Zum Inhalt springen

Shellinabox/Sicherheit: Unterschied zwischen den Versionen

Aus Foxwiki
Versionsgeschichte interaktiv durchsuchen
← Zum vorherigen Versionsunterschied
Dirkwagner (Diskussion | Beiträge)
Bürokraten, Oberflächenadministratoren, Administratoren
141.983 Bearbeitungen
VisuellWikitext
Keine Bearbeitungszusammenfassung
K Textersetzung - „–“ durch „-“
 
(48 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
== Sicherheit ==
'''Shellinabox/Sicherheit'''
Der Daemon verwendet Techniken zur Privilegientrennung, um Privilegien frühzeitig zu löschen. Er erkennt setuid-Flags und schränkt einige Vorgänge ein, wenn er als setuid-Anwendung gestartet wird.


Trotz dieser Sicherheitsfunktionen könnte ein Fehler dazu führen, dass ein entschlossener Angreifer erweiterte Berechtigungen erhält. Es wird daher dringend davon abgeraten, das setuid-Flag für die Binärdatei zu setzen.
== Beschreibung ==
* Shellinabox ermöglicht es Benutzern, sich mit Benutzernamen und Passwort anzumelden und gewährt Zugriff auf eine Anmelde-Shell, ähnlich wie [[SSH]]
* Während Shellinabox für Systemadministratoren sehr praktisch ist, kann es für Hacker einen einfachen Einstiegspunkt bieten, wenn es nicht ordnungsgemäß gesichert ist


Die erwartete Bereitstellung erfolgt über ein System-rc-Skript, das von /sbin/init gestartet wird. Für zusätzliche Sicherheit sollten die Optionen --group und --user verwendet werden, um zu einem dedizierten Benutzer zu wechseln.
; Privilegientrennung
'''shellinaboxd''' verwendet Techniken zur Privilegientrennung, um Privilegien frühzeitig zu löschen


= TMP =
; setuid-Flag
== Increase Shellinabox Security ==
Er erkennt setuid-Flags und schränkt einige Vorgänge ein, wenn er als setuid-Anwendung gestartet wird
* Trotz dieser Sicherheitsfunktionen könnte ein Fehler dazu führen, dass ein entschlossener Angreifer erweiterte Berechtigungen erhält


[https://code.google.com/p/shellinabox/ Shell-In-A-Box] a web based AJAX terminal emulator to remotely control you Linux Server. Recently, I explained [https://www.smarthomebeginner.com/install-shellinabox-on-ubuntu/ how to install Shellinabox on Ubuntu] and [https://www.smarthomebeginner.com/install-ssh-server-on-ubuntu-1204/ how to install SSH server on Ubuntu]. This post explains, how to increase '''Shellinabox security''' on Apache webservers. Shellinabox allows users to login using their username and password and grants access to their login shell, exactly like SSH remote access. While Shellinabox offers great convenience to system administrators, it can offer an easy entry point for hackers if it is not secured properly. Without further delay, let us look at some of the ways you can increase Shellinabox security.
; Warung
: Es wird daher dringend davon abgeraten, das setuid-Flag für die Binärdatei zu setzen!


=== Easy Steps to Increase Shellinabox Security ===
; Init
Die erwartete Bereitstellung erfolgt über ein System-rc-Skript, das von /sbin/init gestartet wird


There are multiple ways to secure your Shellinabox installation. Described below are 5 easy things you can do to increase your ''Shellinabox security''. Before we begin, it is good to know how to start, stop, and restart Shellinabox and Apache. Use the following commands to restart Shellinabox and Apache:
; Zusätzliche Sicherheit
Für zusätzliche Sicherheit sollten die Optionen --group und --user verwendet werden, um zu einem dedizierten Benutzer zu wechseln


== Maßnahmen ==
; Erhöhung der Shellinabox-Sicherheit
Es gibt mehrere Möglichkeiten, Ihre Shellinabox-Installation zu sichern
* Im Folgenden werden fünf einfache Maßnahmen beschrieben, mit denen Sie die "Shellinabox-Sicherheit" erhöhen können
* Bevor wir beginnen, sollten Sie wissen, wie Shellinabox und Apache gestartet, gestoppt und neu gestartet werden


