☰

vsftpd와 함께 /bin/false 사용 - 이것이 어떻게 보안 문제가 될 수 있습니까?

tag-icon • tag-icon ssh security vsftpd
vsftpd와 함께 /bin/false 사용 - 이것이 어떻게 보안 문제가 될 수 있습니까?

vsftpd허용된 사용자 파일을 사용하고 있습니다 .

사용자는 vsftpd성능상의 이유로 FTP를 사용하므로 비밀번호를 쉽게 도난당할 수 있습니다.

vsftpd "chroot"옵션이 활성화되어 사용자가 홈 디렉터리를 떠날 수 없습니다.

러닝 도 있고 sshd,"비밀번호 확인이 활성화되었습니다".

/bin/falsevsftpd 사용자가 로그인을 비활성화하도록 쉘을 설정했습니다 .SSH.

질문: 사람들은 어떻게, 무엇을 할 수 있나요?SSH, 그들이 훔쳤다면비밀번호? 로컬 사용자가 아닌 원격 사용자입니다.

지금까지 나는 그것이 사용될 수 있다는 것을 읽었습니다."TCP 전달"(?) 하지만 이로 인해 피해가 발생하지는 않을 것입니다. 즉, 서버의 파일에 액세스할 수 없다는 의미입니다.

그들은 사용할 수 있습니다SCP,SFTP어떻게든? 아니면 일종의 비대화형 쉘인가요?

답변1

가능하다면 인터넷(TCP 포트 22)에서 SSH를 차단하세요. 하루 종일 봇이 비밀번호를 시도하게 될 것입니다. 원격 SSH 액세스가 필요한 경우 VPN을 사용하거나 적어도 SSH를 비표준 포트에 배치하거나 연결할 수 있는 IP 주소를 제한하는 것을 고려하세요.

셸을 변경하는 것은 좋은 첫 번째 단계이지만 다른 기능을 사용할 수 없도록 하고 최대한 감옥에 가두기를 원합니다. TCP 전달은 꽤 큰 문제입니다. 기본적으로 연결을 VPN 및 프록시로 사용하므로 공격자가 방화벽 뒤의 네트워크에 있을 수 있습니다. 그들은 이를 사용하여 내부 호스트를 공격하거나 네트워크의 다른 호스트에 대한 공격을 시작할 수 있습니다. SSH 포트를 노출하는 경우 sshd_conf수행할 수 있는 작업을 줄이도록 수정하세요.

DenyGroups ftpusers               ....if they shouldn't SSH/SFTP at all

Match group ftpusers              ....whatever group you've assigned to the accounts
    AllowTcpForwarding no
    X11Forwarding no
    ForceCommand internal-sftp
    ChrootDirectory /home/ftpuser ....or some other safe place, like an empty folder.

두 번째 옵션은 SSH 대신 SFTP를 사용하려는 경우 유용할 수 있습니다. 일치하는 패턴을 봅니다 man sshd_config.

관련 정보