gcd.org/sengoku/docs/NikkeiLinux01-02/forward.ja.html プロキシーサーバに接続することによって、LAN内のすべてのwwwサーバにアクセスできるようになりますが これと似たことを、sambaでもできないかと考えているのですが。 826 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/04(土) 21:32:09 ] 難しい 827 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/05(日) 00:34:30 ] >>823 つ [SoftEther改めPacketiX VPN] 828 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/05(日) 01:35:04 ] >>823 SEはライセンスがアレなので・・・ つ [OpenVPN] 829 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/05(日) 07:56:54 ] ポート番号を指定できないWindowsが恨めしいと思ったｗ 830 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/05(日) 11:08:33 ] >>823 きわものが似合いそうな823に つ[zebedee] rogiken.org/daemon/tips/smb_zbd.html opensshってバインドするアドレスを指定できなかったんだよねぇ、たしか。 だから、いったん8139とかにバインドして、stoneでLoopbackアダプタに バインドした気がする。 遠い昔のことでわすれた。。 831 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/06(月) 10:17:17 ] >>823 望んでいるものかどうかわからないけど、 つ [ ttp://www.c3.club.kyutech.ac.jp/c3magazine/4th/nbssh/nbssh.html ] 832 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/06(月) 16:58:10 ] >>823 445ポートでうまくいかない？ 833 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/07(火) 14:04:58 ] SoftEther系がなんも考えずにできて楽だな 無料じゃないのがやだけど 834 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/07(火) 21:57:27 ] >>833 無料じゃないの？ 835 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/08(水) 01:09:06 ] >>834 個人かつ非営利目的な場合のみ無料。 836 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/08(水) 01:45:58 ] SoftEtherは作者がkittyでさえなければ... 道具に罪はないとは言うけれど、セキュリティに関わるものだけにちょっと。 837 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/08(水) 08:18:01 ] ライセンスの更新画面土井よ 838 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/08(水) 15:45:08 ] SSHのスレで作者のキティ度を云々するのはいかがなものか？ 839 名前：名無しさん@お腹いっぱい [2006/02/11(土) 17:35:31 ] 4.3p2ｷﾀｰ ttp://www.unixuser.org/~haruyama/security/openssh/ にも出てるよ。 さすが春山さん早いねぇ。 840 名前：名無しさん＠お腹いっぱい。 [2006/02/11(土) 20:27:48 ] おいお前ら。FCの名作ソフト「いっき」のオンライン対戦するぞ！ ↓ game.coden.ntt.com/games/ikki.html King of Wands game.coden.ntt.com/kingofwands/ 841 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/11(土) 21:08:27 ] lastlog直った 842 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/15(水) 23:49:32 ] W-ZERO3 + Pocket PuTTYで外部からSSH接続できるんだけど 困った事に受信側のPocket PuTTYで日本語が全部文字化けしちゃうす。 誰か対策できた人おる？ 843 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/17(金) 17:24:41 ] >>842 うーん 速攻で設定直したから うちでは問題ないなぁ 844 名前：名無しさん＠お腹いっぱい。 [2006/02/19(日) 17:18:14 ] 圧縮を指定して接続しようとすると、エラーが出てしまいます。 845 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/19(日) 18:00:39 ] このスレにはエスパーはいませんので、そこんとこよろしくです。 846 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/22(水) 11:32:13 ] 現在の本スレ Putty その２ pc8.2ch.net/test/read.cgi/unix/1084686527/l50 847 名前：名無しさん＠お腹いっぱい。 [2006/02/22(水) 16:29:31 ] www.laksmido.com/3090.html ここにあるとおりに設定してみたのですが、依然として、 どちらからログインする際にもパスフレーズを求められてしまいます。 考えられる原因としてはどのようなものがあるでしょうか？ 