{| style="border-spacing:0;width:8.156cm;"
Verwenden Sie die folgenden Befehle, um Shellinabox und Apache neu zu starten
|-
sudo service shellinabox reload
|| 1
sudo service apache2 reload


2
== Port ändern ==
|| <tt>sudo service shellinabox reload</tt>
Shellinabox lauscht standardmäßig auf Port 4200
* Sie können Shellinabox über <tt>https://localhost:4200</tt> aufrufen
* Das Problem ist, dass auch Hacker dies wissen
* Wenn sie also Ihre IP-Adresse kennen, können sie auf Ihre Shellinabox zugreifen, indem sie <tt>https://XXX.XXX.XXX.XXX:4200</tt> aufrufen, wobei XXX.XXX.XXX.XXX für Ihre IP-Adresse steht
* Wenn Sie den Standard-Überwachungsport in einen zufälligen Port ändern, ist es für Hacker schwieriger, auf Ihre Shellinabox zuzugreifen


<tt>sudo service apache2 reload</tt>
Um dies unter Linux/Ubuntu zu tun, müssen Sie <tt>/etc/default/shellinabox</tt> bearbeiten
|-
sudo editor /etc/default/shellinabox
|}


Suchen Sie nach den folgenden Zeilen und ändern Sie die Portnummer von der Standardnummer 4200 in einen anderen zufälligen Port (beispielsweise 6125)
# TCP port that shellinboxd's webserver listens on
SHELLINABOX_PORT=6125


To find out how to start, stop, and restart Shellinabox using simple and convenient aliases, [https://www.smarthomebeginner.com/create-shortcut-to-commands-using-bashaliases-in-ubuntu/ refer to this post].
Speichern und beenden
* Starten Sie Shellinabox wie oben beschrieben neu
* Ihre Shellinabox sollte nun unter <tt>https://localhost:6125</tt> verfügbar sein
* Wenn Sie [https://www.smarthomebeginner.com/setup-port-forwarding-on-router/ Portweiterleitung einrichten] auf Ihrem Router/DHCP-Server haben, können Sie auf Ihre Shellinabox über <tt>https://XXX.XXX.XXX.XXX:6125</tt> zugreifen, wobei XXX.XXX.XXX.XXX Ihre externe IP-Adresse ist
* Wenn Sie einen Domainnamen eingerichtet haben, der auf Ihre IP-Adresse verweist, können Sie Ihre Shellinabox über <tt>https://domain.com:6125</tt> erreichen


=== 1. Change default listening port ===
== SSL aktivieren ==
Beim Zugriff auf die Shellinabox über <tt>http</tt> werden alle Informationen als unverschlüsselte Daten gesendet
* Dies kann gefährlich sein, wenn Sie über das Internet auf Ihre Shellinabox zugreifen
* Die Lösung besteht darin, die Daten während der Übertragung zu verschlüsseln, wodurch das Ausspähen durch Hacker erschwert wird


Shellinabox by default listens on port 4200. You would access Shellinabox by going to <tt>http://localhost:4200</tt>. The problem is hackers know this as well. So if they know your IP address they could access your Shellinabox by going to <tt>http://XXX.XXX.XXX.XXX:4200</tt>, where the XXX.XXX.XXX.XXX represents your IP address. Therefore changing the default listening port to a random port makes it difficult for hackers to reach your Shellinabox. To do this on Linux/Ubuntu you will have to edit <tt>/etc/default/shellinabox</tt>:
Um den HTTPS-Zugriff auf Linux-Servern mit Apache zu aktivieren und durchzusetzen, installieren Sie die folgenden Laufzeitbibliotheken
sudo apt install libssl0.9.8 libpam0g openssl


Starten Sie Ihre Shellinabox und den Apache-Server neu
* Sie sollten nun nur noch über <tt>https://localhost:6125</tt> darauf zugreifen können
* Beachten Sie, dass Sie möglicherweise ein SSL-Zertifikat generieren lassen müssen
* Wenn Sie Ihr eigenes Zertifikat generieren möchten, finden Sie weitere Informationen unter [https://httpd.apache.org/docs/2.2/ssl/ssl_faq.html Apache-Dokumentation]


{| style="border-spacing:0;width:8.918cm;"
Standardmäßig installiert das System selbstsignierte Zertifikate
|-
* Diese Zertifikate lösen wahrscheinlich Warnungen aus, wenn Sie Ihren Browser auf die Website richten
|| 1
|| <tt>sudo nano /etc/default/shellinabox</tt>
|-
|}


