Dotaz: Jak "snadno" získat vzdálený root přístup?

[Ladislav Nešněra]

Zdravím
V rámci šíření linuxové "nákazy" sem tam pomáhám/radím uživatelům. Ve složitějších případech se nechávám pustit ke stroji pomocí TeamVieweru. Momentálně mám však problém na počítačem s Ubuntu, u kterého se rozbil i TeamViewer a závislosti balíčků, tudíž nedokáži jednoduše odnavigovat instalaci. Nějaký tip v situaci kdy:

• uživatel je schopný si zapnout CLI a pod rootem překopírovat pár příkazů
• funguje chat (FB, Skype)
• počítač je připojen přes domácí WiFi router
• sám momentálně jedu přes 3G od Vodafone
• řešení by mělo být co nejednodušší pro protistranu (holky s comply moc trpělivost nemají )

Díky

---

---

Odpovědi

[Filip Jirsák]

Pro vzdálený přístup k unixovým počítačům se "odjakživa" používá SSH. Nevím, zda se SSH server (sshd) ve výchozí instalaci Ubuntu spouští automaticky při startu, pokud ne, mělo by stačit jej nastartovat:

sudo /etc/init.d/sshd start

[Ladislav Nešněra]

v *buntu zakladni instalaci se sshd nepousti automaticky protoze neni nainstalovan, po nainstalovani se jiz automaticky pousti :) takze nainstalovat:

sudo apt-get install openssh-server

nicmene porad je jeste potreba verejna IP a preportovanej wan port routeru do lan pc ssh portu...

obecne by bylo jednoduche reseni do budoucna, mit nejake VPS s verejnou IP, kam by klient spojil SSH s parametrem forwardu portu, opravar by se pak pripojil na VPS na virtualni port smerujici ke klientovi po jiz z jeho strany otevrenem spojeni(ssh, pripadne na vnc pretunelovane pres ssh)...
zasah do routeru u klienta ani jeho verejna ip pak neni vubec treba...

[Filip Jirsák]

v *buntu zakladni instalaci se sshd nepousti automaticky protoze neni nainstalovan

Linuxová distribuce ve výchozí instalaci bez sshd. Kam ten svět spěje...

[Ladislav Nešněra]

Že z bezpečnostních důvodů neběží daemon bych chápal, ale aby se tak "šetřilo" místem při instalaci..

[Ladislav Nešněra]

Nechtěl jsem zmiňovat v dotazu, abych neomezil kreativitu, ale vydal jsem se právě tímto směrem. Následující názvy jsou fiktivní, ale snad srozumitelné. Na mojeVPS.cz s veřejnou adresou jsem vytvořil uživatele servisák. Následovalo

na marodPC.cz

• openssh-server instalovaný byl (v aktuálním stavu už bych jej nedoinstaloval)
• pro jistotu byl i restartován: # service ssh restart
• zajímavé je, že v htop filtr na ssh neukáže nic, byť předchozí příkaz vypíše číslo procesu
• (jo a navrhovaný /etc/init.d/sshd start nezná. Prý neexistující soubor)
• přihlášení na prostředníka: # ssh servisák@mojeVPS.cz -p 20085 -R 6262:127.0.0.1:22

z mého noťasu

• přihlášení: $ ssh servisák@mojeVPS.cz -p 20085
• a již z mojeVPS.cz pokračuji: $ ssh root@localhost -p 6262
• a tady jsem pohořel, neb každý pokus končí chybou
• u sebe vidím: ssh_exchange_identification: Connection closed by remote host
• na marodPC.cz vyběhne: connect_to 127.0.0.1 port 22: failed

Kde je zrada?

[Filip Jirsák]

pro jistotu byl i restartován: # service ssh restart

jo a navrhovaný /etc/init.d/sshd start nezná. Prý neexistující soubor

Ta služba se v Ubuntu evidentně jmenuje ssh (bez d). Ovládání pomocí service je správnější, takže váš postup service ssh restart je lepší.

Kde je zrada?

Na tom vzdáleném počítači bych zkontroloval, zda tam sshd běží - netstat -nltp musí vypsat sshd naslouchající na portu 22. Je možné, že server nastartoval (a vypsal se PID), ale pak dojde k chybě a server se ukončí. Například by mohl být problém s klíčem serveru (buď není vytvořen, nebo má soubor špatná práva). Pokud sshd server nepoběží, měl by být důvod vypsaný v logu.

[ZAH]

SELInux není nějaké omezení, nebo obdobné ?

[nobody]

tak pokud nejsem slepej, mas to spravne... ja to takto pouzivam(vicemene, teda pres klice a pousti sleep hodne_dlouho a ma omezene vse a jen dovoleno otevrit ssh a vnc port)
to ze restart service zahlasil cislo procesu nic neznamena, mohl se hned z nejakeho duvodu ukoncit...

zjisteni cislo procesu / jestli bezi: "service ssh status" nebo "ps aux | grep sshd"
pro debugovani pripojovani pouzij 1-3 "v" pro verbose: ssh -v (-vv nebo -vvv)

a již z mojeVPS.cz pokračuji: $ ssh root@localhost -p 6262 mas povoleno prihlaseni root ? (neresim ze je to blbost, a lepsi je nechat zakazane, prihlasit se userem a pak sudo)

co mas po pokusu se pripojit na maroda v jeho logu ? "cat /var/log/auth.log | grep ssh"

taky aby klient z maroda drzel spojeni, je vhodne pridat na marodu "ServerAliveInterval 120" do /home/user_co_pousti_ssh_spoj_na_vps/.ssh/config

[Ladislav Nešněra]

Hlásím úspěšné přípojení ke konzoli na marodPC.cz a všichni máte můj velký dík za pomoc.
Shrnu podivnosti v chování ssh serveru.