848 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/22(水) 16:33:08 ] >>847 これ、情報古いよ。 もっとまともなとこ読め。 849 名前：８４８ mailto:sage [2006/02/22(水) 17:41:14 ] ありがとうございます。 どのサイトに新しい情報が載っているでしょうか？もし教えていただければ幸いです。 850 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/22(水) 19:53:07 ] ssh2でぐぐれ。 851 名前：名無しさん@お腹いっぱい mailto:sage [2006/02/23(木) 02:57:08 ] >847 パッと見で思い当たるところ。 　.sshのパーミッション 　~/.ssh/authorized_keysの中身 /etc/sshd_configの設定 あと、logは見た? その辺を一通り確認すれば、何とかなると思う。 852 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/24(金) 08:55:27 ] ssh -vでデバックとって曝せ。 853 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/24(金) 09:42:11 ] デバックだってさ（*´Д`) 　　　　￣ 854 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/24(金) 14:01:15 ] CentOS 4.2 openssl 0.9.8a zlib 1.2.1.2-1.2(RPM) openssh 4.1p1 上記の環境で # ./configure \ --with-tcp-wrappers \ --with-pam # make を行うと /usr/local/lib/libcrypto.a(dso_dlfcn.o)(.text+0x321): In function `dlfcn_bind_func': : undefined reference to `dlerror' collect2: ld returned 1 exit status make: *** [ssh] Error 1 とエラーになってしまいます。 そこで、直接 Makefile を編集して、 LIBS= に -ldl を追加して make を通しましたが、こういった手法しかないのでしょうか？ 今回、普通に make が通らなかったことが疑問なのですが、その原因がわかる方はいらっしゃいますか？ 855 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/24(金) 14:19:05 ] さすが盗人CentOS厨はひとあじ違うね 856 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/24(金) 19:47:11 ] 板違い。リヌクス板に逝け。 857 名前：名無しさん＠お腹いっぱい。 [2006/02/28(火) 19:05:57 ] sftpで日本語ファイルを扱えるようにする方法を教えてください 858 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 19:10:10 ] >>857 「日本語のファイル名」を定義してください。 859 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 20:09:26 ] また定義厨キタ。定義厨ウザイ。そんなの質問から読みとれるだろ。 860 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 20:27:34 ] ( ﾟдﾟ)ﾎﾟｶｰﾝ 861 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 20:40:12 ] 質問も厨臭いが反応もすんばらすぃ 862 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 21:01:05 ] >>857 俺のところでは特に設定なしで日本語ファイル名が使えてる。 もし日本語ファイル名が使えないなら、どううまくいかないのか もう少し詳しく書け。 少なくとも、変なことしてなければ設定なしで使えるはず。 863 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 21:53:58 ] >>859 読み取れたなら答えてあげてよ。 864 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 22:21:59 ] >>857 UNIX側をsjis環境にして日本語はすべてsjisに統一する コントンジョノイコ 865 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 22:31:10 ] UNIX側をsjis環境にしてWindowsは日本語EUC環境にする。 これでおあいこじゃないか 866 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 22:50:10 ] UTF-8 ・・・ そこは最後のフロンティア・・・ 867 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 22:57:35 ] >>863 すでに答えてるじゃん。 868 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/02/28(火) 23:02:04 ] >>865 「UNIX側って??」 UNIX板なんだからUNIX以外のOSは無視でしょ。 オレのところはUNIXホストはすべてEUCで統一。 この状態でsftpで日本語ファイル名は問題なく使える。 