搜索

[21711] 2021-02-26_SSH的使用详解

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-02-26_SSH的使用详解 S S H 的 使 用 详 解 L e m o n S e c   2 0 2 1 - 0 2 - 2 6 1 、 什 么 是 、 什 么 是 S S H ？ ？ S S H 是 一 种 网 络 协 议 ， 用 于 计 算 机 之 间 的 加 密 登 录 。 最 早 的 时 候 ， 互 联 网 通 信 都 是 明 文 通 信 ， 一 旦 被 截 获 ， 内 容 就 暴 露 无 疑 。 1 9 9 5 年 ， 芬 兰 学 者 T a t u   Y l o n e n 设 计 了 S S H 协 议 ， 将 登 录 信 息 全 部 加 密 ， 成 为 互 联 网 安 全 的 一 个 基 本 解 决 方 案 ， 迅 速 在 全 世 界 获 得 推 广 ， 目 前 已 经 成 为 L i n u x 系 统 的 标 准 配 置 。 2 、 、 S S H 登 录 原 理 登 录 原 理 3 、 、   S S H 基 本 用 法 基 本 用 法 语 法 ： 参 数 : - p ： 指 定 端 口 号 。 u s e r ： 登 录 的 用 户 名 。 h o s t ： 登 录 的 主 机 。 默 认 的 端 口 号 为 2 2 ， 当 端 口 号 为 2 2 的 时 候 ， 可 以 省 略 ， 直 接 使 用 如 下 方 式 ： 此 外 ， 如 果 本 地 正 在 使 用 的 用 户 名 与 远 程 登 录 的 用 户 名 一 致 ， 登 录 用 户 名 也 是 可 以 省 略 的 ， 即 如 下 ： s s h   - p   2 2   u s e r @ h o s t s s h   u s e r @ h o s t s s h   h o s t
4 、 、 S S H 远 程 登 录 实 例 远 程 登 录 实 例 现 在 我 有 两 台 l i n u x 虚 拟 机 ， 上 面 安 装 都 是 c e n t O S 6 . 5 ， i p 分 别 为 1 9 2 . 1 6 8 . 1 3 . 1 3 5 和 1 9 2 . 1 6 8 . 1 3 . 1 3 8 ， 如 下 图 ： 现 在 ， 我 需 要 操 作 的 是 通 过 S S H 在 1 9 2 . 1 6 8 . 1 3 . 1 3 8 上 面 ， 登 录 到 1 9 2 . 1 6 8 . 1 3 . 1 3 5 上 面 。 首 先 ， 我 们 可 以 使 用 如 下 命 令 ， 查 看 两 台 机 器 是 否 启 用 了 s s h 。 使 用 如 下 命 令 进 行 连 接 。 若 在 本 机 上 是 首 次 登 录 该 远 程 主 机 ， 则 会 出 现 如 下 界 面 。 n e t s t a t   - n t l p   | g r e p   s s h s s h   - p   2 2   r o o t @ 1 9 2 . 1 6 8 . 1 3 . 1 3 5
大 致 意 思 就 是 ， 无 法 确 认 h o s t 主 机 的 真 实 性 ， 只 知 道 它 的 公 钥 指 纹 ， 问 你 还 想 继 续 连 接 吗 ？ 输 入 y e s 即 可 。 然 后 输 入 密 码 ， 即 可 连 接 o k 了 。 要 想 退 出 ， 直 接 输 入 e x i t 即 可 。 5 、 、 S S H 端 口 转 发 端 口 转 发 S S H   不 仅 仅 能 够 自 动 加 密 和 解 密   S S H   客 户 端 与 服 务 端 之 间 的 网 络 数 据 ， 同 时 ， S S H   还 能 够 提 供 了 一 个 非 常 有 用 的 功 能 ， 那 就 是 端 口 转 发 ， 即 将 T C P   端 口 的 网 络 数 据 ， 转 发 到 指 定 的 主 机 某 个 端 口 上 ， 在 转 发 的 同 时 会 对 数 据 进 行 相 应 的 加 密 及 解 密 。 如 果 工 作 环 境 中 的 防 火 墙 限 制 了 一 些 网 络 端 口 的 使 用 ， 但 是 允 许   S S H   的 连 接 ， 那 么 也 是 能 够 通 过 使 用 S S H 转 发 后 的 端 口 进 行 通 信 。 转 发 ， 主 要 分 为 本 地 转 发 与 远 程 转 发 两 种 类 型 。 （ （ 1 ） 转 发 的 参 数 ） 转 发 的 参 数 （ （ 2 ） 本 地 转 发 ） 本 地 转 发 有 本 地 网 络 服 务 器 的 某 个 端 口 ， 转 发 到 远 程 服 务 器 某 个 端 口 。 说 白 了 就 是 ， 将 发 送 到 本 地 端 口 的 请 求 ， 转 发 到 目 标 端 口 。 