• # ps -ef | grep sshd - vypsal běžící proces sshd, ale pak jsem si všiml, že každou cca sekundu jeho id zvedá (sdílení plochy přes Skype)
• # netstat -nltp nevypíše sshd naslouchající na portu 22
• # service ssh restart bez problému proběhne a vypíše číslo procesu, ale pod # htop ssh nevidím
• nezná se k příkazu # /etc/init.d/ssh

Teď pobavím řešením. Buď nebyl nebo byl nějak špatně nainstalován openssh-server tj. pomohlo # apt-get install openssh-server. Grrr! (Nějakým zázrakem instalace prošla.)
Finálizační úpravou bylo vyhnout se přihlašování pod rootem, který patrně v defaultu nemá povolení pro ssh (což zní bezpečněji).

• do souboru /etc/ssh/sshd_config jsem tedy přidal řádek Port 6262, neb non-root by neměl mít přístup k portům < 1024
• je potřeba restartovat službu tj. # service ssh restart. Kontrolou je výpis # netstat -nltp
• běžný_uživatel na marodPC.cz pak spustěl $ ssh servisák@mojeVPS.cz -p 20085 -R 6262:localhost:6262
• a já se pak z konzole mojeVPS dostal na marodPC.cz příkazem $ ssh běžný_uživatel@localhost -p 6262
• ostatní z popisu zůstalo beze změny

Dopsal jsem to také jako příklad do Wiki. Opravujte, vylepšujte, beztak nás wikipedisti vyženou všechny..

[Jendа]

do souboru /etc/ssh/sshd_config jsem tedy přidal řádek Port 6262, neb non-root by neměl mít přístup k portům < 1024

V Ubuntu je sice možná vypnuté přihlašování na roota, ale sshd pod rootem furt běží. Ostatně kdyby neběželo tak nemá jak třeba číst SSH klíče cizích uživatelů.

a já se pak z konzole mojeVPS dostal na marodPC.cz příkazem $ ssh běžný_uživatel@localhost -p 6262

OT: pokud nemáš důvěryhodnou VPS (např. protože si myslíš že poskytovatel VPS šmíruje), není dobré se přihlašovat z ní, protože ti unesou session a nainstalujou tam malware. Dá se protunelovat zase opačně (-L 6262:localhost:6262) na tvůj desktop.

[MilanK]

na marodPC.cz vyběhne: connect_to 127.0.0.1 port 22: failed

Kde je zrada?

Máte na obou počítačích tutéž distribuci? Není to tak dlouho, co mne překvapil Arch Linux, neb s novým SSHD vypadla výchozí podpora starých "ciphers" (viz man sshd_config) a z některých klientů jsem se pak nemohl připojit.

Řešením tuším bylo doplnit do sshd_config všechny standardní ciphers + některé "zastaralé".

[Jendа]

Především by k řešení přiblížilo spuštění ssh s -vvv a pokus o připojení telnetem (vypíše banner).

Já už fakt musím napsat nějaký network troubleshooting handbook, tohle je v každém druhém dotazu.

[MilanK]

Haha, osobně bych řekl, že bude snažší přeinstalovat ten TeamViewer než debugovat SSH

BTW: pokud se uživatelka@marodPC nechá přemluvit k debuggování, mohlo by pomoci, že Skype umí nasdílet obrazovku (read-only). Je to mnohem rychlejší, než poslouchat nápodobu ORCA screen readeru uživatelkou.

[nobody]

haha, osobne si myslim ze ses mimon ;) viz z dotazu:
"se rozbil i TeamViewer a závislosti balíčků, tudíž nedokáži jednoduše odnavigovat instalaci"

a to tezko pak uzivatelka maroda bude cokoliv instalovat aby ziskal tazatel vzdaleny pristup, kdyz samotna nemoznost instalace je duvod k potrebe toho vzdaleneho pristupu ;)

a i do budoucna rozhodne bude lepsi mit zprovoznen ssh/vnc tunel, nez spolehat na proprietarni reseni Skype ci TeamViewer ;)
v pripade TeamViewer se navic jedna nejen o uzavreneho klienta, ale i uzavrenej daemon bezici pod rootem(ve vychozim stavu dokonce i kdyz klient nebezi), navic TeamViewer bezi pod Wine protoze nejde o nativni GNU/Linux app, ale o Widloidni...

[Max]

Tak to máš problém. Teamviewer je v tomto asi bezkonkurenčně nejlepší :-/. Dřív se dal používat Logmein, ale ten zpoplatněli. Pokud Teamviewer nejede, tak pak jedině asi opravdu to ssh, nebo openvpn a na dálku si pak přes ssh spustit vnc server, který nebude nejrychlejší. Nic víc mně nenapadá.
Zdar Max

[diggit]

Jak tady bylo zmíněno, ke vzdálenému přístupu slouží ssh. Protunelování se přes všechny naty a fw pak zajistí nějaká vpn, n2n je fajn a má snad i GUI.

[Jendа]

Předpokládám že ten počítač není na Internetu (ale za NATem). Pošli tam skript, který

• Rozbalí privátní klíč a předkonfigurovaný known_hosts
• Zapíše tvůj veřejný klíč do authorized_keys
• Spustí sshd
• Udělá ssh -R 6666:localhost:22 user@tvujstroj

Pokud je ten počítač tak dorozbitý že neběží sshd, buď bych tam deploynul dropbear (lze vykrást třeba z initramdisku) nebo bych se inspiroval výsledky vyhledávání "netcat backdoor" (případně opět staticky slinkovaný netcat, snad je v busybox-static).