Fil-qosor: Biex issib ċwievet SSH mhux magħrufa, trid tiċċekkja l-fajls authorized_keys kollha fuq is-server, mhux biss dak ta' root. Iddetermina b'sshd -T liema fajls jaqra s-servizz SSH tiegħek, elenka l-marki tas-subgħajn ta' kull ċavetta u qabbilhom maċ-ċwievet magħrufa. Daħliet barranin l-ewwel salvahom, imbagħad neħħihom u wara saħħaħ l-aċċess.
Iċ-ċavetta li tgħaddi minn kull bidla ta' password
Wara inċident ħafna operaturi l-ewwel jibdlu l-passwords kollha. Kontra waħda mill-backdoors l-inqas viżibbli dan ma jgħinx: ċavetta pubblika addizzjonali f'fajl authorized_keys. Min għandu ċ-ċavetta privata li taqbel jidħol mingħajr password, sakemm xi ħadd isib il-linja.
Ċwievet SSH mhux magħrufa għalhekk jappartjenu fost is-sinjali li wara eżekuzzjoni ta' kodiċi għandhom dejjem jiġu vverifikati. Għal PHP2Shell m'hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati; it-tagħrif jistrieħ fuq l-analiżi tal-imġiba. Ċavetta barranija mhijiex prova speċifika ta' PHP2Shell, imma sinjal ċar li xi ħadd ried aċċess permanenti. Sinjali oħra jiddeskrivihom Diġà kompromess?.
Fejn jinsabu ċ-ċwievet SSH fuq is-server
OpenSSH, skont id-dokumentazzjoni, bħala standard jaqra żewġ fajls fid-direttorju home ta' kull utent: .ssh/authorized_keys u .ssh/authorized_keys2. It-tieni spiss jintesa. L-issettjar jista' jinbidel, u b'AuthorizedKeysCommand is-server jista' anke jieħu ċwievet minn programm estern. Iċċekkja għalhekk l-ewwel x'japplika tassew fuq is-server tiegħek:
# Uri l-konfigurazzjoni SSH effettiva (jaqra biss)
sudo sshd -T | grep -iE '^(authorizedkeysfile|authorizedkeyscommand|permitrootlogin|passwordauthentication|pubkeyauthentication)'
# Fajls addizzjonali tal-konfigurazzjoni u blokki Match
ls -la /etc/ssh/sshd_config.d/ 2>/dev/null
sudo grep -rn -iE '^\s*(Match|AuthorizedKeys)' /etc/ssh/
Post speċjali huwa d-direttorju home tal-utent tas-server tal-web. Taħt Debian u Ubuntu għal www-data spiss huwa /var/www. Jekk dan id-direttorju jista' jinkiteb minn PHP, kodiċi introdott jista' joħloq hemmhekk .ssh/authorized_keys. Jekk il-login imbagħad jirnexxix jiddependi mil-login shell u mill-issettjar SSH, imma l-fajl innifsu diġà huwa sinjal ta' allarm.
Mhux kull daħla mhux magħrufa hija malizzjuża. Għodod tad-deployment, servizzi tal-backup jew fornituri preċedenti jħallu ċwievet proprji. Daħliet bħal dawn, madankollu, għandu jkollhom sid u skop magħrufin.
Iċċekkja authorized_keys: pass pass
Il-kmandi li ġejjin ma jbiddlu xejn. Jelenkaw il-fajls taċ-ċwievet tal-utenti kollha u juru l-marka tas-subgħajn ta' kull ċavetta:
# Il-fajls authorized_keys kollha fid-direttorji home tal-utenti kollha
getent passwd | cut -d: -f1,6 | while IFS=: read -r user home; do
for f in "$home/.ssh/authorized_keys" "$home/.ssh/authorized_keys2"; do
[ -f "$f" ] && echo "== $user: $f" && sudo ls -la --time-style=full-iso "$f"
done
done
# Uri l-marki tas-subgħajn u l-kummenti ta' fajl
sudo ssh-keygen -lf /root/.ssh/authorized_keys
# Fajls oħra taċ-ċwievet barra l-postijiet tas-soltu
sudo find / -xdev -name 'authorized_keys*' 2>/dev/null
Għaddi mir-riżultat b'din il-lista ta' kontroll:
- Kull ċavetta tappartjeni lil persuna jew servizz magħruf? Qabbel il-marki tas-subgħajn, mhux biss il-kumment.
- Utent għandu ċwievet li ma kellu jkollu ebda? Pereżempju l-utent tas-server tal-web, kontijiet tad-database jew tas-servizzi.
- Hemm għażliet qabel iċ-ċavetta? Daħliet b'
command=jesegwixxu kmand fiss f'kull login. Dan huwa leġittimu għall-backups, imma wkoll moħbi. - Meta ġie mibdul l-aħħar il-fajl? Data tal-bidla wara s-17.10.2026, l-ewwel tentattiv osservat ta' attakk ta' PHP2Shell skont rapporti tal-midja, jixraqlu attenzjoni partikolari. It-timestamps jistgħu jiġu falsifikati, madankollu.
- Is-sid u d-drittijiet jaqblu? Fajl li jappartjeni lil utent differenti mid-direttorju home jaqbad l-għajn.
Neħħi ċwievet barranin b'mod sigur
Qabel ma tħassar linja, salva l-fajl bit-timestamp u l-checksum barra mis-server. Innota l-marka tas-subgħajn taċ-ċavetta barranija. Aktar tard tgħin fil-mistoqsija jekk l-istess ċavetta tidhirx ukoll fuq servers oħra, pereżempju għand aġenzija b'ħafna sistemi tal-klijenti.