格 式 如 下 ： s s h   - L   本 地 网 卡 地 址 : 本 地 端 口 : 目 标 地 址 : 目 标 端 口   用 户 @ 目 标 地 址 。 - C ： 压 缩 数 据 - f   ： 后 台 认 证 用 户 / 密 码 ， 通 常 和 - N 连 用 ， 不 用 登 录 到 远 程 主 机 。 - N   ： 不 执 行 脚 本 或 命 令 ， 通 常 与 - f 连 用 。 - g   ： 在 - L / - R / - D 参 数 中 ， 允 许 远 程 主 机 连 接 到 建 立 的 转 发 的 端 口 ， 如 果 不 加 这 个 参 数 ， 只 允 许 本 地 主 机 建 立 连 接 。 - L   :   本 地 端 口 : 目 标 I P : 目 标 端 口 - D   :   动 态 端 口 转 发 - R   :   远 程 端 口 转 发 - T   ： 不 分 配   T T Y   只 做 代 理 用 - q   ： 安 静 模 式 ， 不 输 出   错 误 / 警 告   信 息
现 在 我 们 利 用 本 地 转 发 来 解 决 一 个 问 题 ， 比 如 我 们 有 两 台 机 器 ， 如 下 ： c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 现 在 ， c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 机 器 上 面 安 装 了 m y s q l ， 并 设 置 了 运 行 任 何 主 机 连 接 ， 如 下 ： 此 时 ， 在 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 上 面 是 可 以 连 上 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 的 m y s q l ， 如 下 ： 那 么 ， 现 在 我 开 始 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 限 制 不 允 许 外 部 i p 连 接 ， 仅 仅 让 1 2 7 . 0 . 0 . 1 连 接 ， 如 下 ： 此 时 ， c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 上 面 怎 么 连 接 上 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 的 m y s q l 呢 ？ 此 时 ， 我 们 还 是 使 用 上 面 的 m y s q l 连 接 方 式 ， 肯 定 会 报 错 ， 如 下 ：
当 然 在 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） m y s q l 还 是 可 访 问 的 。 这 个 时 候 ， 我 们 就 可 以 使 用 本 地 端 口 转 发 了 ， 将 本 地 的 某 个 端 口 ， 映 射 到 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 机 器 上 面 的 ， 如 下 ： 因 为 本 地 网 卡 地 址 是 可 以 省 略 的 ， 上 面 的 转 发 ， 可 以 简 写 为 ： 当 然 ， s s h 连 接 的 时 候 ， 若 两 台 机 器 的 用 户 名 相 同 ， 也 是 可 以 省 略 的 ， 即 命 令 可 以 简 写 为 ： 上 面 的 代 码 就 是 将 本 地 的 3 3 0 6 端 口 ， 转 发 到 1 9 2 . 1 6 8 . 1 3 . 1 4 2 的 3 3 0 6 端 口 。 因 为 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 上 面 的 m y s q l 使 用 的 3 6 0 6 端 口 。 当 然 ， 我 们 首 先 得 看 看 本 地 的 3 3 0 6 端 口 是 否 被 占 用 ， 如 被 占 用 ， 可 以 使 用 其 他 的 端 口 。 数 据 流 向 如 图 ： s s h   - L   1 2 7 . 0 . 0 . 1 : 3 3 0 6 : 1 2 7 . 0 . 0 . 1 : 3 3 0 6   r o o t @ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 s s h   - L   3 3 0 6 : 1 2 7 . 0 . 0 . 1 : 3 3 0 6   r o o t @ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 s s h   - L   3 3 0 6 : 1 2 7 . 0 . 0 . 1 : 3 3 0 6   1 9 2 . 1 6 8 . 1 3 . 1 4
