Eochracha SSH anaithnide a aimsiú agus a bhaint

Go achomair: Chun eochracha SSH anaithnide a aimsiú, caithfidh tú gach comhad authorized_keys ar an bhfreastalaí a sheiceáil, ní ceann root amháin. Faigh amach le sshd -T cé na comhaid a léann do sheirbhís SSH, liostaigh méarloirg gach eochrach agus cuir i gcomparáid iad leis na heochracha aitheanta. Cosain iontrálacha coimhthíocha ar dtús, bain ansin iad agus cruaigh an rochtain ina dhiaidh.

An eochair a mhaireann gach athrú pasfhocail

Tar éis teagmhais athraíonn go leor oibreoirí gach pasfhocal mar chéad rud. In aghaidh ceann de na cúldoirse is lú suntais ní chabhraíonn sé sin: eochair phoiblí bhreise i gcomhad authorized_keys. An té a bhfuil an eochair phríobháideach chomhfhreagrach aige, logálann sé isteach gan pasfhocal, go dtí go bhfaigheann duine éigin an líne.

Dá bhrí sin tá eochracha SSH anaithnide i measc na gcomharthaí ar cheart iad a sheiceáil i gcónaí tar éis rith cóid. Do PHP2Shell níl aon Indicators of Compromise foilsithe agus deimhnithe ann; tá an brath bunaithe ar anailís iompair. Ní fianaise shonrach PHP2Shell é eochair choimhthíoch, ach comhartha soiléir gur theastaigh rochtain bhuan ó dhuine. Déanann An bhfuil mé sáraithe cheana? cur síos ar chomharthaí eile.

Cá bhfuil eochracha SSH ar an bhfreastalaí

De réir an doiciméadúcháin, léann OpenSSH dhá chomhad de réir réamhshocraithe in eolaire baile gach úsáideora: .ssh/authorized_keys agus .ssh/authorized_keys2. Déantar dearmad ar an dara ceann go minic. Is féidir an socrú a athrú, agus le AuthorizedKeysCommand is féidir leis an bhfreastalaí eochracha a fháil fiú ó chlár seachtrach. Dá bhrí sin seiceáil ar dtús cad atá i bhfeidhm i ndáiríre ar do fhreastalaí:

# An chumraíocht SSH éifeachtach a aschur (léitheoireacht amháin)
sudo sshd -T | grep -iE '^(authorizedkeysfile|authorizedkeyscommand|permitrootlogin|passwordauthentication|pubkeyauthentication)'

# Comhaid chumraíochta bhreise agus bloic Match
ls -la /etc/ssh/sshd_config.d/ 2>/dev/null
sudo grep -rn -iE '^\s*(Match|AuthorizedKeys)' /etc/ssh/

Is áit speisialta é eolaire baile úsáideora an fhreastalaí gréasáin. Faoi Debian agus Ubuntu is minic /var/www é do www-data. Má tá an t-eolaire seo inscríofa ag PHP, is féidir le cód a cuireadh isteach .ssh/authorized_keys a chruthú ann. An n-éireoidh leis an logáil isteach ansin, braitheann sé ar an sliogán logála isteach agus ar shocruithe SSH, ach is comhartha aláraim cheana féin é an comhad féin.

Ní mailíseach gach iontráil anaithnid. Cuireann uirlisí imscartha, seirbhísí cúltaca nó sean-soláthraithe seirbhíse eochracha dá gcuid féin i bhfeidhm. Ach ba cheart úinéir agus cuspóir aitheanta a bheith ag iontrálacha den sórt sin.

authorized_keys a sheiceáil: céim ar chéim

Ní athraíonn na horduithe seo aon ní. Liostaíonn siad gach comhad eochrach d'úsáideoirí agus taispeánann siad an mhéarlorg do gach eochair:

# Gach comhad authorized_keys in eolairí baile gach úsáideora
getent passwd | cut -d: -f1,6 | while IFS=: read -r user home; do
  for f in "$home/.ssh/authorized_keys" "$home/.ssh/authorized_keys2"; do
    [ -f "$f" ] && echo "== $user: $f" && sudo ls -la --time-style=full-iso "$f"
  done
done

# Méarloirg agus nótaí tráchta comhaid a thaispeáint
sudo ssh-keygen -lf /root/.ssh/authorized_keys

# Comhaid eochracha eile lasmuigh de na gnáthbhealaí
sudo find / -xdev -name 'authorized_keys*' 2>/dev/null

Téigh tríd an toradh leis an seicliosta seo:

