Wie schaltet man bei SSH die SOCKS-Proxy-Fähigkeit ab? [Gelöst]

[jmar83]

Hallo zusammen

Habe festgestellt dass man (zumindest unter Window$) mit einer Kombination auf dem "Bitvise SSH Client" und "SocksCap64" quasi ein Loch in die Firewall eines Remote root-SSH-Accounts bohren kann und damit dann vollen Zugriff auf das entfernte Subnetz hat. Dies kann zwar einerseits ein Vorteil und erwünscht sein - andererseits ist es ein klares Sicherheitsrisiko.

FRAGE: Angenommen ich möchte dies ausschalten: Was muss man dabei machen, etwa unter /etc/ssh... ?


Vielen Dank für die Feedbacks.

[TRex]

Code: Alles auswählen

AllowTcpForwarding No

in der sshd_config.

[jmar83]

Vielen Dank!!

[uname]

Etwas offtopic:
Putty.exe hat im übrigen mit Plink.exe auch einen tollen textbasierten SSH-Client der auch Port-Forwarding unterstützt.
Natürlich ist als Shell auf dem Remote-Server/bin/false ausreichend (Option -N).

Hat denn der Benutzer Zugriff auf dem SSH-Server per Shell?
Denn dann hilft "AllowTcpForwarding No" nur bedingt.

Auch ohne Unterstützung durch SSH könnte ein User mit einem vollwertigen (SSH-)Login dasselbe Ziel erreichen, etwa mit Hilfe von Netcat (»nc«). Dazu müsste er einen Netcat-Server und einen Netcat-Client über eine SSH-Shell-Pipe verbindet. Die Direktive »AllowTcpForwarding no« in der Serverkonfiguration »sshd_config« ist aus diesem Grund nur bedingt wirksam.

Das mit SOCKS verstehe ich nicht ganz.
Wobei SOCKS ist hier wohl auch eher weniger das Problem. Ich wusste gar nicht, dass es das Protokoll noch gibt.
Aber selbst über weitaus restriktivere HTTP-Proxies kann man so einiges drüberziehen siehe z. B. connect-proxy.
Mit sslh kann man versuchen auf dem Zielsystem den SSH-Server zu verstecken falls das mal jemand braucht.

[jmar83]

Vielen Dank für dein Feedback!!

[wanne]

Warscheinlich kommt die antwort zu spät. Aber dir sollte klar sein, dass das nur ein shortcut ist. Mit einem einfachen socat/ncat kannst du die Funktionalität einfach nachbauen. – Und zwar sogar ohne root-rechte. Denn beide Programme kann man ohne Installation nutzen. netcat wird deswegen von vielen Virenscannern als Malware erkannt. – Aus dem Grund gibt es unzählige Tools die die zuverlässig verstecken. Jedes Malwarekit kann das. Am Ende ist das halt die Grenze was Firewalls machen können. SSH ist verschlüsselt und sobald du eine Verschlüsselte Verbindung ins Netz zulässt können da halt beliebige Daten durch. Entweder du killst den SSH oder du musst akzeptieren, dass jeder der den verwenden kann beliebig an allen Firewalls vorbei kommunizieren kann.
Deswegen machen Leute die Netzwerke verstanden haben Zero-Trust-Servives und keine Firewalls.

[eggy]

Und wenn schon root ... dann kann der ja eh machen, was er will ... incl. ssh umconfen

[jmar83]

Ja klar, momentan verwende ich (noch) root. Später müsste der SSH-Zugriff natürlich restriktiver sein...