[Info] fritzbox boxusr in etc/passwd mit dropbear ssh shell [evtl] sicherheitsrisiko

[RalfFriedl]

Eher usb.cfg, je nach Firmware. Und suche nach UserID.

 

[koyaanisqatsi]

Ich denke: Die User aus der ar7.cfg gehen in die /etc/passwd, die aus der usb.cfg haben Zugriffsrechte?
Denn, die ID 13 fehlt in der usb.cfg, bei mir. Die ist aber in der passwd und in der ar7.cfg.

So ists halt in meiner 7360SL und 7270v2.

 

[meisterlei]

wow .. ok, danke

also folgende lösung(Vorschlag), AVM s Verwendung von etc/passwd ist ... naja ...

wer dropbear auf einer Fritzbox ausführt sollte überlegen dies mit der option -0 (Null) tun,
wer z.B. den anweisungen von fritzmod.net gefolgt ist dürfte dann in der debug.cfg in der entsprechenden Zeile stehen haben (edit: steht mitlerweile so auch auf fritzmod)
$TEMP/dropbear -p 22 -r $TEMP/dropbear_rsa_host_key -d $TEMP/dropbear_dss_host_key -0 -S $TEMP/sftp-server
man sollte eventuell bedenken den Port 22 zu ändern (normal standard 22) (editier:klarer)

 

[RalfFriedl]

Wieso ist es nicht empfohlen, den SSH Port zu ändern?
Damit wird man damit von den meisten SSH Scans nicht mehr erfasst. Bei einem normalen System mit starkem Passwort spart man sich damit massenhaft Log-Einträge, die das Log unübersichtlicher machen. Auf einer Fritz Box verhindert man damit zusätzlich, dass diese wegen Überlastung rebootet.
Der einzige Nachteil ist, dass man zum Verbinden den Port zusätzlich angeben muss.

 

[meisterlei]

nene, ich mein schon ds gleiche - nur missverständlich formuliert - obwohl port 22 standard ist, ist er (aus eben deinen gründen bspw.) nicht empfohlen

 

[koyaanisqatsi]

Wobei:
Lokal ist Port 22 ersteinmal unbedenklich (Ausnahme: CROSS SITE SCRIPTING).
Dagegen kann surfen/mailen nur über Gastzugang helfen.
Die Freigabe ins Internet sollte nicht auf Port 22 sondern Jenseits der ersten 1024 Ports liegen.
Sonst sind Scans und Verbindungsversuche im Logfile ganz natürlich.