东东东 陈煜东的博客

标签存档: ssh

ssh密钥登录失败

搞一个ssh的密钥登录,结果发现就是无法使用密钥登录,非让我输入密码。苦恼。

输入ssh连接代码

ssh -i private.key -v user@host.com -p22

从连接的信息中看不出有什么问题。

debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug1: Next authentication method: publickey
debug1: Offering public key: private.key
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic,password
debug1: Next authentication method: password

已经提示说了,使用公钥登录,并且提供了私钥,但是还是提示让我输入密码。

但是我使用另外一个帐号去登录,发现是ok的,可以登录成功。我把成功的那个authorized_keys复制到我的那个用户名下,发现还是不能登录。但是验证了服务器的sshd功能是正常运行的,否则另外一个账户就没办法登录了。我觉得两个用户名的所在的环境应该是相同了,但是确实无法登录。

想到了客户端这里的连接没有更多有效的信息,那就想到了去服务器上看看相关的信息。vim /var/log/secure查看一下日志。发现有这么一段话:

Authentication refused: bad ownership or modes for directory /home/user/.ssh

上网搜了一下这个问题,发现原来是.ssh的目录权限不对,设置一下正确的权限:

chmod 700 ~/.ssh

在此过程中还学习到了一个sshd的测试模式。

 /usr/sbin/sshd -p 10022 -d
      -d     以调试模式运行。服务器将在前台运行并发送非常详细的调试日志信息,
             服务器将只允许接入一个连接,并且不派生出子进程。仅用于调试目的。
             使用多个 -d 选项可以输出更详细的调试信息(最多3个)。

会开启一个sshd的调试模式,新建一个10022端口,在客户端连接这个端口的时候,服务器端会有debug日志输出在屏幕上,这个时候就可以查看详细的信息。然后再针对信息进行解决。

总结

服务器用户对于ssh目录权限有一些权限要求,权限不对的话ssh无法工作,建议以下权限作为最小的权限。

chmod 700 .ssh          # chmod 755 .ssh 也是可以的
chmod 600 .ssh/authorized_keys
chmod 400 .ssh/private.key  #把密钥的权限也设置为最小

终于又可以愉快的编程了。

分类: Linux

Linux下ssh动态端口转发

SSH协议是一个非常棒的协议,因为他的存在,在互联网上传输才会的安全。

一般在Linux上,ssh客户端程序都会安装,ssh服务端程序不会安装。如果需要安装自己apt或者yum安装一下。

ssh的端口转发给我们带来了很多方便。比如我们在一个公共的WIFI环境或者局域网中,我们的网络包可以被他们截取,有了ssh的端口转发,他们之间会有一个加密的过程,防止被监听。

另外通过ssh端口转发,我们可以访问一些不能访问的网站。想象一下,你处于一个局域网中、或者学校的网络中,那么你的网络无法访问某些网站,此限制看网络管理员是如何限制的。比如在天朝,你无法访问facebook;再或者有些网站会封锁中国的IP,这些通过ssh的端口转发,就可以轻松的访问到。

ssh端口转发

ssh端口转发

根据图例说明:我们用浏览器访问www.google.com,此时浏览器开启了一个端口15453,但是发现在访问到某个节点,此网络包被丢弃了或者返回了错误的信息,导致我们无法访问www.google.com。但是我们想到了另外的一个方法,因为我们发现我们可以访问proxy.remotehost.com,而且他可以访问google.com,因此我们利用proxy.remotehost.com来做一个跳转。

因此我们利用的ssh的动态端口转发技术来达到这个目的。通过命令,我们在本地开启了一个7070端口,并且将7070端口关联到了proxy.remotehost.com的22号端口上。通过对浏览器设置,将所有的请求都转发到127.0.0.1:7070上,通过ssh的隧道,会将数据包传递到了proxy.remotehost.com:22。proxy服务器会随机开启一个端口去访问google.com。然后将数据在返回给proxy,再返回给浏览器。这就是一个代理转发的一个过程了。

下面我来看看如何具体的操作。

基本的动态端口转发

首先在我们的机器运行一下命令,先开启本机的7070端口到远程的22号端口的连接。

ssh -D 7070 -l username proxy.remotehost.com

参数说明:

  • -D 7070 -D [bind_address:]port D参数说明我们开启一个本地的端口转发。通过在本地分配一个socket去监听端口。只要有连接请求到这个port上来时,这个连接就会被安全通过给转发出去,应用程序的协议将有远程机器来决定连接到哪里。目前支持SOCKS4SOCKS5协议,ssh会扮演一个SOCKS5服务器。另外只有root用于才能转发原始端口。
  • -l username 小写字母l参数指定了登录ssh服务器的用户名
  • proxy.remotehost.com 指定了我们需要登录的远程ssh服务器。默认使用ssh程序的指定端口,一般是22号端口,除非系统做了修改

通过这一个命令,再配合一下浏览器的设置,我们就能访问被封锁的网站了。但是不能太高兴了,还是有些问题的。

帐号一登录成功就被退出了?

