SSH その8

2014/04/25(金) 18:50:57.67
SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

■前スレ
SSH その7
http://toro.2ch.net/test/read.cgi/unix/1266323017/

■過去スレ
その6 http://pc12.2ch.net/test/read.cgi/unix/1202782840/
その5 http://pc11.2ch.net/test/read.cgi/unix/1145484540/
その4 http://pc8.2ch.net/test/read.cgi/unix/1102242908/
その3 http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
その2 http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
その1 http://pc.2ch.net/unix/kako/976/976497035.html
2016/05/12(木) 11:39:07.97
>>359
printf じゃない？
2016/05/12(木) 11:44:37.23
すみませんが詳しい方のみ回答をお願いします
362359
垢版 |
2016/05/12(木) 19:43:13.56
自己解決しました。アレはrandomart imageと呼ばれるものでした。
で、ツールはココ。

http://askubuntu.com/questions/602068/how-to-generate-randomart-of-anyfile
363名無しさん＠お腹いっぱい。
垢版 |
2016/05/29(日) 16:23:50.28
　　　　　　　　　　　　　　　　　　　「ホテル　放射能」　を建設しようかと、考え始めています。

　　　　　　　　　また、私たちの愚かな「放射能コワイ、コワイ」派の敵どもが、ギャーギャー騒ぐでしょう。
　　　本当に、この愚か者たちは、自分の脳に張り付いた放射能恐怖症で、救いようのない者たちだと、思います。

　　　　　　　１０年後に死ぬ、おそらくそのうちの多くは、子供たちだと、この馬鹿たちは、信じ込んでいる。
　　私は、呆（あき）れかえる。福島では、誰も死なない。発病して死ぬ者はひとりもいない。そのように断言します。

私の同志は、山下俊一（やましたしゅんいち）長崎大学教授　(現在は、福島県立医大副学長も兼任している)　である。　
山下教授らに、バッシングの嵐を浴びせた者たちは、ずるい逃げ方をするな。「私は、そんなことは言わなかったよ」と言うな。

福島で放射能にせいで癌になる（放射能による癌は甲状腺がんだけである）人はひとりも出ない、という専門医学者の高田純の表明を私は尊重する。　
専門家でもなく、放射能の人体への影響について、素人と同じくせに、偉そうに発言する者たちを、私たちは、厳しく排撃しなければならない。[1792]

どっちが福島の人間たちに対して、犯罪的か。「福島に近寄ってはいけない」と、実名で書いた者たちを、私たちは、記憶していなければいけない。
　　　私、副島隆彦が今も不愉快なのは、学問道場の会員を止（や）めた人が、１０００人ぐらい出たことだ。[1879]

　　　　　　「今も会員でいる人たちには、その人間としての余裕がある。］会員に求められる資質はこれである。
　　　　　　道場を退会した者たちは、まず自らの信念とは何かについて真剣に考えなければならない。[1880]



山下（俊一）先生が『汚染されたものを食べても大丈夫』とテレビで発表した後、
チェルノブイリで活動していたグループが山下先生に電話をしたら『立場上仕方がなかった』と答えた。
「山下（俊一）先生は ベラルーシｂﾌ状況を全部知ｂﾁています。そｂｵてその情報を荘S部秘密にしてｂ｢るんです。 だから秘密保全法なんです」――。
https://twitter.com/neko_aii/status/735476420361605120
364名無しさん＠お腹いっぱい。
垢版 |
2016/07/13(水) 21:20:29.88
ずいぶん長い間ほったらかしだったPoderosaが有償化して戻ってきてるぞ！
試用は無期限にできると言うが...
https://ja.poderosa-terminal.com/
2016/07/14(木) 12:17:06.42
さすがにその使用条件ではインストールして使ってみる気にもならない
2016/07/14(木) 12:31:21.24
だからteratermで十分なのだよ
2016/07/15(金) 00:52:49.81
ぼくは mintty ちゃん！