== Auf Localhost beschränken ==
Sie können den Zugriff auf Shellinabox auf Localhost beschränken
* Mit anderen Worten: Sie können nur von dem System aus auf Shellinabox zugreifen, auf dem es ausgeführt wird


Find the lines below and change the port number from the default 4200 to another random port (eg. 6125):
Um dies unter Linux/Ubuntu zu tun, müssen Sie <tt>/etc/default/shellinabox</tt> wie unten gezeigt bearbeiten
sudo editor /etc/default/shellinabox


Suchen Sie die folgende Zeile und fügen Sie <tt>--localhost-only</tt> am Ende hinzu (wie unten dargestellt)
SHELLINABOX_ARGS="--no-beep --localhost-only"


{| style="border-spacing:0;width:12.982cm;"
Speichern Sie die Zeile und starten Sie Shellinabox neu
|-
* Dadurch kann zwar die Sicherheit von Shellinabox erhöht werden, allerdings wird der Zugriff auf Ihre Shellinabox von anderen Systemen und der Fernzugriff über das Internet verhindert
|| 1
* Dies kann sehr lästig sein
* Sie können diesen Nachteil beheben, indem Sie den Apache-Reverse-Proxy einrichten, wie in Schritt 4 beschrieben


2
== Apache-Reverse-Proxy ==
|| <tt><nowiki># TCP port that shellinboxd's webserver listens on</nowiki></tt>
Um die Sicherheit Ihrer Shellinabox noch weiter zu erhöhen, können Sie einen Apache Reverse Proxy einrichten


<tt>SHELLINABOX_PORT=6125</tt>
Dazu müssen Sie zunächst <tt>mod_proxy</tt> auf Apache aktivieren
|-
sudo a2enmod proxy
|}
Enabling module proxy.
To activate the new configuration, you need to run:
  systemctl restart apache2


Erstellen Sie dann eine Sicherungskopie von <tt>/etc/apache2/mods-available/proxy.conf</tt>
sudo cp -a /etc/apache2/mods-available/proxy.conf /etc/apache2/mods-available/proxy.conf.backup


Save and exit. Restart Shellinabox as described above. Your Shellinabox should now be available at <tt>http://localhost:6125</tt>. If you have [https://www.smarthomebeginner.com/setup-port-forwarding-on-router/ setup port forwarding] on your router/DHCP server, you can access your Shellinabox using <tt>http://XXX.XXX.XXX.XXX:6125</tt>, where XXX.XXX.XXX.XXX is your external IP address. If you have a domain name setup that refers to your IP address, then you can reach your Shellinabox using <tt>http://domain.com:6125</tt>
Bearbeiten Sie als Nächstes <tt>/etc/apache2/mods-available/proxy.conf</tt> und stellen Sie sicher, dass sie wie unten dargestellt aussieht
* Fügen Sie bei Bedarf vorhandene Zeilen hinzu und bearbeiten Sie sie


=== 2. Enable SSL ===
<syntaxhighlight lang="apache" line copy>
ProxyRequests off
<Proxy *>
AddDefaultCharset off order Allow, Deny
Allow from all
</Proxy>


Accessing Shellinabox through <tt>http</tt> sends all information as unencrypted data. This could be dangerous if you are working on your Shellinabox remotely from the internet. The solution is to encrypt the data during transfer, which makes sniffing by hackers harder. To enable and enforce HTTPS access on Linux servers with Apache, install the following run-time libraries:
<Location /shell>
ProxyPass https://localhost:6125/
order allow, deny
Allow from all
</Location>


Redirect permanent /shell https://domain.com/shell
</syntaxhighlight>


{| style="border-spacing:0;width:12.728cm;"
Starten Sie Shellinabox und Apache neu
|-
* Nun können Sie über <tt>https://localhost/shell</tt> oder <tt>https://XXX.XXX.XXX.XXX/shell</tt> auf Ihre Shellinabox zugreifen (über das Internet unter Verwendung Ihrer IP-Adresse - erfordert [https://www.smarthomebeginner.com/setup-port-forwarding-on-router/ Portweiterleitung])
|| 1
* Die letzte Zeile im obigen Code ermöglicht Ihnen den Zugriff auf Shellinabox über <tt>https://domain.com/shell</tt>
|| <tt>sudo apt-get install libssl0.9.8 libpam0g openssl</tt>
* Ignorieren Sie sie, wenn Sie keinen Domainnamen haben, der auf Ihre IP-Adresse verweist
|-
|}


