Bearbeiten von „Firewall Piercing/Beispiele/OpenSSH via HTTPS-Proxy als SOCKS Proxy verwenden“
Aus UUGRN
Die Bearbeitung kann rückgängig gemacht werden. Bitte prüfe den Vergleich unten, um sicherzustellen, dass du dies tun möchtest, und veröffentliche dann unten deine Änderungen, um die Bearbeitung rückgängig zu machen.
| Aktuelle Version | Dein Text | ||
| Zeile 2: | Zeile 2: | ||
== Voraussetzungen für dieses Beispiel == | == Voraussetzungen für dieses Beispiel == | ||
Das ''[http://rhein-neckar.wiki Rhein-Neckar-Wiki]'' läuft in einem Jail auf dem Server der ''[http://www.stadtwiki.info/ Stadtwiki Gesellschaft e.V.]'' ('''rnw.stwserv.de'''). Die Wiki-Jails sind aus Sicherheitsgründen per Firewall von extern nur auf 80/tcp und 443/tcp erreichbar und können selbst nur über einen Proxy-Server ('''relay.stwserv.de''') mit der Aussenwelt kommunizieren. Der Proxy-Server ist ein HTTP-Proxy und erlaubt zusätzlich die für HTTPS erforderliche CONNECT-Methode auf Port 443/tcp (https) | Das ''[http://rhein-neckar.wiki Rhein-Neckar-Wiki]'' läuft in einem Jail auf dem Server der ''[http://www.stadtwiki.info/ Stadtwiki Gesellschaft e.V.]'' ('''rnw.stwserv.de'''). Die Wiki-Jails sind aus Sicherheitsgründen per Firewall von extern nur auf 80/tcp und 443/tcp erreichbar und können selbst nur über einen Proxy-Server ('''relay.stwserv.de''') mit der Aussenwelt kommunizieren. Der Proxy-Server ist ein HTTP-Proxy und erlaubt zusätzlich die für HTTPS erforderliche CONNECT-Methode auf '''[[SSH auf Port 443|Port 443/tcp]]''' (https) | ||
Ferner existiert ein Shell-Account auf '''[[UUGRN:Jails/shell|shell.uugrn.org]]'''. Der dortige OpenSSH-Daemon läuft zusätzlich zum Standardport 22/tcp auch auf ''' | Ferner existiert ein Shell-Account auf '''[[UUGRN:Jails/shell|shell.uugrn.org]]'''. Der dortige OpenSSH-Daemon läuft zusätzlich zum Standardport 22/tcp auch auf '''443/tcp'''. | ||
Es soll zu Demonstrationszwecken gezeigt werden, wie man unter diesen Voraussetzungen mit OpenSSH und BSD-netcat als Hilfstool eine SSH-Verbidung auf einen mehr oder weniger beliebigen Server im Internet herstellen kann, sofern man dort grundsätzlich Login-Rechte hat. | Es soll zu Demonstrationszwecken gezeigt werden, wie man unter diesen Voraussetzungen mit OpenSSH und BSD-netcat als Hilfstool eine SSH-Verbidung auf einen mehr oder weniger beliebigen Server im Internet herstellen kann, sofern man dort grundsätzlich Login-Rechte hat. | ||
== SSH-Client Konfiguration == | == SSH-Client Konfiguration == | ||
zumächst legen wir | zumächst legen wir volgende ~/.ssh/config an (oder ergänzen die vorhandene entsprechend): | ||
<pre> | <pre> | ||
[rabe@rnw ~]$ cat .ssh/config | [rabe@rnw ~]$ cat .ssh/config | ||
| Zeile 31: | Zeile 31: | ||
Das Profil '''rabe.socks''' ist so angelegt, dass es auf '''rabe@rabe.uugrn.org:22''' einloggt unter Verwendung des SOCKS(5)-Proxys auf '''127.0.0.1:1080'''. | Das Profil '''rabe.socks''' ist so angelegt, dass es auf '''rabe@rabe.uugrn.org:22''' einloggt unter Verwendung des SOCKS(5)-Proxys auf '''127.0.0.1:1080'''. | ||
== Verbindungsaufbau == | == Verbindungsaufbau == | ||
;nach shell.uugrn.org via HTTPS-Proxy: | ;nach shell.uugrn.org:443 via HTTPS-Proxy: | ||
<pre> | <pre> | ||
[rabe@rnw ~]$ ssh -N -f shell443 | [rabe@rnw ~]$ ssh -N -f shell443 | ||
| Zeile 46: | Zeile 47: | ||
Durch die Optionen ''-N'' und ''-f'' sorgen wir dafür, dass nach dem Verbindungsaufbau auf dem Zielsystem ''kein Kommando'' ausgeführt wird und sich der SSH-Client als Daemon ''weg-forkt''. Wir landen daher wieder auf unserer lokalen Shell. | Durch die Optionen ''-N'' und ''-f'' sorgen wir dafür, dass nach dem Verbindungsaufbau auf dem Zielsystem ''kein Kommando'' ausgeführt wird und sich der SSH-Client als Daemon ''weg-forkt''. Wir landen daher wieder auf unserer lokalen Shell. | ||
; nach rabe.uugrn.org via SOCKS-Proxy: | ; nach rabe.uugrn.org:22 via SOCKS-Proxy: | ||
<pre> | <pre> | ||
[rabe@rnw ~]$ ssh rabe.socks | [rabe@rnw ~]$ ssh rabe.socks | ||
