Scan en SSH-nøgle gennem et eksisterende proxy-relay

Indsaml kandidat-værtnøgler gennem et lokalt TCP-relay, mens forskellen mellem relayets etiket og den rigtige SSH-vært bevares.

ssh-keyscan accepterer ikke SSH's ProxyCommand-indstilling. En proxy, der er konfigureret til ssh, konfigurerer derfor ikke automatisk den separate scanner.

En løsning er et allerede etableret lokalt TCP-relay, som gennemfører den nødvendige proxy-godkendelse og CONNECT-udveksling og derefter blotlægger den tilsigtede SSH-servers bytestrøm. Hvis relayet lytter på 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Den første kommando indsamler kandidatnøgler; den anden viser deres fingeraftryk. Relayet skal sende SSH-strømmen videre, efter at det har forbrugt det komplette proxy-svar, i stedet for at give HTTP-headere til scanneren.

Værtsetiketten i outputtet beskriver relayets lokale endepunkt. Føj den ikke uændret til, og antag ikke, at den nu identificerer det eksterne SFTP-værtsnavn.

Bekræft fingeraftrykket via en betroet registrering eller administratoren, før nøglen knyttes til den rigtige vært og port i known_hosts. ssh-keyscan indsamler det, det tilgængelige endepunkt præsenterer; en vellykket proxy-forbindelse godkender ikke den nøgle.

Relaterede artikler