Dadurch wird die Sicherheit von Shellinabox erhöht, da der Shellinabox-Port nicht nach außen offengelegt wird


Restart your Shellinabox and Apache server. It should now be accessible only through <tt>https://localhost:6125</tt>. Note that you may have to have a SSL certificate generated. Refer to [http://httpd.apache.org/docs/2.2/ssl/ssl_faq.html Apache documentation] if you want to generate your own certificate. By default, the system will install self-signed certificates for you. These certificates are likely to raise warnings when you point your browser to the site.
== Apache-Authentifizierung ==
Zu guter Letzt aktivieren Sie die Authentifizierung
* Jedes Mal, wenn Sie auf Shellinabox zugreifen, werden Sie nach einem Benutzernamen und einem Passwort gefragt, wie in der folgenden Abbildung dargestellt


====== Recommended Guides Secure Shell/SSH: ======
[[File:apacheAuthentifizierung.png|mini|200px|Apache-Authentifizierung]]


* [https://www.amazon.com/SSH-Mastery-OpenSSH-PuTTY-Tunnels/dp/1642350028/?tag=shbeg-20 SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys]
Dazu müssen Sie zunächst eine <tt>.htpasswd</tt>-Datei erstellen
* [https://www.amazon.com/SSH-Secure-Shell-Definitive-Guide/dp/0596008953/?tag=shbeg-20 SSH, The Secure Shell: The Definitive Guide]
* Weitere Informationen finden Sie in der [https://httpd.apache.org/docs/2.2/programs/htpasswd.html Apache-Dokumentation]
* [https://www.amazon.com/dp/1593279523/?tag=shbeg-20 The Linux Command Line, 2nd Edition]
* Am einfachsten ist es jedoch, einen der online verfügbaren htpasswd-Generatoren zu verwenden


Nach Eingabe von Benutzername und Passwort werden zwei Codeblöcke generiert
* Kopieren Sie den Inhalt des <tt>.htpasswd</tt>-Codeblocks und speichern Sie ihn unter <tt>/etc/apache2/.htpasswd_siab</tt>
* Kopieren Sie anschließend den Inhalt des <tt>.htaccess</tt>-Codeblocks und fügen Sie ihn wie unten dargestellt zu <tt>/etc/apache2/mods-available/proxy.conf</tt> hinzu


<syntaxhighlight lang="apache" line copy>
<Location /shell>
ProxyPass https://localhost:6125/
order allow, deny
Allow from all
AuthUserFile /etc/apache2/.htpasswd_siab
AuthName "My Protected Area"
AuthType Basic
require valid-user
</Location>
Redirect permanent /shell https://domain.com/shell
</syntaxhighlight>


=== 3. Restrict Shellinabox to Localhost Only ===
Speichern und beenden
* Starten Sie Shellinabox und Apache neu
* Sie sollten jedes Mal, wenn Sie versuchen, auf Shellinabox zuzugreifen, zur Eingabe eines Kennworts aufgefordert werden


You can restrict access to Shellinabox from Localhost only. In other words you can access Shellinabox only from the system on which it is running. To do this on Linux/Ubuntu you will have to edit <tt>/etc/default/shellinabox</tt> as shown below:
Nachdem Sie alle Konfigurationen/Bearbeitungen abgeschlossen haben, führen Sie den folgenden Befehl aus, um sicherzustellen, dass Ihre neuen Shellinabox-Standardwerte aktualisiert werden
sudo update-rc.d shellinabox defaults


Starten Sie Apache und Shellinabox neu


{| style="border-spacing:0;width:8.918cm;"
[[Kategorie:Shellinabox]]
|-
|| 1
|| <tt>sudo nano /etc/default/shellinabox</tt>
|-
|}
 
 
Find the line below and add <tt>--localhost-only</tt> at the end (as shown below):
 
 
{| style="border-spacing:0;width:11.712cm;"
|-
|| 1
|| <tt>SHELLINABOX_ARGS="--no-beep --localhost-only"</tt>
|-
|}
 
 
Save and restart Shellinabox. While this can increase Shellinabox security, it will prevent access to your Shellinabox from others systems and remote access through the internet. This can be a great inconvenience. You can overcome this drawback by setting up Apache reverse proxy as described in Step 4.
 
