rsh automatic login

regexer · 3 Nov. 2005

Hallo zusammen!

Vielleicht stehe ich im Moment etwas auf dem Schlauch. Ich habe eine Unix-Kiste und eine Linux-Kiste. Ich bin nun auf der Unix-Seite und gebe folgendes ein:

Code:

rsh linux-kiste -l user 'echo test'

Das Kommando wird erfolgreich durchgeführt jedoch ohne nach dem password für user zu fragen. Ich weiß, dass es die Konfigurationsdateien $HOME/.rhosts und /etc/hosts.equiv gibt. Diese sind aber auf allen Seiten leer.
Ich frage mich, warum ich ohne password per rsh auf die Linux-Kiste kann. Habe ich irgendeine Konfig-Datei noch nicht berücksichtigt?

Gruß,

notoxp

oc2pus · 3 Nov. 2005

man rsh sagt

...-l By default, the remote username is the same as the local username. The -l option allows the remote name to be specified. Kerberos authentication is used, and authorization is determined as in rlogin(1).
...

man rlogin sagt:

...Each user may have a private authorization list in the file .klogin in their home directory. Each line in this file should contain a Kerberos principal name of the form principal.instance@realm.
If the originating user is authenticated to one of the principals named in .klogin, access is granted to the account. The principal accountname.@localrealm is granted access if there is no .klogin file. Otherwise a login and password will be prompted for on the remote machine as in login(1). To avoid certain security problems, the .klogin file must be owned by the remote user.

If Kerberos authentication fails, a warning message is printed and the standard Berkeley rlogin is used instead.

evtl liegt da der "Hund" begraben ?

regexer · 3 Nov. 2005

oc2pus schrieb:
man rlogin sagt:
...Each user may have a private authorization list in the file .klogin in their home directory.

Ich glaube nicht, dass da kerberos im Spiel ist. Es funktioniert auch ohne die option "-l". Im Übrigen gibt es bei mir auf dem ganzen System keine Datei mit dem Namen .klogin.

Um den Fehler einzugrenzen habe ich einen dritten Rechner (diesmal mit Linux) mit ins Spiel gebracht, den meine Linux-Kiste Nr.1 gar nicht kennen kann. Diesmal habe ich als root auf "Linux-Kiste Nr. 2" folgendes gemacht:

Code:

rsh ip_adresse 'uname -n; whoami'

Funktioniert immer noch ohne Passwort.

Irgendwie habe ich die Vermutung, dass ich einem simplen Denkfehler zum Opfer falle. So viele Möglichkeiten gibt es doch in meinem Fall gar nicht.
Trotzdem Danke für den Hinweis...

haveaniceday · 3 Nov. 2005

Edit: gepennt und oben nicht richtig gelesen..(man hosts.equiv ? )

Haveaniceday

Edit: Meine checkliste wäre :

-Ein Passwort ist ja auf dem Account ?
- hosts.equiv
- "/etc/pam.d" Konfiguration
- Knoppix: rsh auf ssh gemappt und "secret key" vorhanden. ( eher unwahrscheinlich )

regexer · 3 Nov. 2005

haveaniceday schrieb:
-Ein Passwort ist ja auf dem Account ?

Wirklich ein guter einfall. Aber "root" hat auf beiden rechnern ein Passwort

haveaniceday schrieb:
- hosts.equiv

Ist auf beiden Rechnern leer.

haveaniceday schrieb:
- "/etc/pam.d" Konfiguration

Ist alles im Orginal-Zustand, wie nach der Installation. Eventuell müsste ich hier nochmal durchsehen.

haveaniceday schrieb:
- Knoppix: rsh auf ssh gemappt und "secret key" vorhanden. ( eher unwahrscheinlich )

No! ssh habe ich schon ausprobiert. Da frägt er nach dem Passwort...