Windows10のコマンドプロンプトがちょっとマシになったそうだけどどうなの？
2016/07/16(土) 22:14:22.36
スレ違い
2016/07/25(月) 10:41:14.80
ではUbuntu on Windowsを有効にすると"Windows側に"sshサーバーがインストールされる話でもしようか
2016/09/05(月) 17:15:14.99
>>369
続きはまだぁ？
2016/09/25(日) 18:35:23.03
dropbearの話もここでいいの？
普段使いしてる人あんまいないかもだけど
2016/09/29(木) 23:55:07.98
俺はiterm2
2016/10/01(土) 12:44:56.18
31-168-172-143.telavivwifi.com とか
static-82-85-187-101.clienti.tiscali.it とか
bl20-203-6.dsl.telepac.pt とか
最近逆引きできる IP アドレスから突撃してくる奴が多いなぁ
2016/10/01(土) 19:59:49.47
ただのbotnetやろ…
2016/10/09(日) 10:56:58.62
dropbearのサーバーはOpenSSHにくらべて少し軽い気がする。
非力なマシンで使うと。
暗号負荷はそんな変わんないはずだから余計な前処理してないのかね
2016/10/15(土) 13:37:35.83
Rlogin、上の方で言われていたフォント設定が面倒な点も改善されてて
単一軽量exeファイルで動作するとてもよいクライアントだと思う

ただ普通にシェル叩いてるぶんにはいいんだけど
midnight comander使うと枠線がうまく表示されない
設定いじればいいのかなぁ
377名無しさん＠お腹いっぱい。
垢版 |
2016/11/03(木) 19:01:26.82
トリビア：OpenSSH 7.3p1 は OpenSSL 1.1.0b と組み合わせられない。1.0.x系のみ

誰かやってるはずだと思いながら自分で1.1.0対応パッチ書いて、
あとでやっぱ似たようなものがあると知ったorz
のだが、完成度では自分の書いたものが一番のようだ
378名無しさん＠お腹いっぱい。
垢版 |
2016/11/03(木) 19:03:42.42
大本のOpenBSDでは OpenSSL 1.0.3からforkした LibreSSL を使っているので
影響は受けないというか見捨てられている。
今後どうするのかは各所様子見みたいね。
2016/11/18(金) 08:47:06.12
1.0.1gからのフォークだね。

OpenSSHのMLでOpenSSL1.1.0サポートどうするよってなってるけど、結論出てないね。
抽象レイヤー独自で作るかなんてnode.jsも言ってたようなこと言ってたり。
http://marc.info/?t=147422463900001&;r=1&w=2
2016/12/02(金) 08:51:47.45
どうするんだろね(´・ω・`)
381名無しさん＠お腹いっぱい。
垢版 |
2016/12/20(火) 12:32:01.69
7.4
2016/12/21(水) 19:11:10.97
INSTALL

OpenSSL 1.1.x is not currently supported.

C89でもなんとかコンパイルできるのがまだ救いだ俺的には
383名無しさん＠お腹いっぱい。
垢版 |
2016/12/24(土) 10:28:34.71
OpenSSH 7.4p1 の OpenSSL 1.1.0c 対応パッチ作成完了。
テストも通る。

test_utf8だけ通らないが漏れんとこのwcwidth()が腐ってるせいなので
どうにもならん。放置。問題ないだろたぶん
2017/03/10(金) 19:05:33.71
macOSのsshの話もここでいい？
2017/03/10(金) 19:06:34.62
OSXは中身Unixやで、というわけでおk
2017/03/10(金) 20:01:42.99
Mac板でやった方がいいんじゃね
2017/03/10(金) 22:37:24.95
Sierraのcronで他の計算機のデータをssh越しに自動でバックアップしようとして、rsyncのシェルスクリプト作ってログイン中にterminalとcronで動くことを確認した。
ところが、ユーザーがloginしていないと、なぜかkeychainに保存されてるpassphraseがcronの環境に読み込まれないので、errorになるっていう問題だけどMac板いくわ
388名無しさん＠お腹いっぱい。
垢版 |
2017/03/11(土) 02:42:43.57
>>387
そりゃログインしてなかったらkeychainは使えないだろう
2017/03/11(土) 07:26:53.80
そう言われてみるとそうですね。
ありがとうございます。
390名無しさん＠お腹いっぱい。
垢版 |
2017/03/23(木) 23:07:16.33
7.5でOpenSSL 1.0.1ではconfigure通らなくなった
391ich1
垢版 |
2017/04/01(土) 08:06:01.73
https://goo.gl/QoUujp
これは嫌だなー。。本当なの？
2017/04/04(火) 10:09:54.33
goo.gl アドレスは無条件に非表示あぼ〜んすると良いです
（99.99%がスパムなので）
2017/04/04(火) 19:51:35.81
一方俺は OpenSSL-1.1.0 対応パッチを書いて勝利
今make test中 (超時間かかる)
2017/04/05(水) 10:06:26.88
OpenSSH 7.5 のハイライトらしきもの：
・ssh-1 を本格的に捨てにかかっている。一部のコマンドは -1 を受け付けない。
・UsePrivilegeSeparationがデフォルトONになり、設定はdeprecatedになった
・鍵認証でログインするとSHAハッシュが記録されるようになった。
　あとから追っかけるときに便利そう。(前からだっけ？)
Apr 5 09:28:12 saba sshd[27182]: Accepted publickey for ore from ::1 port 49525 ssh2: RSA SHA256:UfcrUWnSiFur5ra28VQoo7HgUShQueQ5LTnoJneZ48A


