ssh nur im lokalen netzwerk erreichbar machen

[mfhg]

Hi, wie man am theard schon erkennen kann moechte ich gern wissen wie ich einstellen kann das ich mich via ssh auf mein server nur im lokalen netzwerk anmelden kann und dann nur als normalen benutzer und nicht als root?

schonmal thx 4 help!

[taylor]

ListenAddress 192.168.bla.blub
AllowUsers bla blub

[mfhg]

kommt das in der ssh_config?

[taylor]

sshd_config!

Falls noch was offen ist, lies doch einfachmal die Manpage, da steht das alles beschrieben.

[mfhg]

kann ich bei ListenAdress ein kommer machen wenn ich mehrer adressen einfügen will?
oder kann ich mittels 10.20.30.2-7 ein ganzen wertebereich angeben?
und muss ich PermitRootLogin auf no stellen?

[taylor]

Original geschrieben von taylor
Falls noch was offen ist, lies doch einfachmal die Manpage, da steht das alles beschrieben.
:rolleyes:

ListenAdress ist die IP des gewünschten Netzwerk-Devices.

Und ja, stell halt PermitRootLogin auf No, wenn Du's nicht willst. Dafür wird das wohl sein.

[mfhg]

hää wie jetzt?

was kommt denn nun bei Listenadress hin? die ip von der netzwerkkarte wo sshd nur zugriff haben soll? oder kommen da die adressen hin wo sshd zugriffe zulassen soll?

[taylor]

Nein, ich weigere mich Dir das vorzulesen. Steht klipp und klar in der Manpage, alle relevanten Optionen sind ja genannt.

Für mich ist hier Ende.

[mfhg]

ok ich hab es jetzt auch die manpage gelesen und alles eingestellt, nun eine andere frage wie kann ich sshd restarten damit die neuen funktionen gehen?

[mfhg]

ach habs schon selber rausgefunden: /etc/init.d/ssh restart

und nochmals thx an taylor fuer seine durchaus nette hilfe ;)

[BLUESCREEN3D]

als root: service sshd restart

[mfhg]

ich hab da noch ne andere frage:

ich hab jetzt mal von ein freund von aussen mit nmap mein server durscannen lassen darauf kam folgendes zu tage: 7/tcp filtered echo

wie kann das sein?
ich hab mal mittels ps -ax | grep echo durchschauen lassen, aber nichts zu finden von ein echo? liegt das jetzt an den neuen optionen von ssh? oder hat das ne andere ursache?

[taylor]

Warscheinlich läuft der (x)inetd und bieten diesen Service an.

[mfhg]

hmm.... wie kann ich checken ob es zu inetd gehört oder nicht?

[mfhg]

irgendwie hab ich die ******* vermutung das jemand ein rootkit auf mein server installiert hat.

[HangLoose]

Original geschrieben von mfhg
hmm.... wie kann ich checken ob es zu inetd gehört oder nicht?

in dem du ihn stopst sofern er läuft.

Gruß HL

[mfhg]

hmm.... ich habs so gemacht:

# /etc/init.d/echo stop
bash: /etc/init.d/echo: No such file or directory

aber es scheint so ob es da nix geben wuerde

[HangLoose]

Original geschrieben von mfhg
hmm.... ich habs so gemacht:

# /etc/init.d/echo stop
bash: /etc/init.d/echo: No such file or directory

aber es scheint so ob es da nix geben wuerde

wenn dann so

/etc/init.d/inetd stop oder /etc/init.d/xinetd stop


und dann nochmal nen portscan machen


Gruß HL

[mfhg]

es kommt das gleiche ergebniss raus

[mfhg]

ich hab mal chkrootkit laufen lassen, das ist rausgekommen:



./chkrootkit
ROOTDIR is `/'
Checking `amd'... not found
Checking `basename'... not infected
Checking `biff'... not infected
Checking `chfn'... not infected
Checking `chsh'... not infected
Checking `cron'... not infected
Checking `date'... not infected
Checking `du'... not infected
Checking `dirname'... not infected
Checking `echo'... not infected
Checking `egrep'... not infected
Checking `env'... not infected
Checking `find'... not infected
Checking `fingerd'... not found
Checking `gpm'... not found
Checking `grep'... not infected
Checking `hdparm'... not infected
Checking `su'... not infected
Checking `ifconfig'... not infected
Checking `inetd'... not infected
Checking `inetdconf'... not infected
Checking `identd'... not found
Checking `init'... not infected
Checking `killall'... not infected
Checking `ldsopreload'... not infected
Checking `login'... not infected
Checking `ls'... not infected
Checking `lsof'... not infected
Checking `mail'... not infected
Checking `mingetty'... not found
Checking `netstat'... not infected
Checking `named'... not found
Checking `passwd'... not infected
Checking `pidof'... not infected
Checking `pop2'... not found
Checking `pop3'... not found
Checking `ps'... not infected
Checking `pstree'... not infected
Checking `rpcinfo'... not infected
Checking `rlogind'... not found
Checking `rshd'... not found
Checking `slogin'... not infected
Checking `sendmail'... not infected
Checking `sshd'... not infected
Checking `syslogd'... not infected
Checking `tar'... not infected
Checking `tcpd'... not infected
Checking `tcpdump'... not infected
Checking `top'... not infected
Checking `telnetd'... not found
Checking `timed'... not found
Checking `traceroute'... not found
Checking `vdir'... not infected
Checking `w'... not infected
Checking `write'... not infected
Checking `aliens'... no suspect files
Searching for sniffer's logs, it may take a while... nothing found
Searching for HiDrootkit's default dir... nothing found
Searching for t0rn's default files and dirs... nothing found
Searching for t0rn's v8 defaults... nothing found
Searching for Lion Worm default files and dirs... nothing found
Searching for RSHA's default files and dir... nothing found
Searching for RH-Sharpe's default files... nothing found
Searching for Ambient's rootkit (ark) default files and dirs... nothing found
Searching for suspicious files and dirs, it may take a while...
/usr/lib/cgi-bin/vqadmin/.htaccess