首 先 ， c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 上 的 应 用 将 数 据 发 送 到 本 地 的 1 2 7 . 0 . 0 . 1 上 面 的 3 3 0 6 端 口 。 然 后 ， c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 将 3 3 0 6 端 口 的 数 据 ， 通 过 S S H 转 发 到 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 的 3 3 0 6 端 口 。 接 着 ， c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 将 处 理 后 的 数 据 ， 原 路 返 回 给 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 。 如 果 是 首 次 通 过 s s h 连 接 c e t o s B 该 机 器 ， 则 会 提 示 确 认 公 钥 ， 并 让 你 选 择 是 否 确 定 连 接 。 此 时 ， 我 们 在 c e n t o s   A 上 面 连 接 c e n t o s   B 上 面 的 m y s q l ， 就 可 以 这 么 写 了 。 如 下 ： 我 们 可 以 通 过 下 面 命 令 ， 在 c e n t o s A 查 看 s s h 转 发 监 听 的 进 程 。 b i n / m y s q l   - h 1 2 7 . 0 . 0 . 1   - u r o o t   - p
（ （ 3 ） 远 程 转 发 ） 远 程 转 发 由 远 程 服 务 器 的 某 个 端 口 ， 转 发 到 本 地 网 络 的 服 务 器 某 个 端 口 。 说 白 了 ， 就 是 将 发 送 到 远 程 端 口 的 请 求 ， 转 发 到 目 标 端 口 。 格 式 如 下 ： s s h   - R   远 程 网 卡 地 址 : 远 程 端 口 : 目 标 地 址 : 目 标 端 口 下 面 三 台 机 器 为 例 ， 如 下 ： c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） w i n 7 （ 1 0 . 1 8 . 7 8 . 1 3 5 ） 假 设 ， w i n 7 （ 1 0 . 1 8 . 7 8 . 1 3 5 ） 与 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 不 能 直 接 连 接 ， 但 是 w i n 7 （ 1 0 . 1 8 . 7 8 . 1 3 5 ） 与 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 可 以 连 接 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 也 可 以 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 连 接 ， 那 么 ， 我 们 就 可 以 在 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 上 面 使 用 远 程 端 口 转 发 了 ， 让 w i n 7 （ 1 0 . 1 8 . 7 8 . 1 3 5 ） 与 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 进 行 通 信 。 即 c e n t o s   B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 ） 监 听 自 己 的 8 0 端 口 ， 然 后 将 所 有 数 据 ， 由 c e n t o s   A （ 1 9 2 . 1 6 8 . 1 3 . 1 3 9 ） 发 给 w i n 7 （ 1 0 . 1 8 . 7 8 . 1 3 5 ） 。 6 、 、 S S H 的 远 程 操 作 的 远 程 操 作 s s h 远 程 操 作 ， 主 要 用 于 在 远 程 的 机 器 上 面 执 行 某 个 操 作 ， 格 式 如 下 ： 案 例 1 ： 在 机 器 A （ 1 9 2 . 1 6 8 . 1 3 . 1 4 8 ） 中 查 看 机 器 B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 9 ） 的 操 作 系 统 类 型 。 