我的帐号在输入密码成功后,就被强制退出了,这样不就不能进行动态端口转发了吗?

其实这情况很容易解决,因为你的帐号被远程服务器做了手脚了,ssh服务器禁止这个帐号登录请求shell终端了,不能执行远程命令。目的是防止你登录他的系统进行命令的操作。一般专门用于代理的帐号都做了这个限制。

这个时候我们就需要增加一个参数-N来解决这个问题了。

ssh -D 7070 -l username proxy.remotehost.com -N

-N 参数是不请求一个shell界面,不执行远程命令。这个在只是端口转发的时候非常实用(只能在SSH2协议下工作,现在一般都是SSH2协议了,SSH1协议有安全问题,基本不用了)

让这个端口转发连接后台运行

如果只是上面的命令,在登录成功后,你是无法在当前的shell终端中进行任何的操作的,此时你想要干其他的事情只能再起一个端口了。

通常这个是没有意义的,放一个无用的窗口在那边,我们可以增加一个-f参数,让这个连接在后台运行

ssh -D 7070 -l username proxy.remotehost.com -Nf

这样我们就可以用当前的shell终端继续工作了。或者弄一个开机自动运行的脚本,开机自动连接。

给ssh连接增加http代理

如果你的PC无法直接访问到ssh服务器上,但是只有http代理可以访问,那么我们要建立这个socks5的动态端口转发只能为他加上一个代理了。

ssh -D 7070 -l username proxy.remotehost.com -Nf -o ProxyCommand="connect -H web-proxy.oa.com:8080 %h %p "

加上了-o ProxyCommand="connect -H web-proxy.oa.com:8080 %h %p "这个参数,就让我们的ssh连接建立在了一个http代理上了,这个应用对于在公司内网里面非常实用。

其中ProxyCommand指定了使用connect程序来进行代理。通常还可以使用corkscrew来达到相同的效果。

附connect的安装。

如果你是Ubuntu或者Debain系列的使用

sudo apt-get install connect-proxy

如果你是Ubuntu、Debain系列没找到源或者是Centos系列的,需用从下面去访问下载http://pkgs.org/download/connect-proxy。寻找一个适合你系统的包下载下来。

rpm -ivh connect-proxy-1.93-2.el6.x86_64.rpm
或者rpm -Uvh connect-proxy-1.93-2.el6.x86_64.rpm

一段时间没动作,连接自动断开了

一段时间没有发送消息,就出现了

Write failed: Broken pipe

这样的情况,这样的情况就是因为长时间没有发送消息,此隧道被关闭了。

因此我们需要设置一下ssh,让其每隔一段时间就发送一些消息,想服务器说明我还活着,不管关闭了我们的连接。

ssh -D 7070 -l username proxy.remotehost.com -Nf -o ProxyCommand="connect -H web-proxy.oa.com:8080 %h %p " -o ServerAliveInterval=60

分类: 网络

ssh非交互式密码授权(三):使用密钥进行认证

说明:本文中的密码如无特殊说明,均指的是口令

在前面的两个方法中,我们登录都是需要使用密码来进行认证,今天介绍一种ssh无需输入密码的登录方式,免去了记忆、保存密码(口令)的不便。当有密码的时候,会存在着一些严重的问题:

  • 你需要去记住一个密码,而且为了安全,你的密码必须很长并且最好是随机的,但是这个记忆(保存)需要成本
  • 如果远程主机被攻陷,对方修改ssh程序,可以截获你的密码
  • 多人(多处)使用同一个帐号,存在修改密码,需要周知到很多人(修改代码中的密码)

但是如果使用ssh的密钥(公钥、私钥)认证,那么以上都不是问题。

使用ssh-keygen生成密钥对

要使用这种认证方式,我们需要先生成密钥对。一个私钥,这个放在我们的客户端机器上;公钥,这个可以放在我们想登录的服务器上。

本文以openSSH来说明,目前大部分的Linux/unix都在使用这个程序。 默认情况下,openSSH的ssh-keygen使用的SSH2协议,并且生成RSA密钥对。

user@ubuntu:~/.ssh$ ssh-keygen -C " this is comment "
Generating public/private rsa key pair.
Enter file in which to save the key (/home/user/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/user/.ssh/id_rsa.
Your public key has been saved in /home/user/.ssh/id_rsa.pub.
The key fingerprint is:
ff:9e:ef:ad:4f:c6:e8:92:d0:6d:4e:ab:5d:9a:ad:66  this is comment
The key's randomart image is:
+--[ RSA 2048]----+
|                 |
|                 |
|                 |
|                 |
|        S  . .   |
|         .. . +o |
|          .. =..=|
|           .o+EO |
|           .=BX++|
+-----------------+