1. An mbaineann gach eochair le duine aitheanta nó seirbhís aitheanta? Cuir na méarloirg i gcomparáid, ní an nóta tráchta amháin.
2. An bhfuil eochracha ag úsáideoir nár cheart go mbeadh aon cheann aige? Mar shampla úsáideoir an fhreastalaí gréasáin, cuntais bhunachair sonraí nó seirbhíse.
3. An bhfuil roghanna roimh an eochair? Ritheann iontrálacha le command= ordú seasta le gach logáil isteach. Tá sé dleathach do chúltacaí, ach is áit folaithe é freisin.
4. Cathain a athraíodh an comhad go deireanach? Tuilleann dáta athraithe tar éis an 17.10.2026, an chéad iarracht ionsaithe PHP2Shell a breathnaíodh de réir tuarascálacha meán, aird speisialta. Is féidir stampaí ama a fhalsú, áfach.
5. An bhfuil an t-úinéir agus na cearta ceart? Tarraingíonn comhad a bhaineann le húsáideoir eile ná an t-eolaire baile aird.

Eochracha coimhthíocha a bhaint go sábháilte

Sula scriosann tú líne, cosain an comhad le stampa ama agus suim sheiceála lasmuigh den fhreastalaí. Tabhair faoi deara méarlorg na heochrach coimhthíche. Cabhraíonn sé níos déanaí leis an gceist an dtagann an eochair chéanna chun solais ar fhreastalaithe eile, mar shampla ag gníomhaireacht le go leor córas custaiméirí.

Seiceáil freisin na logaí logála isteach. In /var/log/auth.log (Debian, Ubuntu) nó /var/log/secure (teaghlach RHEL) taifeadann an tseirbhís SSH logálacha isteach rathúla le méarlorg na heochrach a úsáideadh. Ar an gcaoi sin feiceann tú an úsáideadh an eochair choimhthíoch cheana agus ó cén seoladh.

Smaoinigh ar an treo eile freisin. Má tá eochracha príobháideacha ar an bhfreastalaí, mar shampla faoi ~/.ssh/id_* le haghaidh imscartha nó cúltacaí, d'fhéadfadh ionsaitheoir iad a chóipeáil. Leo, d'fhéadfadh sé freastalaithe eile, stórtha Git nó spriocanna cúltaca a shroicheadh. Meastar eochracha den sórt sin a bheith ídithe tar éis briseadh isteach: eochracha nua a chruthú agus na cinn shean a bhaint ar gach córas sprice.

Is annamh gurb é eochair choimhthíoch an t-aon rian. An té a chuir isteach í, bhí cearta scríofa aige agus b'fhéidir gur shocraigh sé bealaí eile, mar shampla cronjobs nó cuntais bhreise. Seiceáil dá bhrí sin cronjobs folaithe agus cuntais riaracháin choimhthíocha freisin. Má bhí cearta root ag an ionsaitheoir, is minic go bhfuil atógáil an fhreastalaí níos iontaofa ná glanadh.

Rochtain SSH a chruatú ina dhiaidh

Tar éis an ghlantacháin is fiú cruatú gairid. Cuirtear an chuid is mó de na pointí i bhfeidhm go tapa, ach ba cheart iad a thástáil i gcónaí le dara seisiún oscailte ionas nach gcuireann tú tú féin amach.

Coinnigh freisin liosta de gach eochair údaraithe le húinéir agus cuspóir. Nuair a fhágann fostaí nó soláthraí seirbhíse, baintear a eochair ar gach freastalaí. Gan an liosta seo, is obair bleachtaireachta arís í an chéad seiceáil eile. Tá treoracha cruaithe SSH aitheanta sna CIS Benchmarks freisin.

Conas a chabhraíonn PHP SOS go praiticiúil?

• Aimsímid cé na comhaid eochrach a léann do sheirbhís SSH i ndáiríre, agus seiceálaimid gach iontráil i gcoinne na n-úinéirí aitheanta.
• Cosnaímid faighte agus measaimid na logaí logála isteach chun a shoiléiriú an úsáideadh eochair choimhthíoch.
• Glanaimid eochracha, cuntais agus cronjobs san ord ceart agus dúnaimid an leochaileacht roimh ré.
• Faoi chuimsiú Chruatú Freastalaí cuirimid na socruithe SSH i bhfeidhm agus bunaímid bainistiú eochracha le liosta úinéirí.

Ceisteanna coitianta

Foinsí

• BSI: Nótaí faoi theagmhais slándála TF
• php.net: fógraí slándála
• CIS Benchmarks