=== 4. Setup Shellinabox Apache Reverse Proxy ===
 
To add a layer of convenience to your Shellinabox security, you can setup Apache reverse proxy. To do this, you will have to first enable <tt>mod_proxy</tt> on Apache:
 
 
{| style="border-spacing:0;width:4.854cm;"
|-
|| 1
|| <tt>sudo a2enmod proxy</tt>
|-
|}
 
 
Then, make a backup of <tt>/etc/apache2/mods-available/proxy.conf</tt>:
 
 
{| style="border-spacing:0;width:17cm;"
|-
|| 1
|| <tt>sudo cp -a /etc/apache2/mods-available/proxy.conf /etc/apache2/mods-available/proxy.conf.backup</tt>
|-
|}
 
 
Next, edit <tt>/etc/apache2/mods-available/proxy.conf</tt> and make sure it looks like what is shown below. Add and edit any existing lines as necessary.
 
 
[[Image:Bild2.png|top|alt="Shellinabox Reverse Proxy"]]
 
 
Save and exit. Restart Shellinabox and Apache. Now you can access your Shellinabox through <tt>https://localhost/shell</tt> or <tt>https://XXX.XXX.XXX.XXX/shell</tt> (from internet using your IP address - requires [https://www.smarthomebeginner.com/setup-port-forwarding-on-router/ port forwarding]). The last line in the code above allows you to access Shellinabox through <tt>https://domain.com/shell</tt>. Ignore it if you do not have a domain name that refers to your IP address.
 
What this does is to increase Shellinabox security by not revealing the Shellinabox port to the outside world.
 
====== Recommended Guides Secure Shell/SSH: ======
 
* [https://www.amazon.com/SSH-Mastery-OpenSSH-PuTTY-Tunnels/dp/1642350028/?tag=shbeg-20 SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys]
* [https://www.amazon.com/SSH-Secure-Shell-Definitive-Guide/dp/0596008953/?tag=shbeg-20 SSH, The Secure Shell: The Definitive Guide]
* [https://www.amazon.com/dp/1593279523/?tag=shbeg-20 The Linux Command Line, 2nd Edition]
 
 
 
=== Apache Authentication ===
 
Last but not the lease, enable Authentication. Every time you access Shellinabox, you will be asked for a username and password as shown in the picture below:
 
[[Image:Bild3.png|top|alt="Shellinabox Security"]]
 
To do this you will, first have to create a <tt>.htpasswd</tt> file. More information is available in [http://httpd.apache.org/docs/2.2/programs/htpasswd.html Apache documentation]. But the easiest way to achieve this is to use one of the htpasswd generators available online.
 
After you enter the username and password two code blocks will be generated. Copy the contents of the <tt>.htpasswd</tt> code block and save it to <tt>/etc/apache2/.htpasswd_siab</tt>. Next, copy the contents of the <tt>.htaccess</tt> code block and add it to <tt>/etc/apache2/mods-available/proxy.conf</tt> as shown below
 
 
[[Image:Bild4.png|top|alt="Shellinabox Reverse Proxy"]]
 
 
Save and exit. Restart Shellinabox and Apache. You should be prompted for a password everytime you try to access Shellinabox.
 
After you are done with all the configuration/editing, run the following command to ensure that your new Shellinabox defaults are updated:
 
 
{| style="border-spacing:0;width:9.68cm;"
|-
|| 1
|| <tt>sudo update-rc.d shellinabox defaults</tt>
|-
|}
 
 
Restart your Apache and Shellinabox one last time. Each step adds one additional layer of security. Together they increase your Shellinabox security and make it nearly impervious.
 
There you go. [https://www.smarthomebeginner.com/install-shellinabox-on-ubuntu/ Install Shellinabox] and follow the above steps to increase Shellinabox Security. Enjoy the convenience of web based terminal emulator.