Iċċekkja wkoll il-protokolli tal-login. Fi /var/log/auth.log (Debian, Ubuntu) jew /var/log/secure (familja RHEL) is-servizz SSH jirreġistra logins b'suċċess bil-marka tas-subgħajn taċ-ċavetta użata. Hekk tara jekk iċ-ċavetta barranija diġà ntużatx u minn liema indirizz.
Aħseb ukoll fid-direzzjoni opposta. Jekk fuq is-server hemm ċwievet privati, pereżempju taħt ~/.ssh/id_* għal deployments jew backups, attakkant seta' jikkopjahom. Bihom jista' jilħaq servers oħra, repositories Git jew destinazzjonijiet tal-backup. Ċwievet bħal dawn wara dħul jitqiesu użati: oħloq ċwievet ġodda u neħħi l-qodma fuq is-sistemi kollha tad-destinazzjoni.
Ċavetta barranija rari tkun l-uniku traċċa. Min poġġieha kellu drittijiet tal-kitba u forsi waqqaf modi oħra, pereżempju cronjobs jew kontijiet addizzjonali. Iċċekkja għalhekk ukoll cronjobs moħbija u kontijiet tal-amministratur barranin. Jekk l-attakkant kellu drittijiet ta' root, bini mill-ġdid tas-server spiss huwa iktar affidabbli minn tindif.
Neħħi ċwievet barranin biss meta PHP jkun fi stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat) u l-workers kollha jkunu reġgħu nbdew. Inkella l-attakkant jista' jerġa' jirreġistra ċ-ċavetta minnufih permezz tal-istess vulnerabbiltà.
Issaħħaħ l-aċċess SSH wara
Wara t-tindif jixraq tisħiħ qasir. Il-biċċa l-kbira tal-punti jitwettqu malajr, imma dejjem għandhom jiġu ttestjati b'sessjoni oħra miftuħa, biex ma tagħlaqx ruħek barra.
| Miżura | Issettjar jew proċedura |
|---|---|
| Login biss permezz taċ-ċavetta | PasswordAuthentication no |
| Tħallix root jidħol direttament | PermitRootLogin no, xogħol permezz ta' kontijiet personali b'sudo |
| Itfi t-tieni fajl taċ-ċwievet | AuthorizedKeysFile .ssh/authorized_keys |
| Illimita ċ-ċwievet skont l-oriġini | Għażla from= qabel iċ-ċavetta, pereżempju għal servers tal-backup |
| Illimita ċwievet tas-servizzi | Għażla restrict u command= fiss għall-awtomazzjoni |
| Utent tas-server tal-web mingħajr login | Login shell nologin, l-ebda .ssh fid-direttorju home |
Żomm ukoll lista taċ-ċwievet awtorizzati kollha b'sid u skop. Meta impjegat jew fornitur tas-servizzi jitlaq, iċ-ċavetta tiegħu titneħħa mis-servers kollha. Mingħajr din il-lista l-verifika li jmiss terġa' tkun xogħol ta' detective. Rekwiżiti rikonoxxuti ta' tisħiħ għal SSH fihom ukoll is-CIS Benchmarks.
Kif tgħin PHP SOS b'mod konkret?
- Niddeterminaw liema fajls taċ-ċwievet jaqra tassew is-servizz SSH tagħkom, u niċċekkjaw kull daħla kontra s-sidien magħrufa.
- Insalvaw is-sejbiet u nevalwaw il-protokolli tal-login biex niċċaraw jekk ċavetta barranija ntużatx.
- Intnaddfu ċwievet, kontijiet u cronjobs fis-sekwenza t-tajba u l-ewwel nagħlqu l-vulnerabbiltà.
- Fil-qafas tat-Tisħiħ tas-server nimplimentaw l-issettjar SSH u nistabbilixxu ġestjoni taċ-ċwievet b'lista tas-sidien.
Mistoqsijiet frekwenti
Kif nagħraf jekk ċavetta SSH hijiex barranija?
Kull ċavetta għandha marka ta' subgħajh u ġeneralment kumment fit-tmiem tal-linja. Qabbel il-marki tas-subgħajn maċ-ċwievet tal-impjegati u tal-fornituri tas-servizzi tiegħek. Il-kumment waħdu ma jippruvax xejn, għax jista' jintgħażel liberament u jiġi falsifikat.
Jgħin li nbiddel il-password ta' root?
Kontra ċavetta introdotta le. Il-login permezz taċ-ċavetta ma jeħtieġx password. Għalhekk il-fajls authorized_keys infushom iridu jiġu vverifikati u mnaddfa.
Għaliex l-utent tas-server tal-web jista' jkollu ċavetta SSH?
L-utent tas-server tal-web għandu direttorju home proprju, taħt Debian u Ubuntu spiss /var/www. Jekk hemm .ssh/authorized_keys u l-kont għandu login shell, login bħala dan l-utent huwa possibbli. Jekk id-direttorju tal-web jista' jinkiteb, kodiċi PHP introdott jista' joħloq fajl bħal dan.
X'inhu authorized_keys2?
It-tieni fajl eqdem li OpenSSH, skont l-issettjar standard, jaqra wkoll. Ħafna gwidi ta' verifika jinsewh. Iċċekkja b'sshd -T liema fajls is-server tiegħek verament jevalwa.