在 A 机 器 上 面 执 行 如 下 代 码 ： 案 例 2 ： 将 机 器 A （ 1 9 2 . 1 6 8 . 1 3 . 1 4 8 ） 中 t e s t 文 件 夹 复 制 到 B 机 器 （ 1 9 2 . 1 6 8 . 1 3 . 1 4 9 ） 。 在 A 机 器 上 面 ， 执 行 如 下 命 令 ： 当 然 ， 我 们 也 可 以 使 用 s c p 命 令 或 r z 命 令 ， 传 输 文 件 。 s s h   - R   1 2 7 . 0 . 0 . 1 : 8 0 : 1 0 . 1 8 . 7 8 . 1 3 5 : 8 0   r o o t @ 1 9 2 . 1 6 8 . 1 3 . 1 4 2 s s h   u s e r @ h o s t   ' c o m m a n d ' s s h     d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 9     ' u n a m e   - a '   t a r   - c z   t e s t   |   s s h   d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 9   ' t a r   - x z '
案 例 3 、 在 机 器 A （ 1 9 2 . 1 6 8 . 1 3 . 1 4 8 ） 处 查 看 B 机 器 （ 1 9 2 . 1 6 8 . 1 3 . 1 4 9 ） 是 否 监 听 了 1 0 8 0 端 口 。 在 A 机 器 上 面 ， 执 行 如 下 命 令 ： 7 、 、 S S H 的 本 地 转 发 的 本 地 转 发 本 地 转 发 ， 说 白 了 ， 就 是 把 发 到 本 地 的 某 个 端 口 请 求 ， 转 发 到 远 程 的 某 台 机 器 上 面 。 格 式 如 下 ： 案 例 1 ： 在 机 器 B （ 1 9 2 . 1 6 8 . 1 3 . 1 4 9 ） 上 面 访 问 机 器 A （ 1 9 2 . 1 6 8 . 1 3 . 1 4 8 ） 的 服 务 。 现 在 ， 我 们 在 A 机 器 上 面 ， 启 动 了 N g i n x 服 务 ， 如 下 ： 我 们 希 望 B 机 器 也 能 够 这 样 使 用 A 机 器 上 面 的 服 务 。 需 要 把 B 机 器 上 面 8 0 端 口 请 求 ， 转 发 到 A 机 器 上 面 。 目 前 在 B 机 器 这 样 执 行 ， 是 报 错 的 ， 如 下 ： 需 要 在 B 机 器 上 面 ， 执 行 如 下 代 码 ： 然 后 ， 在 B 机 器 上 面 ， 访 问 A 机 器 的 服 务 ， 就 想 访 问 自 身 的 服 务 一 样 。 8 、 、 S S H 的 远 程 转 发 的 远 程 转 发 s s h   d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 9   ' n e t s t a t   - t l n   | g r e p   1 0 8 0 ' s s h   - L     [ 本 地 地 址 : ] 本 地 端 口 : 远 程 地 址 : 远 程 端 口   远 程 用 户 @ 远 程 地 址 s s h   - f   - N   - L   1 2 7 . 0 . 0 1 : 8 0 : 1 9 2 . 1 6 8 . 1 3 . 1 4 8 : 8 0   d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 8
远 程 转 发 ， 即 把 发 给 远 程 机 器 的 某 个 端 口 请 求 ， 转 发 到 本 地 的 机 器 上 面 。 格 式 如 下 ： 在 上 面 的 案 例 中 ， 我 们 也 可 以 通 过 远 程 转 发 来 实 现 。 即 在 A 机 器 上 面 执 行 如 下 代 码 ： 我 们 监 听 了 B 机 器 的 8 0 8 1 端 口 ， 把 该 端 口 的 请 求 ， 转 发 到 A 机 器 上 面 。 可 以 在 B 机 器 上 面 看 到 ， 我 们 的 监 听 ， 如 下 ： 此 时 ， 执 行 如 下 命 令 ， 就 会 被 转 发 到 A 机 器 的 1 2 7 . 0 . 0 . 1 的 8 0 端 口 ， 如 下 ： 利 用 远 程 转 发 ， 实 现 代 理 功 能 利 用 远 程 转 发 ， 实 现 代 理 功 能 目 前 B 机 器 ， 只 能 在 自 己 1 2 7 . 0 . 0 . 1 的 8 0 端 口 监 听 并 转 发 ， 如 何 让 B 机 器 作 为 代 理 ， 转 发 其 他 机 器 的 请 求 到 A 机 器 上 面 呢 ？ 