Aktuelle Version vom 11. Mai 2025, 20:53 Uhr

Shellinabox/Sicherheit

Beschreibung

  • Shellinabox ermöglicht es Benutzern, sich mit Benutzernamen und Passwort anzumelden und gewährt Zugriff auf eine Anmelde-Shell, ähnlich wie SSH
  • Während Shellinabox für Systemadministratoren sehr praktisch ist, kann es für Hacker einen einfachen Einstiegspunkt bieten, wenn es nicht ordnungsgemäß gesichert ist
Privilegientrennung

shellinaboxd verwendet Techniken zur Privilegientrennung, um Privilegien frühzeitig zu löschen

setuid-Flag

Er erkennt setuid-Flags und schränkt einige Vorgänge ein, wenn er als setuid-Anwendung gestartet wird

  • Trotz dieser Sicherheitsfunktionen könnte ein Fehler dazu führen, dass ein entschlossener Angreifer erweiterte Berechtigungen erhält
Warung
Es wird daher dringend davon abgeraten, das setuid-Flag für die Binärdatei zu setzen!
Init

Die erwartete Bereitstellung erfolgt über ein System-rc-Skript, das von /sbin/init gestartet wird

Zusätzliche Sicherheit

Für zusätzliche Sicherheit sollten die Optionen --group und --user verwendet werden, um zu einem dedizierten Benutzer zu wechseln

Maßnahmen

Erhöhung der Shellinabox-Sicherheit

Es gibt mehrere Möglichkeiten, Ihre Shellinabox-Installation zu sichern

  • Im Folgenden werden fünf einfache Maßnahmen beschrieben, mit denen Sie die "Shellinabox-Sicherheit" erhöhen können
  • Bevor wir beginnen, sollten Sie wissen, wie Shellinabox und Apache gestartet, gestoppt und neu gestartet werden

Verwenden Sie die folgenden Befehle, um Shellinabox und Apache neu zu starten 

sudo service shellinabox reload
sudo service apache2 reload

Port ändern

Shellinabox lauscht standardmäßig auf Port 4200

  • Sie können Shellinabox über https://localhost:4200 aufrufen
  • Das Problem ist, dass auch Hacker dies wissen
  • Wenn sie also Ihre IP-Adresse kennen, können sie auf Ihre Shellinabox zugreifen, indem sie https://XXX.XXX.XXX.XXX:4200 aufrufen, wobei XXX.XXX.XXX.XXX für Ihre IP-Adresse steht
  • Wenn Sie den Standard-Überwachungsport in einen zufälligen Port ändern, ist es für Hacker schwieriger, auf Ihre Shellinabox zuzugreifen

Um dies unter Linux/Ubuntu zu tun, müssen Sie /etc/default/shellinabox bearbeiten 

sudo editor /etc/default/shellinabox

Suchen Sie nach den folgenden Zeilen und ändern Sie die Portnummer von der Standardnummer 4200 in einen anderen zufälligen Port (beispielsweise 6125) 

# TCP port that shellinboxd's webserver listens on
SHELLINABOX_PORT=6125

Speichern und beenden

SSL aktivieren

Beim Zugriff auf die Shellinabox über http werden alle Informationen als unverschlüsselte Daten gesendet

  • Dies kann gefährlich sein, wenn Sie über das Internet auf Ihre Shellinabox zugreifen
  • Die Lösung besteht darin, die Daten während der Übertragung zu verschlüsseln, wodurch das Ausspähen durch Hacker erschwert wird

Um den HTTPS-Zugriff auf Linux-Servern mit Apache zu aktivieren und durchzusetzen, installieren Sie die folgenden Laufzeitbibliotheken 

sudo apt install libssl0.9.8 libpam0g openssl

Starten Sie Ihre Shellinabox und den Apache-Server neu

  • Sie sollten nun nur noch über https://localhost:6125 darauf zugreifen können
  • Beachten Sie, dass Sie möglicherweise ein SSL-Zertifikat generieren lassen müssen
  • Wenn Sie Ihr eigenes Zertifikat generieren möchten, finden Sie weitere Informationen unter Apache-Dokumentation

Standardmäßig installiert das System selbstsignierte Zertifikate

  • Diese Zertifikate lösen wahrscheinlich Warnungen aus, wenn Sie Ihren Browser auf die Website richten

Auf Localhost beschränken

Sie können den Zugriff auf Shellinabox auf Localhost beschränken

  • Mit anderen Worten: Sie können nur von dem System aus auf Shellinabox zugreifen, auf dem es ausgeführt wird