TeXpert · 3 Nov. 2005

haveaniceday schrieb:
- Knoppix: rsh auf ssh gemappt und "secret key" vorhanden. ( eher unwahrscheinlich )

nicht so unwahrscheinlich, so ist z.B. bei einem oschinoolen Debian Sarge rsh auf ssh gelinkt:

Code:

$ which rsh
/usr/bin/rsh
$ ls -l /usr/bin/rsh
lrwxrwxrwx  1 root root 21 2005-03-17 10:32 /usr/bin/rsh -> /etc/alternatives/rsh
$ ls -l /etc/alternatives/rsh
lrwxrwxrwx  1 root root 12 2005-03-17 10:32 /etc/alternatives/rsh -> /usr/bin/ssh

aber dennoch werde ich brav nach dem passwort gefrage...

Wie hast Du Dein Netz konfiguriert? nutzt Du NIS?

regexer · 3 Nov. 2005

TeXpert schrieb:

Code:

$ which rsh
/usr/bin/rsh
$ ls -l /usr/bin/rsh
lrwxrwxrwx  1 root root 21 2005-03-17 10:32 /usr/bin/rsh -> /etc/alternatives/rsh
$ ls -l /etc/alternatives/rsh
lrwxrwxrwx  1 root root 12 2005-03-17 10:32 /etc/alternatives/rsh -> /usr/bin/ssh

Code:

$ type rsh   
rsh is /usr/bin/rsh
$ type ssh
ssh is /usr/bin/ssh
$ ls -l /usr/bin/[rs]sh
-rwsr-xr-x    1 root     root         8336 Aug 16  2001 /usr/bin/rsh
-rwsr-xr-x    1 root     root       716848 Aug 17  2001 /usr/bin/ssh

Wie hast Du Dein Netz konfiguriert? nutzt Du NIS?

Meinst du Norton Internet Security? Nein!
Ich werde (falls ich Zeit habe) heute Abend noch ein paar tests machen...

TeXpert · 3 Nov. 2005

notoxp schrieb:
Meinst du Norton Internet Security? Nein!

gnaaaa nein, http://www.linux-nis.org/

haveaniceday · 3 Nov. 2005

Sind vielleicht die Aufrufparameter vom "rshd" löchrig ?
/etc/xinet.d/* => irgend etwas, evtl. von hier gewährt den Zugriff.

Was zeigt "netstat -pltn | grep 514" als root ?

Haveaniceday

regexer · 4 Nov. 2005

haveaniceday schrieb:
Sind vielleicht die Aufrufparameter vom "rshd" löchrig ?

Also laut "man rsh" kann man nur den Zugriff weiter einschränken, mit -l oder -h...

Was zeigt "netstat -pltn | grep 514" als root ?

Code:

$ netstat -pltn | grep 514
tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      433/inetd

regexer · 4 Nov. 2005

TeXpert schrieb:
gnaaaa nein, http://www.linux-nis.org/

Ist mir nicht bekannt. Allerdings ist mir mittlerweile etwas anderes aufgefallen:

Code:

$ grep -v ^# /etc/inetd.conf
time stream tcp nowait root internal
time dgram udp wait root internal
ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd
shell stream tcp nowait root /usr/sbin/tcpd in.rshd -L
login stream tcp nowait root /usr/sbin/tcpd in.rlogind
talk dgram udp wait root /usr/sbin/tcpd in.talkd
ntalk dgram udp wait root /usr/sbin/tcpd in.talkd
 
uucp    stream  tcp     nowait  uucp   /usr/lib/uucp/uucico    uucico

tftp dgram udp wait root /usr/sbin/tcpd in.tftpd -s /tftpboot
finger stream tcp nowait nobody /usr/sbin/tcpd in.fingerd -w
netstat stream tcp nowait root /usr/sbin/tcpd /bin/netstat -a

Benutze ich überhaupt rshd, oder ist es nicht doch rlogind?

EDIT: habe die Antwort selbst gefunden. In diesem Fall verwende ich rshd. /var/log/messages sagt:

Code:

Nov  4 08:09:01 linux-kiste in.rshd[16553]: connect from 192.168... (192.168...)
Nov  4 08:09:01 linux-kiste rshd[16554]: user@192.168... as root: cmd='whoami'

Auf der man-page von rshd habe ich etwas gelesen, dass rshd bei einem connect die Domänen-Namen ermittelt und vergleicht. Gut, ich hänge natürlich mit allen Rechnern in der selben Domäne. Aber müsste er nicht zumindest in der zweiten Zeile von /var/log/messages die IP-Adresse auflösen?

