一定期間更新がないため広告を表示しています
<< はかるだけダイエット | main |
ssh iphone -l root
- 2012.03.02 Friday
- パソコン
- 00:35
- comments(0)
- trackbacks(0)
- by Desperado400X
もしもiPhoneをJailbreakしてOpenSSHも導入した場合、デフォルトでsshサービスが有効になってる上に、0.0.0.0:22でssh接続を待ち受ける太っ腹なのだ。
携帯電話のネットワークでグローバルIPアドレスをもらっちゃったりした日には、インターネットのどこからでも例のパスワードで管理者権限でログインできちゃうのだ。ヒャッハー。
そういうわけで、もちろん使わないときはsshdを切っておくのは当然として、うっかりsshdを切り忘れたときに備えて「まあとりあえずこれだけやっといてその他の対策はおいおい考えることにするか、、」のTo Do。
その1. 例のパスワードは変える
その2. rootログインとかsu -をできなくしておく
その3. sshdが0.0.0.0:22でListenするのを変える
携帯電話のネットワークでグローバルIPアドレスをもらっちゃったりした日には、インターネットのどこからでも例のパスワードで管理者権限でログインできちゃうのだ。ヒャッハー。
そういうわけで、もちろん使わないときはsshdを切っておくのは当然として、うっかりsshdを切り忘れたときに備えて「まあとりあえずこれだけやっといてその他の対策はおいおい考えることにするか、、」のTo Do。
その1. 例のパスワードは変える
その2. rootログインとかsu -をできなくしておく
その3. sshdが0.0.0.0:22でListenするのを変える
◆◆◆
1. 例のパスワードを変更
・mobileのパスワードを変更する
※変更後のパスワードでmobileユーザーでログインできることを確認しておく。
2. rootログインとかsu -をできなくする
・その前にmobileユーザーがsudoを使えるようにしとく
・cydiaからsudoを導入
・sudoers編集
・rootのパスワードはmaster.passwd上で*にする
→ rootアカウントでパスワードログインできなくなる
→ 一般ユーザーから su - でrootになれなくなる
※ついでに、mobileとrootのログインシェルをshからbashにするとか。
・sshd_config編集
※ここでは、LANでiPhoneに固定IP: 192.168.1.200を振り、そのアドレスでListenするように設定する手順。
・iPhoneに家庭内LANで固定IPアドレスを振るように設定
→ ルーターやらご家庭内DHCPサーバー側で適切な設定を。万歳。
→ もしくはiPhoneのWifi設定で静的IP設定すればいいんだった。
・sshdはその固定IPでしかListenしないように設定変更
※どんなに頑張ってsshd_configに設定書いても無駄なところが落とし穴なのだ。
以上。
tcp 22(sshd)のLISTENが192.168.1.200になっていればOK。
ところでiPhone側のsshdのLISTENを127.0.0.1:22にして、iPhoneTunnel経由でssh接続するようにすれば、Dockコネクタと母艦のUSB接続経由だけでしかsshで接続できなくなるので安心度がさらにアップ。ただiOS5になってからiTunesとのwifi同期が実現したお陰で母艦とUSB接続すること自体が面倒に感じるようになったので、iPhoneTunnel経由のUSB接続時のみssh接続できるつう運用はやめてしまいました。
---
このエントリーを公開する前に、iPhoneTunnelを再確認していたら、iPhoneのOpenSSHを安全に使う設定(iPhone.goodegg.jp)ってサイト/エントリーを見つけました、、。鍵認証とか、AllowUsersとか、うん、向こうのがいいよ。
1. 例のパスワードを変更
・mobileのパスワードを変更する
$ passwd
または
# passwd mobile
※変更後のパスワードでmobileユーザーでログインできることを確認しておく。
2. rootログインとかsu -をできなくする
・その前にmobileユーザーがsudoを使えるようにしとく
・cydiaからsudoを導入
・sudoers編集
# visudo※お馬鹿さんなsudoers設定ですいません。設定後はmobileユーザーがsudoできるようになったことをきっちり確認しておく。rootログインとsu -を不可にした後で設定ミスに気づいたときは、とりあえず寝る。明日は直ってるかもしれないし。(iPhoneExplorerとか使えば直せそう)
以下追加
%mobile ALL=(ALL) ALL
・rootのパスワードはmaster.passwd上で*にする
# vipw
→ rootアカウントでパスワードログインできなくなる
→ 一般ユーザーから su - でrootになれなくなる
※ついでに、mobileとrootのログインシェルをshからbashにするとか。
・sshd_config編集
# vi /etc/ssh/sshd_config3. sshdが0.0.0.0:22でListenするのを変える
以下追加
PermitRootLogin no
※ここでは、LANでiPhoneに固定IP: 192.168.1.200を振り、そのアドレスでListenするように設定する手順。
・iPhoneに家庭内LANで固定IPアドレスを振るように設定
→ ルーターやらご家庭内DHCPサーバー側で適切な設定を。万歳。
→ もしくはiPhoneのWifi設定で静的IP設定すればいいんだった。
・sshdはその固定IPでしかListenしないように設定変更
