Debian/Ubuntu - [решено] ssh логин пользователя с правами root

Jula0071 · Отправлено: **19:47, 20-02-2018** | #2

Цитата lxa85:

Есть пользователь user, подключиться по ssh, то whoami - скажет root
И прав он имеет как root. »

Есть одна мысль, user'у прописан uid=0.

El Scorpio · Отправлено: **01:01, 21-02-2018** | #3

Цитата lxa85:

Как это было настроено? Что за "лайфхак" вычитан в "интернетах" ? »

Не знаю.
Отсюда нам /etc/ssh/sshd_config вашего сервера не видно

lxa85 · Отправлено: **11:17, 21-02-2018** | #4

Jula0071, да, пользователю был присвоен 0 id.
Это я просмотрел в passwd, видать слишком офигев от такой наглости.

Jula0071 · Отправлено: **11:24, 21-02-2018** | #5

Итак, я построил лабу, чтобы проверить своё предположение.

Код:

root@lab-VirtualBox:~# usermod -u 0 testuser
usermod: UID '0' already exists

Ясно, стандартными средствами нельзя, редактируем ручками /etc/passwd:

Код:

testuser:x:0:0:,,,:/home/testuser:/bin/bash

То есть, прописываем нули в поля uid и gid.
Вуаля:

Код:

○ → ssh testuser@192.168.3.178
testuser@192.168.3.178's password:
Welcome to Ubuntu 16.04.3 LTS (GNU/Linux 4.13.0-32-generic x86_64)

 * Documentation:  https://help.ubuntu.com
 * Management:     https://landscape.canonical.com
 * Support:        https://ubuntu.com/advantage

0 packages can be updated.
0 updates are security updates.

Last login: Wed Feb 21 10:17:03 2018 from 192.168.3.108
root@lab-VirtualBox:~# whoami
root
root@lab-VirtualBox:~#

Полагаю, не нужно объяснять, что так делать на боевой системе не следует.

lxa85 · Отправлено: **21:36, 21-02-2018** | #6

Цитата Jula0071:

Итак, я построил лабу, чтобы проверить своё предположение. »

Скорей всего так и сделали. По всей видимости опыт админов растет из Windows с не пониманием архитектуры и устройства Linux.

Цитата Jula0071:

Полагаю, не нужно объяснять, что так делать на боевой системе не следует. »

Безусловно.

Цитата El Scorpio:

/etc/ssh/sshd_config »

Там и руту доступ разрешен. Полный букет в общем.

P.S. Одно радует - админ не я...

Busla · Отправлено: **13:45, 22-02-2018** | #7

Цитата lxa85:

Скорей всего так и сделали. По всей видимости опыт админов растет из Windows с не пониманием архитектуры и устройства Linux. »

Поясните, пожалуйста, логическую связь? При чём тут Windows - какой способ работы с ним подразумевает такую практику?
Нулевой uid - это древняя юниксовая особенность архитектуры. Даже не хак, а фича, чтобы несколько админов могли рулить системой под персональными логинами и паролями.
Может это у вас полное непонимание архитектуры как Linux, так и Windows? ;-)

Jula0071 · Отправлено: **14:38, 22-02-2018** | #8

Цитата Busla:

Нулевой uid - это древняя юниксовая особенность архитектуры. Даже не хак, а фича, чтобы несколько админов могли рулить системой под персональными логинами и паролями. »

Если мне не изменяет склероз, в FreeBSD даже был из коробки запасной root по имени toor, на случай если root недоступен. Да и вообще, десятилетия назад никакого SSH не было, был прозрачный telnet. Но с тех пор многое поменялось, выставишь тот же SSH в мир и мигом набегают миллионы китайцев с брутфорсом. Потому это делать сегодня нельзя ни в коем случае. И дело тут не в архитектуре, просто нельзя интерфейсы управления выставлять в мир. А также следует разграничивать доступы, исходя из правила разрешать только то, что необходимо и не более. Это применимо к любым платформам, кстати на винде с этим даже лучше обстоит, чем на том же линуксе (без ACL и SELinux).

Цитата Busla:

Поясните, пожалуйста, логическую связь? »

Могу лишь предположить, что речь о низкой квалификации и культуре админов, правда, почему именно виндовые взяты за образец этого удручающего явления, я не знаю. Может быть потому, что ТС с криворукими виндоадминами чаще сталкивался, чем с линуксовыми.

lxa85 · Отправлено: **14:57, 22-02-2018** | #9

Набежали ...

Цитата Busla:

Поясните, пожалуйста, логическую связь? »

У упомянутых админов нет практики работы с linux. (Про общую культуру администрирования не скажу)
Поэтому возможно (!) они решили проблему самым простым путем - отсыпали прав сколько влезет.
Это не в коей мере не относится к действительным профессионалам своего дела. Их мы любим, ценим и уважаем

Jula0071 · Отправлено: **15:55, 22-02-2018** | #10

Должен заступиться за админов, поскольку инфобез и удобство часто вступают в противоречие. Представьте, для доступа нужно подключиться к VPN, введя пароль и код верификации 2FA. Потом для доступа к собственно ресурсу - опять пароль и двухфактор. И парольная политика - не менее 15 символов, с чередующимися аппер и ловеркейс + цифры + символы. И менять каждые 90 дней. Тут любой взвоет, а когда начальство воет, то многие быстро сдаются. Если у них нет на руках оценки рисков. Скажем, если показать директору риск многомиллионного штрафа (причём не в полновесных рублях, а в ничем не обеспеченных зелёных бумажках), то вменяемый директор быстро успокаивается. Ну а если риски невелики, то и фиг с ней с безопасностью. Просто вопрос денег.