頑張ってOpenSSL-1.1に移植しても、
常用してるのはdropbearだからあんま意味ないじゃんと今更思った
2017/04/05(水) 12:44:28.64
>>394
Dropbearといえばmosh 1.3.0で--no-ssh-pty optionがはいってDropbearでも使えるようになったよ
オプションつけるのめんどいけど
2017/05/06(土) 12:01:52.59
ssh-1くたばった
2017/05/12(金) 02:00:27.48
ド素人スマソ。 OpenSSH Windows版ぶっ込んだサーバーpcにスマホのクライアントアプリからwolさせるSSHコマンドてある？
ググったらether-wakeてのが出たけどこれなの？
教えてエロい人
2017/05/12(金) 06:51:49.86
スマホ用のWake On LANアプリでよくね？
2017/05/12(金) 10:09:22.52
>>398 レスサンクス。スマホのwolアプリてパケットが暗号化されてるかよくわからないのでSSHでやれたら良いなぁと思った訳です。
2017/05/12(金) 18:10:39.13
>>399
何を何のために暗号化したいの
WOLはネットワークインタフェースカードの限られた部分で処理するから暗号化なんてしてたら処理できないんじゃ
2017/05/12(金) 18:18:57.58
MACアドレスとか入ってるからじゃない？
WiFiが暗号化されてれば問題ないはずだけどね
2017/05/12(金) 19:03:49.37
>>400>>401 レス感謝！ガチなド素人なもんでホントスマン。その暗号化が必要かどうかもわかってないもんで。
もともとは使ってる某NECルーターにある「ホームipロケーション」という簡易ddns機能的な奴を使って外部からwolをしようとしたら送信画面が暗号化されてない事に気付いて、これをなんとかしようと思った訳です。
よっぽどヤマハのルーターでも買ってやろかと思ったけどSSHサーバーぶっ込むの面白そうだなとチャレンジ中。
2017/05/12(金) 21:27:07.67
>>402
外部とルータ間の通信の暗号化は必要かもしれない
誰かが認証を盗聴したら同じことができてしまうからね

もしsshで接続できたとしたら、そのPCは起動しているだろうからWOLは不要

wake on lanはその名の通りLANで使うもの
同一ネットワーク内の全ての端末に簡単な通信パケットを送って各自がそれを見て自分宛だったら起動する
基本的には他のネットワークからは起動できない
だからルータにその機能がよくついている