869 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/01(水) 00:46:07 ] 日本語ファイル名ではなく日本語ファイルだ 文字コード変換して転送とかそういうことじゃね 870 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/01(水) 00:55:51 ] >>869 そもそも相手先で違う物に内容を改ざんするsftp なら使わない選択を選ぶのが筋 871 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/01(水) 01:08:48 ] filezilla+春山さんパッチ使っとけ 872 名前：名無しさん＠お腹いっぱい。 [2006/03/04(土) 01:43:45 ] いつもできていたのに、今日SSHで接続しようとしたら Read from remote host ***********: Connection reset by peer となってしまって接続できなくなってしまいました。。 どうすればよいですか？？ 873 名前：名無しさん＠お腹いっぱい。 [2006/03/04(土) 01:55:51 ] いくつか考えられる原因・・・ ・単にメモリが無い。 ・PAM競合で腐った。 ・おまいの好きな貝が、無残にも砕かれた。 ・おまいの居場所が無い。無残にもそれは管理者に消されたか 　もしくは根のモノに。 ・NICが腐った。 ・共有ライブラリがぶっ飛んだ。 その他もろもろの理由でSSHは不調になる（全部経験したこと） 874 名前：名無しさん＠お腹いっぱい。 [2006/03/04(土) 02:06:49 ] とりあえずWebminは繋がるんです。 メモリは Mem: 459M Active, 327M Inact, 173M Wired, 39M Cache, 112M Buf, 6104K Free です。(1G) ・PAM競合で腐った。 ・おまいの好きな貝が、無残にも砕かれた。 ・共有ライブラリがぶっ飛んだ。 これぐらいでしょうか。。 でもsshはちゃんと起動できるんです。停止も起動も出来ました。@webmin 875 名前：名無しさん＠お腹いっぱい。 [2006/03/04(土) 02:41:50 ] /bin/cshが壊れたようでした。 お騒がせしました。 876 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/04(土) 02:59:18 ] なんでそんなんが壊れるんだ 877 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/04(土) 06:30:17 ] ハックられた? 878 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/04(土) 09:52:43 ] >873-874 >貝が無残にも砕かれた。 >共有ライブラリがぶっ飛んだ。 これってクラッキング以外に原因考えるとしたら、hddのread write不良とか？ いずれにしても穏やかでないなぁ。 879 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/04(土) 15:29:16 ] OpenSSHでクラッカー対策にグリーティングメッセージの 「SSH-1.99-OpenSSH_3.8.1p1」みたいなのを隠したいんですが、 これってソースから直さなければならないんでしょうか？ 880 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/04(土) 15:37:05 ] 隠しても対策にならんよ。 881 名前：名無しさん@お腹いっぱい mailto:sage [2006/03/04(土) 18:20:49 ] >879 とりあえず最新使っとけば? >510-513みたいに 882 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/07(火) 15:40:06 ] うむ。対策には成らんね。 とにかく22に繋いで試すって攻撃だし。いちいちバージョンチェックなんてしてない。 sshdがあぼーんしたときの裏口作りは重要。 % sudo /etc/rc.d/sshd restartして止めさしちゃう事も有る。 883 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/07(火) 23:28:58 ] だぁね。 まぁせいぜい出来るのは、sshd_configの設定をぬかり無くする事と Listen Portをｳｪﾙﾉｳﾝなポート使わないとか、そぎゃんところですか。 884 名前：名無しさん＠お腹いっぱい。 [2006/03/08(水) 04:02:52 ] 普通に、daemontools ですよ。 tcpserver で接続管理して接続できるIPアドレスを 限ればいい。 885 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/08(水) 04:17:06 ] djb儲はdjbsshでも使ってろ 886 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/08(水) 09:46:31 ] >>884 わざわざそんなん通さなくても libwrap でいいじゃん。 887 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/09(木) 04:29:50 ] マエノ方面の香具師か。。。 888 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/10(金) 01:14:41 ] 信者ってどこにでも居るね。 qmail/djbdnsの話題をされるとは思わなかった。ウゼー！ 889 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/10(金) 01:24:24 ] 普通にビルドしたらlibwrap使えるんだし、ネタにしかみえん。 890 名前：名無しさん＠お腹いっぱい。 [2006/03/10(金) 12:38:42 ] >>886 cr.yp.to/qmail/venema.html 891 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/10(金) 12:57:59 ] >>890 それが何? 892 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/10(金) 13:36:37 ] 信者は怖いね。 