比 如 ， 现 在 有 一 台 机 器 C （ 1 9 2 . 1 6 8 . 1 3 . 1 4 3 ） ， C 不 能 访 问 A ， 但 是 能 够 访 问 B 。 如 何 让 C 利 用 B 来 访 问 A 呢 ？ 此 时 ， 需 要 将 B 的 监 听 ， 由 1 2 7 . 0 . 0 . 1 : 8 0 8 1 ， 改 为 0 : 0 . 0 . 0 : 8 0 8 1 ， 修 改 s s h d 的 配 置 / e t c / s s h / s s h d _ c o n f i g 。 然 后 重 新 ， 设 置 动 态 转 发 ， 如 下 ： 可 以 看 到 ， 此 时 B 机 器 ， 已 经 监 听 了 0 : 0 . 0 . 0 : 8 0 8 1 s s h   - R   [ 远 程 地 址 : ] 远 程 端 口 : 本 地 地 址 : 本 地 端 口   远 程 用 户 @ 远 程 地 址 s u d o   s s h   - f   - N   - R   8 0 8 1 : 1 2 7 . 0 . 0 . 1 : 8 0   d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 9   v i m   / e t c / s s h / s s h d _ c o n f i g 如 果 有 G a t e w a y P o r t s   n o 改 为 G a t e w a y P o r t s   y e s   没 有 ， 添 加 即 可 然 后 重 启 s s h d s u d o   s e r v i c e   s s h d   r e s t a r t   s s h   - f   - g     - N   - R   8 0 8 1 : 1 2 7 . 0 . 0 . 1 : 8 0   d e q u a n @ 1 9 2 . 1 6 8 . 1 3 . 1 4 9
在 C 机 器 上 面 ， 我 们 通 过 c u r l 模 拟 请 求 ， 利 用 B 机 器 做 代 理 ， 如 下 ： 当 然 ， 如 果 还 有 其 他 机 器 ， 也 可 以 使 用 类 似 的 方 式 ， 来 请 求 A 机 器 。 9 、 、 S S H 的 动 态 转 发 的 动 态 转 发 对 于 S S H 的 本 地 转 发 和 远 程 转 发 ， 都 需 要 将 本 地 端 口 和 远 程 端 口 一 一 绑 定 ， 格 式 如 下 ： 比 如 ， 把 发 到 B 机 器 上 面 的 请 求 ， 都 转 发 到 A 机 器 上 面 ， 让 A 机 器 去 执 行 请 求 。 1 0 、 、 S S H 存 在 的 问 题 存 在 的 问 题 如 果 有 人 截 获 了 登 录 请 求 ， 然 后 冒 充 远 程 主 机 ， 将 伪 造 的 公 钥 发 给 用 户 ， 那 么 用 户 很 难 辨 别 真 伪 。 因 为 不 像 h t t p s 协 议 ， S S H 协 议 的 公 钥 是 没 有 证 书 中 心 （ C A ） 公 证 的 ， 也 就 是 说 ， 都 是 自 己 签 发 的 。 可 以 设 想 ， 如 果 攻 击 者 插 在 用 户 与 远 程 主 机 之 间 （ 比 如 在 公 共 的 w i f i 区 域 ） ， 用 伪 造 的 公 钥 ， 获 取 用 户 的 登 录 密 码 。 再 用 这 个 密 码 登 录 远 程 主 机 ， 那 么 S S H 的 安 全 机 制 就 荡 然 无 存 了 。 这 种 风 险 就 是 著 名 的 " 中 间 人 攻 击 " （ M a n - i n - t h e - m i d d l e   a t t a c k ） 。 1 1 、 总 结 、 总 结 本 文 主 要 介 绍 了 S S H 的 基 本 概 念 和 实 践 中 常 用 的 一 些 方 法 ， 并 没 有 涉 及 深 层 原 理 和 优 化 的 知 识 ， 在 底 层 实 现 和 协 议 具 体 内 容 还 能 继 续 深 入 研 究 。 如 果 有 什 么 疑 问 或 建 议 ， 可 以 在 下 方 留 言 。 微 信 公 众 号 ： 计 算 机 与 网 络 安 全 I D ： C o m p u t e r - n e t w o r k   c u r l   - x   1 9 2 . 1 6 8 . 1 3 . 1 4 9 : 8 0 8 1   1 2 7 . 0 . 0 . 1 s s h   - D   [ 本 地 地 址 : ] 本 地 端 口 号   远 程 用 户 @ 远 程 地 址
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理