外部端末とルータ間の通信の暗号化をお勧めする
またはVPNとか
2017/05/12(金) 22:03:21.63
>>403 エスパー発見！ありがとうございます。聞きたい事が全て先回りで答えが出てる感じ。やっぱVPNか。最初はpcをvpnサーバにしようかと思ってたところノーパソサーバ化&常時起動は火災の元みたいなスレ見てwolの適時起動にしようかと思ったの。
お騒がせしました。壮大なスレチでスマソ。
2017/05/12(金) 22:06:55.05
>>404
VPN鯖にしたいだけならラズパイみたいなボードPCをおすすめしておく
2017/05/12(金) 22:17:36.68
>>405 ラズパイ考えてた！スペックの低い端末を鯖にした時の通信速度が心配で候補から外してた。（あと敷居が高そうで）
メガサンキュー！方向性が見えてきた。
2017/05/12(金) 22:52:24.60
>>406
余程古い環境以外は通信速度のほうがボトルネックになるからそこまで気にしなくてもいいと思うけどなー、まあ敷居が高いのは言えてるが
2017/05/13(土) 06:11:14.50
ルータにVPNないなら
常時稼働ラズパイにsshで繋いでwolでも簡単だね
2017/05/13(土) 09:09:21.09
ここの人はスマホのSSHクライアント使ってる？
便利だけどすごく不安だわ
悪意のあるクライアントだと秘密鍵・パス・ホスト名を送信してるかもって思う
2017/05/13(土) 13:08:41.32
>>409
Connectbotとターミナルのdropbear使ってる、ソースあるし
2017/05/13(土) 22:43:39.42
なるほどオープンソースのクライアントを使えばいいのか
2017/05/14(日) 07:27:18.76
自分でビルドせずにストアから入れる場合は
そのソースから変更されないでビルドされてること確認しないとな

信頼できるディストリビューターって楽だな感謝
2017/05/15(月) 09:51:54.30
どういたしまして
2017/05/21(日) 03:07:43.78
いいってことよ
415名無しさん＠お腹いっぱい。
垢版 |
2017/06/27(火) 18:28:55.10
一度ログインできたホストに対して、コネクション落ちた後とか
何らかのきっかけで再ログインしようとした時に
「ssh_exchange_identification: Connection closed by remote host」
になる場合ってどういう原因でなりやすいの？

現状だと仮想マシンで運用しているからバックアップの仮想マシン
のスナショを新たに複製してそっちにはログインできる。
ログインできなくなったVMは使い捨ててるけど流石にめんどくさすぎる。
どうすれば効率よく再ログインできるようになる？
2017/07/04(火) 13:04:11.97
見たことなかったのでぐぐってみた。
sshd_configのMaxStartupsを増やすと解決することもあるらしい。
417名無しさん＠お腹いっぱい。
垢版 |
2017/07/09(日) 17:24:51.18
tor ってsshポートフォワードで不特定多数のサーバプロキシしてんの？
レイヤがよくわからん
2017/07/09(日) 23:38:21.08
>>417
sshスレにいるってことは公開鍵暗号を理解してる前提で説明すると
複数のtorノードをピックアップして各ノードの公開鍵で次のような入れ子の暗号データを作る
ノード1の公開鍵(ノード2の公開鍵(ノード3の公開鍵(オペレーション)))
ノード1が上のデータを受け取ると自分の秘密鍵で復号化してノード2に送る
ノード3まで来ると復号化した時にオペレーションが見えるので実行する
各ノードは最終ノード以外あといくつのレイヤがあるか分からない
2017/07/10(月) 01:56:21.15
>>418
うっわぁ・・・手が込んでるなこれ
接続結構遅くなるんじゃない？
鍵交換の猶予時間厳しくすればTorだけ弾けたりするのかな。
だめだ、最後のノードしか関係ないんだよな。
手動でしか鍵作ったことないけどssh-keygenとかそういう諸々は
自動化されてるのか？
転送先ってランダムなんでそ？
2017/07/10(月) 06:57:41.00
Torのスレでやった方がいいんじゃね
2017/07/15(土) 11:25:48.21
いまさら気づいたが
ESXi 6.0 入れたら
同梱の ssh が　dropbear じゃなくて OpenSSH のものになっていた。
2017/08/15(火) 14:16:08.91
CentOS7の、OpenSSH6.6を使ってます

マシンにはLANインタフェースが3つあり、1つはインターネットへ、2つは内部用です

ここで、インターネット用のインタフェースだけ、SSHのポートを例えば2222に変更、それ以外は標準の22で利用したいと思ってます

sshd_configに、port 2222、ListenAddressにIPアドレス:22と書けば良いという情報を見つけたのですが
このListenAddressをカンマ区切りやスペース区切りなど色々と試しましたが複数の指定はできないらしく、
また0.0.0.0:22を指定するとインターネット用インタフェースでも22番をリッスンしてしまいます