Um dies unter Linux/Ubuntu zu tun, müssen Sie /etc/default/shellinabox wie unten gezeigt bearbeiten 

sudo editor /etc/default/shellinabox

Suchen Sie die folgende Zeile und fügen Sie --localhost-only am Ende hinzu (wie unten dargestellt) 

SHELLINABOX_ARGS="--no-beep --localhost-only"

Speichern Sie die Zeile und starten Sie Shellinabox neu

  • Dadurch kann zwar die Sicherheit von Shellinabox erhöht werden, allerdings wird der Zugriff auf Ihre Shellinabox von anderen Systemen und der Fernzugriff über das Internet verhindert
  • Dies kann sehr lästig sein
  • Sie können diesen Nachteil beheben, indem Sie den Apache-Reverse-Proxy einrichten, wie in Schritt 4 beschrieben

Apache-Reverse-Proxy

Um die Sicherheit Ihrer Shellinabox noch weiter zu erhöhen, können Sie einen Apache Reverse Proxy einrichten

Dazu müssen Sie zunächst mod_proxy auf Apache aktivieren 

sudo a2enmod proxy
Enabling module proxy.
To activate the new configuration, you need to run:
  systemctl restart apache2

Erstellen Sie dann eine Sicherungskopie von /etc/apache2/mods-available/proxy.conf 

sudo cp -a /etc/apache2/mods-available/proxy.conf /etc/apache2/mods-available/proxy.conf.backup

Bearbeiten Sie als Nächstes /etc/apache2/mods-available/proxy.conf und stellen Sie sicher, dass sie wie unten dargestellt aussieht

  • Fügen Sie bei Bedarf vorhandene Zeilen hinzu und bearbeiten Sie sie



ProxyRequests off
<Proxy *>
 AddDefaultCharset off order Allow, Deny
 Allow from all
</Proxy>

<Location /shell>
 ProxyPass https://localhost:6125/
 order allow, deny
 Allow from all
</Location>

Redirect permanent /shell https://domain.com/shell

Starten Sie Shellinabox und Apache neu

Dadurch wird die Sicherheit von Shellinabox erhöht, da der Shellinabox-Port nicht nach außen offengelegt wird

Apache-Authentifizierung

Zu guter Letzt aktivieren Sie die Authentifizierung

  • Jedes Mal, wenn Sie auf Shellinabox zugreifen, werden Sie nach einem Benutzernamen und einem Passwort gefragt, wie in der folgenden Abbildung dargestellt
Apache-Authentifizierung

Dazu müssen Sie zunächst eine .htpasswd-Datei erstellen

  • Weitere Informationen finden Sie in der Apache-Dokumentation
  • Am einfachsten ist es jedoch, einen der online verfügbaren htpasswd-Generatoren zu verwenden

Nach Eingabe von Benutzername und Passwort werden zwei Codeblöcke generiert

  • Kopieren Sie den Inhalt des .htpasswd-Codeblocks und speichern Sie ihn unter /etc/apache2/.htpasswd_siab
  • Kopieren Sie anschließend den Inhalt des .htaccess-Codeblocks und fügen Sie ihn wie unten dargestellt zu /etc/apache2/mods-available/proxy.conf hinzu
<Location /shell>
 ProxyPass https://localhost:6125/
 order allow, deny 
 Allow from all
 AuthUserFile /etc/apache2/.htpasswd_siab
 AuthName "My Protected Area" 
 AuthType Basic
 require valid-user
</Location>
Redirect permanent /shell https://domain.com/shell

Speichern und beenden

  • Starten Sie Shellinabox und Apache neu
  • Sie sollten jedes Mal, wenn Sie versuchen, auf Shellinabox zuzugreifen, zur Eingabe eines Kennworts aufgefordert werden

Nachdem Sie alle Konfigurationen/Bearbeitungen abgeschlossen haben, führen Sie den folgenden Befehl aus, um sicherzustellen, dass Ihre neuen Shellinabox-Standardwerte aktualisiert werden 

sudo update-rc.d shellinabox defaults

Starten Sie Apache und Shellinabox neu

Abgerufen von „https://wiki.foxtom.de/index.php?title=Shellinabox/Sicherheit&oldid=142245“