「オープンハードセキュリティ #4」
https://openhardsecurity.connpass.com/event/183696/
のテキストです。

深センのものづくり企業 Ideagear の社内勉強会を兼ねて、セキュリティの初歩的なハンズオンをします。

やること

19:00 オープニング、ssh 設定、自己紹介、Ideagear の説明など
19:20 RaspberryPi にログイン、Linuxの基本操作
19:30 破壊行為実習
19:40 ハニーポッド設置、ログ監視
19:50 クロージング、次回開催のアナウンス

講師のRaspberry Pi 上にインターネット経由で ssh でログオンできるようにしています。

写真は別勉強会でRaspberryPiを使って更に他のワンボードマイコンの実験をしているところです。今回もこのようなシステムを使ってハンズオンを行います。

事前準備

今回使う情報を手元にメモしておいてください。

サーバアドレス
ssh ポート番号
ssh ユーザ名
ssh パスワード
自分のscreenセッション名 (connpass のエントリー名を元にします)

RaspberryPi にログイン

サーバに接続

ssh で指定したサーバに接続してください。
接続できたら以下のように表示されます。

Linux raspberrypi 4.19.118-v7+ #1311 SMP Mon Apr 27 14:21:24 BST 2020 armv7l

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Sun Jul 19 13:51:02 2020 from 192.168.42.17

Wi-Fi is currently blocked by rfkill.
Use raspi-config to set the country before use.

pi@raspberrypi:~ $

と出ます。
さて、以下のように表示されているところに入力していきます。

pi@raspberrypi:~ $

さて、$ の後ろに以下のように入力します。

pi@raspberrypi:~ $ screen -S hogehoge

この例では hogehoge が screen セッション名です。自分の screen セッション名に入れ替えてください。

の表示の後にキーボードから入力してエンターを押します。＄を含め、これより前の部分を入力する必要はありません。
この命令で screen セッションに接続します。セッションを共有して、作業を講師側でモニターします。

There is no screen to be attached matching hogehoge.

のように出た方はセッション名指定などがうまくできていません。講師にお声がけください。
正常に接続すると、画面が切り替わり再度

pi@raspberrypi:~ $

と表示されます。

今後、以下のように表示されているところを、

pi@raspberrypi:~ $

以下のように省略して表示しますので覚えていてください。$ のマークは入力可能であることを示していて、プロンプトと言います。プロンプトは状況により $ や # , > などがあります。

追加操作として、プロンプトを以下のように設定します

 $ export PS1="hogehoge $"

Linux の基本操作

ファイルの一覧を見てみます。

 $ ls
folder  test

ファイルの中身を見てみます。

ファイルの最初10行だけを見る方法です

 $ head test
1
2
3
4
5
6
7
8
9
10

ファイルの最後10行だけを見る方法です

 $ tail hogehoge
11
12
13
14
15
16
17
18
19
20

ディレクトリの中身を確認してみます

 $ ls folder
test2

ディレクトリに移動して、中身を確認してみます

 $ cd folder
 $ ls
test2

ディレクトリを1つ上に移動します。

 $ cd ..
 $ ls
folder  test

ディレクトリを新たに作成してみます。

hogehog は自分のセッション名に入れ替えてください。
ディレクトリを作ってみます。

 $ mkdir hogehoge
 $ ls
folder  hogehoge  test

今作ったディレクトリに移動して、中身を確認してみます

 $ cd hogehoge
 $ ls

ファイルを新たに作成してみます。


 $ touch hogehoge
 $ ls
hogehoge

今作ったファイルを消してみます。

 $ rm hogehoge
 $ ls

ディレクトリを一つ上に移ります。

 $ cd ..
 $ ls
folder  hogehoge  test

ディレクトリを削除します。

 $ rmdir hogehoge

破壊行為をしてみよう

先に学んだ削除コマンドで、ファイルを削除してみましょう。
システムの動作に必要なファイルも消すことができるでしょうか。

rm: cannot remove 'proc/1021/oom_score_adj': Operation not permitted
rm: cannot remove 'proc/1021/coredump_filter': Operation not permitted
rm: cannot remove 'proc/1021/io': Operation not permitted
rm: cannot remove 'proc/1021/uid_map': Operation not permitted
rm: cannot remove 'proc/1021/gid_map': Operation not permitted
rm: cannot remove 'proc/1021/projid_map': Operation not permitted
rm: cannot remove 'proc/1021/setgroups': Operation not permitted
rm: cannot remove 'proc/1021/timerslack_ns': Operation not permitted
rm: cannot remove 'root': Permission denied

アクセス権

通常の Linux は一般のユーザでは、システムに必要なファイルはみだりに消せないようになっています。しかしながら、sudo をするとスーパーユーザー権限で作業ができるようになり、一般のユーザーでは削除できないようなファイルも削除ができるようになります。

sudo は危険なので sudo ができるユーザは限られています。しかしながら Raspberry Pi ではデフォルトで作られている一般ユーザである " pi " だと sudo ができるようになっています。

破壊行為が行われた後

pi@raspberrypi:/ $ ls
bash: /bin/ls: No such file or directory

操作ができなくなっています。ssh からのログインもできません。

ハニーポッド設置

" pi " ユーザはデフォルトでパスワードが設定されていますが、それは広く知られています。デフォルトパスワードを使用していると、重大なセキュリティの問題となります。しかしながらデフォルトパスワードを変更せずに公開している事例も多くあるのが実情です。

ここでは、デフォルトパスワードを変更せずにインターネットに公開し、どのようなアクセスが発生するかをモニターします。

破壊したRapspberryPi とは別のRaspberry Pi にログオンします。

screen セッションで今度は講師のセッションに接続してください。

 $ screen -x hogehoge

ssh でログオンがなされたかどうかの記録ついては、/var/log/syslog に記録されています。

 $ tail -f /var/log/syslog

とすると、 /var/log/syslog
の末尾10行を表示します。今回は -f をつけているので末尾10行を表示した後待機し、ログが追加されたらその行を表示します。

クロージング、次回開催のアナウンス

お疲れ様でした。