結局、sshd_configは諦めて、iptablesによるフィルタリングとポートフォワードを併用して実装はしているのですが、
sshとiptablesの両方が設定に絡んでいて、分かりづらくなっているのを改めたいです

sshd_configで上記のような設定をすることは可能ですか?
2017/08/15(火) 15:46:01.85
ListenAddressは複数行かけるだろ
2017/08/15(火) 15:47:02.20
Linuxの話はLinux板で聞いてください
2017/08/15(火) 22:46:28.19
>>423
複数行で
ListenAddress インターネット:2222
ListenAddress 内部1:22
ListenAddress 内部2:22
と書いたところ、うまくいきました

ありがとうございました
2017/10/04(水) 21:46:58.61
OpenSSH 7.6
・ssh-1プロトコル完全に捨て
・arcfour,blowfish,CAST捨て
・1024ビット未満のRSA鍵は受け付けない
・CBC cipherはデフォルトで提供しない

古いssh鯖だと1024ビット未満制限とかCBCに引っかかるところあるんじゃないかな？
2017/10/04(水) 22:18:08.06
RSA鍵長のデフォルトが1024ビットのときなんてあったっけ？
2017/10/04(水) 22:19:06.74
間違い
1024未満のとき
2017/10/04(水) 23:20:01.18
CBC捨てるのはナゼ？
昔、実装の問題があったのは覚えてるけど、仕様自体に問題があるの？
2017/10/18(水) 17:08:22.12
CBC自体にはPadding Oracleを防ぐ・検出する仕組みがない
2017/10/31(火) 09:57:53.95
>>424
UnixもLinuxの親戚なんだからいいだろ
2017/10/31(火) 10:43:50.94
ダメです
2017/10/31(火) 10:49:45.97
LinuxはUNIXではないんだが
2017/10/31(火) 11:50:48.99
>>430
それはそうだけど、sshとしてcbc使った場合、
実装に問題がなければpadding oracle攻撃は不可能じゃない？
2017/10/31(火) 12:15:05.05
>>433
それ言いだすとFreeBSDとかも除外されてしまう
2017/12/16(土) 19:15:52.16
Using the OpenSSH Beta in Windows 10 Fall Creators Update and Windows Server 1709
https://blogs.msdn.microsoft.com/powershell/2017/12/15/using-the-openssh-beta-in-windows-10-fall-creators-update-and-windows-server-1709/
2017/12/22(金) 18:51:19.12
Agent Forwardingは
A->B->Cって繋げていくとき
AからBの鍵とBからCの鍵が同じじゃないと出来ないと思うんですけど
あってますか？
2017/12/22(金) 20:17:45.61
>>437
必要な鍵は「AからBの鍵」と、「AからCの鍵」
それらは別の鍵でいい

「BからCの鍵」は不要だよ

それらをすべて同じ鍵にすると、BにはAの秘密鍵も公開鍵も配置する必要があり
真に重要な鍵(Aの秘密鍵)を他人(B)に預けずに済むというAgent Forwardingのメリットが
なくなってしまっているのでは
2017/12/23(土) 04:08:25.92
ありがとうございます。
まとめるとB→Cの鍵がいらないかわりにA→Cの鍵とA→B使う
ことですね。
440名無しさん＠お腹いっぱい。
垢版 |
2017/12/29(金) 07:03:23.63
誰でも簡単にパソコン1台で稼げる方法など
参考までに、
⇒　『宮本のゴウリエセレレ』 というブログで見ることができるらしいです。

グーグル検索⇒『宮本のゴウリエセレレ』

KMBRYP28K7
441名無しさん＠お腹いっぱい。
垢版 |
2018/02/05(月) 09:29:37.72
sshで接続されたとき、クライアント側のオプションによって
クライアントが、サーバに接続したときにポートフォワードの設定ができますよね

これをサーバ側からできませんか？
サーバが、クライアントから接続されたときにポートフォワードの設定をしたい
442名無しさん＠お腹いっぱい。
垢版 |
2018/02/06(火) 08:26:48.25
>>441
「サーバ側」の意味がよく分からないが、サーバ側でリスンしてクライアント側に繋ぐなら-Rでよいかと。
それとも繋いで来たクライアントにポートフォワードを強制させるサーバ側の設定があるかということ?
多分それは無理だと思う。
2018/02/08(木) 10:30:59.87
>>442
後者です