893 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/10(金) 22:00:05 ] OpenBSD + OpenSSH + djbdns + qmail + OpenNTPD。これ最強。 894 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/11(土) 00:42:17 ] さすがにウェブサーバーは入れないかｗｗ 895 名前：名無しさん＠お腹いっぱい。 [2006/03/11(土) 03:17:56 ] fnordとかいれてたりして。 節操無さ過ぎｗｗｗ 896 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/12(日) 12:17:41 ] いろいろなユーザー名でログインを試みようとした形跡があるのですが、 このようなアタックを防ぐにはどうしたらよいのでしょうか？ 同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？ 897 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/12(日) 12:20:44 ] >>896 libwrap や FW などで 必要なとこ以外からのアクセスは禁止するようにする。 根本的解決ではないが 別ポートで sshd を上げると軽減するという話もある。 898 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/12(日) 12:24:47 ] >>896 897の大作に加えて、sshd_configでログイン出来るユーザを制限しておく。 パスワード認証を許可しない。 信用出来ないユーザにシェルアカウントを与えない。 ＞同じIPから何回か失敗したら、しばらくそのIPから受け付けないというような方法はないものでしょうか？ 俺はdenyhostsを使っている。 899 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/12(日) 21:18:20 ] 犬糞ならiptablesのburst機能使えば近いことはできる。 他のOSでも同様のことができるんじゃないかな。 900 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/13(月) 00:51:31 ] >>896 ttp://www.musicae.ath.cx/diary/?200506c&to=200506272#200506272 我が家ではここの設定をそのまま使用してる。 パスワード認証も切ってるけど。 901 名前：900 mailto:sage [2006/03/13(月) 01:21:19 ] 認証成功でもカウントされちゃうけどね。 902 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/13(月) 09:44:03 ] >>896 前にここにも書いたけど、うちにもすげー来る。 オレはswatchでlogを監視してhosts.denyに追加するようにしてるよ。 903 名前： ◆TWARamEjuA mailto:sage [2006/03/13(月) 22:17:19 BE:3485748-#] やっぱりログ監視だよなぁ。。。 今度の休みにやろっと。 904 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/13(月) 22:40:56 ] ログの監視もいいが、必要なところ以外からの接続は拒否した方がいいと思う。 sshdにアクセスされている時は、外向きのアクセスが不安定になっている気が する。ルーターがヘタレなせいかもしれないが。 905 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/13(月) 23:21:49 ] もう>>896氏は見ているかもしれないですが…、 >>896 www.koka-in.org/~haruyama/ssh_koka-in_org/200/250.html 以降のスレッドを見るﾖﾛｼ。 www.koka-in.org/~haruyama/ssh_koka-in_org/200/251.html とかね。 906 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 20:35:23 ] きてるきてる 203.241.56.142から5回ずつ朝鮮。 907 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 20:39:00 ] >>904 不安定にみえるのは、機器やネットの処理能力をアタックに食われているだけかも。 908 名前：名無しさん@お腹いっぱい mailto:sage [2006/03/15(水) 21:03:44 ] 俺もそう思う。 前に朝鮮人のIPをDROPしたらネットワークもPCも軽くなったよ。 909 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 22:26:27 ] >>907-908 特定のところからしかつながらないようになっているから、内部はいいと思う のだが、ルータへのアッタックはどうにもできないから。 910 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 22:46:33 ] >>909 ルーターの前に透過的なFWを噛ますとか。 ルーターのフィルタを効率的にするための何かしらの手立てを講じるとか。 フィルタの順番をかえて負荷がどう変わるか観測するとかね。 911 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 23:06:28 ] ミドルクラスPC + NIC二枚挿し + OpenBSD で「見えない高速firewall」とか。 912 名前：名無しさん＠お腹いっぱい。 mailto:sage [2006/03/15(水) 23:54:07 ] アッタック

---

---

[ 続きを読む ] / [ 携帯版 ]

read.cgi ver5.27 [feat.BBS2 +1.6] / e.0.2 (02/09/03) / eucaly.net products.
担当:undef