※どんなに頑張ってsshd_configに設定書いても無駄なところが落とし穴なのだ。
# vi /Library/LaunchDaemons/com.openssh.sshd.plist
下記・赤字のところを追加
<dict>
<key>SockServiceName</key>
<string>ssh</string>
<key>SockNodeName</key>
<string>192.168.1.200</string>
</dict>
設定の反映
# launchctl unload -w /Library/LaunchDaemons/com.openssh.sshd.plist
# launchctl load -w /Library/LaunchDaemons/com.openssh.sshd.plist
以上。
tcp 22(sshd)のLISTENが192.168.1.200になっていればOK。
iPhone:~ mobile$ netstat -anp tcp
Active Internet connections (including servers)
Proto Recv-Q Send-Q Local Address Foreign Address (state)
tcp4 0 0 192.168.1.200.22 *.* LISTEN
(以下略)
ところでiPhone側のsshdのLISTENを127.0.0.1:22にして、iPhoneTunnel経由でssh接続するようにすれば、Dockコネクタと母艦のUSB接続経由だけでしかsshで接続できなくなるので安心度がさらにアップ。ただiOS5になってからiTunesとのwifi同期が実現したお陰で母艦とUSB接続すること自体が面倒に感じるようになったので、iPhoneTunnel経由のUSB接続時のみssh接続できるつう運用はやめてしまいました。
---
このエントリーを公開する前に、iPhoneTunnelを再確認していたら、iPhoneのOpenSSHを安全に使う設定(iPhone.goodegg.jp)ってサイト/エントリーを見つけました、、。鍵認証とか、AllowUsersとか、うん、向こうのがいいよ。
- コメント
- コメントする
- この記事のトラックバックURL
- トラックバック
- calendar
-
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30
- since 01/20/2006
- d400xのTwitter
- selected entries
-
- ssh iphone -l root (03/02)
- categories
- archives
-
- March 2012 (1)
- July 2011 (2)
- June 2009 (1)
- February 2009 (1)
- January 2009 (1)
- July 2008 (2)
- March 2008 (1)
- August 2007 (1)
- June 2007 (1)
- May 2007 (4)
- April 2007 (2)
- March 2007 (5)
- February 2007 (2)
- January 2007 (1)
- December 2006 (2)
- November 2006 (3)
- October 2006 (2)
- September 2006 (5)
- August 2006 (3)
- July 2006 (6)
- June 2006 (5)
- May 2006 (9)
- April 2006 (16)
- March 2006 (22)
- February 2006 (26)
- January 2006 (19)
- November 2005 (3)
- October 2005 (1)
- September 2005 (5)
- August 2005 (12)
- recent comment
-
- 執事二階堂
⇒ jordan 11 (03/26) - Microsoft Updateが終わらない&svchost.exeが高負荷
⇒ hermes handbags (03/24) - ターンリテーナーをかける前にかならずカートをマッシュルームにロックすること
⇒ puma fenty slippers (03/03) - Power Shellで書いてみる
⇒ yeezy boost 350 (02/26) - 嗅覚障害な人生
⇒ まな (12/27) - 嗅覚障害な人生
⇒ 村野拓司 (10/17) - USBメモリのデータ復旧・復元顛末記
⇒ USBデータ復元 (02/06) - USBメモリのデータ復旧・復元顛末記
⇒ kiko (12/18) - USBメモリのデータ復旧・復元顛末記
⇒ USBメモリ復元 (01/14) - 嗅覚障害な人生
⇒ 通りすがり (02/18)
- 執事二階堂
- recent trackback
-
- そのボケはいいかげんにしなさい
⇒ なまら倶楽部 (06/28) - お姉さんには申し訳ないが、なんとかカーテンを安く
⇒ カーテンの思い入れ (06/25) - ドライ、便所ケータイ、ドライ(3)
⇒ 設備を調べる (05/26) - Microsoft Updateが終わらない&svchost.exeが高負荷
⇒ ちらみの記録 (04/15) - 木魚dance
⇒ CAR Mania (05/12) - 昭和55年→平成18年
⇒ □film-navi〔フィルムナビ〕 (04/23) - 張り紙-大きな敗北と小さな勝利について
⇒ ユルメらいふ (02/17)
- そのボケはいいかげんにしなさい
- profile
- search this site.
- mobile
-
- sponsored links