Irgendwie wird das ganze langsam verwirrend für mich...

haveaniceday · 4 Nov. 2005

Mich irritiert, dass inetd genutzt wird. Ist schon etwas älter und nicht mehr so ganz üblich.
Hat aber nichts mit dem Problem zu tun !

Ich würde mal ein "strace" versuchen.
Vielleicht sieht man was in der Reihenfolge "inetd" => "in.rshd" => "rshd" gelesen wird und
dann schief läuft.
tcp 0 0 0.0.0.0:514 0.0.0.0:* LISTEN 433/inetd
=> Prozessid 433
strace -f -e trace=file -p 433

Dann sieht man zumindest was in welcher Reichenfolge gelesen wird.
Und das dann mit einem "korrekten" System vergleichen.
Als Befehl würde ich "echo Hallo" statt "whoami" verwenden.

http://www.ibiblio.org/gferg/ldp/man/man8/in.rshd.8.html => -l => Problem mit libc kann es nicht sein...

Ein ferner Gedanke, hat bei dir jemand ein "rootkit" drauf ? Und das prüft nicht
mehr den User ab ?
http://www.chkrootkit.org/
=> Auspacken
=> make sense
=> ./chkrootkit ( als Root )
Wäre interessant, wenn ein rootkit sicherheitslücken hätte ;-)

Haveaniceday

PS: Gibt es alternativen zu in.rshd ? So um einzugrenzen, ob es daran liegt.

TeXpert · 4 Nov. 2005

haveaniceday schrieb:
Mich irritiert, dass inetd genutzt wird. Ist schon etwas älter und nicht mehr so ganz üblich.
Hat aber nichts mit dem Problem zu tun !

afair bringt Debian z.B. auch heute noch den inetd per default mit, wer den xinetd will muss den ändern... daher ist der schon noch üblich

regexer · 4 Nov. 2005

haveaniceday schrieb:
Mich irritiert, dass inetd genutzt wird. Ist schon etwas älter und nicht mehr so ganz üblich.

Ist ja auch noch SLES 8...

Ich würde mal ein "strace" versuchen.

Hmmm, werde ich bei Gelegenheit nachholen. Wahrscheinlich wird das nächste Woche ...

Als Befehl würde ich "echo Hallo" statt "whoami" verwenden.

Blöde Frage: Warum? Ich habe ihn im Beispiel weiter oben zusammen mit uname verwendet ...

Ein ferner Gedanke, hat bei dir jemand ein "rootkit" drauf ?

Auch was für nächste Woche...

PS: Gibt es alternativen zu in.rshd ? So um einzugrenzen, ob es daran liegt.

Ich habe ssh versucht. Das frägt wie gewohnt nach dem passwort. Wäre ja noch schöner ...

haveaniceday · 4 Nov. 2005

Als Befehl würde ich "echo Hallo" statt "whoami" verwenden.

Damit "strace" nur mit einem "echo" folgen muss. Andere Befehle mit "-f" => mehr Ausgabe..

PS: Gibt es alternativen zu in.rshd ? So um einzugrenzen, ob es daran liegt.

Ich meine eher: anderer alternativer rshd daemon. Um zu sehen ob gerade dieses
Paket einen Fehler enthält.

Haveaniceday

rsh automatic login

regexer

Advanced Hacker

oc2pus

Ultimate Guru

regexer

Advanced Hacker

haveaniceday

Hacker

regexer

Advanced Hacker

TeXpert

Guru

regexer

Advanced Hacker

TeXpert

Guru

haveaniceday

Hacker

regexer

Advanced Hacker

regexer

Advanced Hacker

haveaniceday

Hacker

TeXpert

Guru

regexer

Advanced Hacker

haveaniceday

Hacker