無理か・・・ まあ無理だよね。
2018/02/14(水) 09:20:46.82
☆ 私たち日本人の、を改正しましょう。現在、
衆議員と参議院の両院で、改憲議員が３分の２を超えております。
2018/04/09(月) 22:08:02.38
OpenSSH 7.7出たけど今回はあんま変わってないね。
yesと答えるところで yes hoge と入れると弾かれるとか
なんかどうでもいい修正も入ってる(expectとかの誤動作対策かな？)
2018/04/24(火) 21:58:54.21
sssssss
447名無しさん＠お腹いっぱい。
垢版 |
2018/04/25(水) 10:36:59.11
てすと
448名無しさん＠お腹いっぱい。
垢版 |
2018/04/25(水) 10:39:23.44
sshでログイン時に表示されるhow toのような物を表示させたくないので
その設定方法を教えて下さい
sshd_configで
PrintMotd no
Banner none
上記の設定でOSの起動時のメッセージは表示されなくなったけど
何種類かのhow toのような物がランダムな順序で表示される
2018/04/25(水) 10:40:35.07
追加です
●サーバー側
OS: FreeBSD 11.1
ssh: OpenSSH_7.2p2
●端末側
OS: Win7
sshクライアント: PuTTY
2018/04/25(水) 14:15:46.83
>>448
fortune のことかな。.login とかに
if ( -x /usr/bin/fortune ) /usr/bin/fortune freebsd-tips
とか書いてあるのを消せばいいのでは？
2018/04/25(水) 17:46:10.72
>>450
ありがとうございます

ssh用のログインユーザーの
~/.login
~/.profile
の2つのファイルに書かれていたので、コメントアウトしました
これで、すっきりしました
2018/04/28(土) 16:05:46.52
~/.hushloginをtouch
453名無しさん＠お腹いっぱい。
垢版 |
2018/05/22(火) 02:42:32.57
知り合いから教えてもらったパソコン一台でお金持ちになれるやり方
時間がある方はみてもいいかもしれません
グーグルで検索するといいかも『ネットで稼ぐ方法　モニアレフヌノ』

K9FUK
2018/08/26(日) 17:44:28.60
openssl-1.1.1-pre9 が出たので ライブラリだけ再コンパイルしたんだが
sshd って再コンパイルしてやらないと動いてくれないのな。
めんどくさい。
# `pwd`/sshd
OpenSSL version mismatch. Built against 10101008, you have 10101009
2018/10/13(土) 19:35:30.76
https://imgur.com/FAF05na.jpg
2018/10/28(日) 17:16:17.45
OpenSSH-7.9p1 って OpenSSL-1.1.x サポートするようになったのね。
パッチ当てなくてもconfigureも通るしコンパイルできる。

EVP_CipherInit_ex のパッチは必要でなくなったのかな？
457名無しさん＠お腹いっぱい。
垢版 |
2018/11/11(日) 19:15:52.32
http://r2.upup.be/wV2qsULdHm
2019/02/08(金) 20:47:38.70
ポートフォワード経由でWindowsファイル共有ってできるかな？
RDPはできてるんだが。
2019/03/29(金) 18:11:32.25
Solaris 11.4 の sshd (OpenSSH_7.5p1, OpenSSL 1.0.2o 27 Mar 2018) の設定なのですが

sshd_config に、

# Site local settings
Match Address *,!192.168.1.0/24
MaxAuthTries 0

のようにして指定のIPアドレス以外からの接続を拒否しています。
これに、あるドメイン（例： *hogehoge.com）からのアクセスも受け付けるようにしたいのですが
Match host *,!*.hogehoge.com
MaxAuthTries 0
のように記述を加えたらどこからもアクセスできなくなってしまいました。

Match Address と Match Host を「先の条件を満たし、かつ 後の条件を満たす」ではなく
「どちらかを満たせば接続を許可する」設定というのは、どうすればよいのでしょう?

Match address *,!192.168.0.0/24 and Mtach host *,!hogehoge.com
MaxAuthTries 0

なんて論理式書ければいいんですが そういうのは無いですよね?
ちなみに件の sshd には、tcp_wrappers はリンクされていません。
新着レスの表示
レスを投稿する

5ちゃんねるの広告が気に入らない場合は、こちらをクリックしてください。
ニューススポーツなんでも実況