Searching for LPD Worm files and dirs... nothing found
Searching for Ramen Worm files and dirs... nothing found
Searching for Maniac files and dirs... nothing found
Searching for RK17 files and dirs... nothing found
Searching for Ducoci rootkit... nothing found
Searching for Adore Worm... nothing found
Searching for ShitC Worm... nothing found
Searching for Omega Worm... nothing found
Searching for Sadmind/IIS Worm... nothing found
Searching for MonKit... nothing found
Searching for Showtee... nothing found
Searching for OpticKit... nothing found
Searching for T.R.K... nothing found
Searching for Mithra... nothing found
Searching for OBSD rk v1... nothing found
Searching for LOC rootkit ... nothing found
Searching for Romanian rootkit ... nothing found
Searching for Suckit rootkit ... nothing found
Searching for Volc rootkit ... nothing found
Searching for Gold2 rootkit ... nothing found
Searching for TC2 Worm default files and dirs... nothing found
Searching for Anonoying rootkit default files and dirs... nothing found
Searching for ZK rootkit default files and dirs... nothing found
Searching for ShKit rootkit default files and dirs... nothing found
Searching for anomalies in shell history files... nothing found
Checking `asp'... not infected
Checking `bindshell'... not infected
Checking `lkm'... nothing detected
Checking `rexedcs'... not found
Checking `sniffer'... Checking `w55808'... not infected
Checking `wted'... nothing deleted
Checking `scalper'... not infected
Checking `slapper'... not infected
Checking `z2'... nothing deleted


es sieht nich so aus ob irgendwas infiziert ist oder?

[Jasper]

Original geschrieben von mfhg

es sieht nich so aus ob irgendwas infiziert ist oder?

ist heute tag der trivialfragen?

-j

[mfhg]

aber die antwort mit den echo wurde immer noch nicht beantwortet.
wenn ich mein server im lokalen netzwerk scanne kommt die meldung nicht nur wenn man ihn von aussen scannt.

wie kann das sein?

[pid]

nano /etc/xinetd.d/echo-tcp
disable yes
/etc/init.d/xinetd restart

kthxbye

[mfhg]

pid: xinited gibt es bei mir nicht.

[pid]

xinited hab ich auch nicht,
aber xinetd oder dasselbe ohne x also inetd schon ;)
eines davon hast du auch ;)

[mfhg]

hmm... ich hab aber irgendwie kein echo-tcp....

[emba]

schau doch mal, was bei dir auf port 7 lauscht (ich schließe einfach mal aus 7/tcp filtered auf port 7)

netstat -tanp

manche scanner halten sich an RFC konventionen, wobei es nocht lang nicht heißen muss, dass auf port 7 dieser tcp-echo dienst läuft; es könnte genau so gut der sshd sein, als beispiel

greez

[mfhg]

bei netstat -tanp kommt folgendes raus:

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:80 0.0.0.0:* LISTEN 10121/apache
tcp 0 0 10.20.30.1:22 0.0.0.0:* LISTEN 32659/sshd
tcp 0 0 0.0.0.0:25 0.0.0.0:* LISTEN 29240/inetd
tcp 0 0 10.20.30.1:22 10.20.30.3:32888 ESTABLISHED 10569/sshd: mfhg [p


also ist es jetzt sshd? oder?

[emba]

mh, sieht auf den ersten blick net so aus, als ob auf port 7 tcp was lauscht
kannst ja schaun, ob auf port 7 udp noch was läuft (netstat -anup)

ansonsten mal ne aktuelle version von chrootkit versuchen, nen anderen scanner oder jmd., der dich von außen nochmal mit nmap scant

greez

[HangLoose]

moin mfhg

ich sags mal so, deine infos die du gibst sind bescheiden. ich hab dir weiter oben geraten, den inetd bzw. den xinetd zu stoppen und dann nochmal nen portscan zu machen. als nichtssagende aussage kam von dir




es kommt das gleiche ergebniss raus


worauf bezieht sich das? das du den inetd bzw. xinetd nicht stoppen konntest oder das trotz stoppens bei einem portscan noch immer echo auftaucht? wenn ich mir so deine netstat ausgabe ansehe, komme ich zu der annahme, das sich die aussage darauf bezog, das du den inetd nicht stoppen konntest.

ein paar klare info's wären schon hilfreich, wenn du hilfe erwartest.


Gruß HL