61 lines
4.1 KiB
Markdown
61 lines
4.1 KiB
Markdown
#linux #ssh
|
|
Port Knocking — это метод скрытой защиты, при котором все критически важные порты (например, 22) блокируются файрволлом и открываются только после получения специальной последовательности запросов (knocks) на заранее заданные закрытые порты. Пока атакующий не знает правильного порядка и тайминга, его порт-сканер увидит лишь, что порт 22 просто закрыт.
|
|
|
|
Как дополнительный фактор защиты, port knocking может снизить обнаружение сервиса, а не пытаться бороться с последствиями (брутфорс, эксплуатация уязвимости).
|
|
|
|
⚙️ **Как настроить knockd на Linux**
|
|
|
|
Самый популярный инструмент — демон `knockd`. В большинстве дистрибутивов он ставится стандартным способом.
|
|
|
|
**1. Установка:**
|
|
```bash
|
|
apt update && apt install knockd iptables-persistent -y
|
|
```
|
|
|
|
**2. Настройка автозапуска:**
|
|
Редактируем `/etc/default/knockd`. Меняем `START_KNOCKD=0` на `START_KNOCKD=1`.
|
|
|
|
**3. Конфигурация knockd в `/etc/knockd.conf`:**
|
|
|
|
```ini
|
|
[options]
|
|
Interface = eth0
|
|
logfile = /var/log/knockd.log
|
|
|
|
[openSSH]
|
|
sequence = 661,671,681
|
|
seq_timeout = 5
|
|
tcpflags = syn
|
|
start_command = /sbin/iptables -I INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
|
|
stop_command = /sbin/iptables -D INPUT -s %IP% -p tcp --dport 22 -j ACCEPT
|
|
cmd_timeout = 30
|
|
```
|
|
|
|
**Описание параметров:**
|
|
|
|
> 🟢 Interface — сетевой интерфейс, который будет прослушиваться.
|
|
> 🟢 logfile — файл логирования knockd (необязательный параметр).
|
|
> 🟢 sequence — последовательность портов для «стука». Можно также явно задать протокол (например, 661:udp, 671, 681:tcp).
|
|
> 🟢 seq_timeout — время в секундах, за которое необходимо завершить «стук».
|
|
> 🟢 tcpflags — флаги tcp, которые должны быть в «открывающей» последовательности. Можно указать несколько флагов или исключить их явно (например -fin,syn,ack), но в стандартной конфигурации используется флаг syn.
|
|
> 🟢 start_command — команда, выполняемая после успешного «стука».
|
|
> 🟢 stop_command — команда, выполняемая по истечении cmd_timeout.
|
|
> 🟢 cmd_timeout — время в секундах, на которое открывается порт.
|
|
|
|
**4. Запуск демона:**
|
|
```bash
|
|
systemctl enable knockd && systemctl start knockd
|
|
```
|
|
|
|
🔐 **Как открыть порт (клиент):**
|
|
|
|
С удаленного узла мы можем предъявить пропуск — простучать указанные порты в правильной последовательности.
|
|
|
|
knock -v target.host 661 671 681
|
|
|
|
|
|
В ответ ты увидишь: `hitting tcp target.host:661` → `hitting tcp target.host:671` → `hitting tcp target.host:681`. После этого соединение по SSH станет возможным.
|
|
|
|
💀 **Атака через knockknock**
|
|
|
|
Если последовательность слишком простая (например, идущие подряд порты), её можно перебрать. Быстрый способ — специальные брутфорс-утилиты, которые за секунды перебирают тысячи комбинаций, дожидаясь открытия порта. |