使用ssh-keygen这个程序,就可以生成ssh的公钥和私钥了。参数-C代表注释,可以没有这个参数。

第3行是询问将生成的密钥对存放在哪里,直接回车存放在默认的位置就可以了。

第4行、第5行是让你输入口令短语,这个用于加密私钥的。如果你输入了,会使用它对私钥加密,这意味着你以后每次使用私钥,都要输入这个口令,用来解密私钥。无特殊要求下,这里留空。

查看一下id_rsa

user@ubuntu:~/.ssh$ cat id_rsa
-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

查看公钥内容,注意它是在一行里面的。

user@ubuntu:~/.ssh$ cat id_rsa.pub
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCcMDY0KEXYbmghzwONJqMWgB4N5RrOZ0IyJJUdH5K4Zivc2qfVB0PskhmO9d483ShoWFH/2t8rO1wckD3f5IacuJ4YhxQOe8qd9JwthNihHnfDJE6GjBU21/XSX+EVvtJYG/XjO9dk1IHLne2+/t0kzzvVGZlcVWcAwiKsOQzPUL2qNd9vfR4GOxfAiXx4dNl2HLvknSr6EV6EIe/I7VmtfxY2xadAMyUid0OD5cALtTz61lGzC0LJVnliofVatxa+tDElFLdng2yO5leAVNPo1Ccmp6ZWN3wC3URlv8lrioCnwXHMwV+OpQwyY5Q56pEEyx6GyJq+00/3uwofh5kd  this is comment

user@ubuntu:~/.ssh$ clip < id_rsa.pub   # 复制到粘贴板

本篇不多说ssh-keygen的相关参数,如果需要,可以访问http://linux.die.net/man/1/ssh-keygen进行查阅。

到远程服务器部署公钥

需要让服务器知道是我们去连接服务器的,那么我就就需要手工的将公钥添加到远程服务器上,这样去连接服务器的时候,通过验证后,就可以连接上服务器了。

可以手工的rz公钥到服务器上,或者scp到服务器上。

对于OpenSSH来说,我们需要将公钥加入到~/.ssh/authorized_keys中。每个公钥一行,千万注意不要换行,否则可能不能正常工作。

user@ubuntu:~/.ssh$ scp id_rsa.pub username@remotehost:~/.ssh/
username@remotehost's password:

## 远程服务器上
username@remotehost:~/.ssh$ cat id_rsa.pub >>  authorized_keys

# 修改一下权限。
username@remotehost:~/.ssh$ chmod 600  authorized_keys

注意一下权限,不要让别人把公钥写入这个文件中。

这样,我们就可以直接ssh、scp访问到远程服务器了,不用再输入密码了。

默认情况下,我们使用ssh去访问远程服务器,默认会去读取一些私钥的文件名,我们可以使用ssh -v localost查看一下连接过程。

user@ubuntu:~/.ssh$ ssh -v localhost
OpenSSH_6.2p2 Ubuntu-6ubuntu0.1, OpenSSL 1.0.1e 11 Feb 2013
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: /etc/ssh/ssh_config line 19: Applying options for *
debug1: Connecting to localhost [127.0.0.1] port 22.
debug1: Connection established.
debug1: identity file /home/user/.ssh/id_rsa type 1
debug1: Checking blacklist file /usr/share/ssh/blacklist.RSA-2048
debug1: Checking blacklist file /etc/ssh/blacklist.RSA-2048
debug1: identity file /home/user/.ssh/id_rsa-cert type -1
debug1: identity file /home/user/.ssh/id_dsa type -1
debug1: identity file /home/user/.ssh/id_dsa-cert type -1
debug1: identity file /home/user/.ssh/id_ecdsa type -1
debug1: identity file /home/user/.ssh/id_ecdsa-cert type -1
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.2p2 Ubuntu-6ubuntu0.1
debug1: Remote protocol version 2.0, remote software version OpenSSH_6.2p2 Ubuntu-6ubuntu0.1
debug1: match: OpenSSH_6.2p2 Ubuntu-6ubuntu0.1 pat OpenSSH*
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-ctr hmac-md5-etm@openssh.com none
debug1: kex: client->server aes128-ctr hmac-md5-etm@openssh.com none
debug1: sending SSH2_MSG_KEX_ECDH_INIT
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
debug1: Server host key: ECDSA ec:71:86:f6:6f:12:cd:8f:fd:5a:69:c3:bb:ef:a2:70
debug1: Host 'localhost' is known and matches the ECDSA host key.
debug1: Found key in /home/user/.ssh/known_hosts:3
debug1: ssh_ecdsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: Roaming not allowed by server
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey,password
debug1: Next authentication method: publickey
debug1: Offering RSA public key: /home/user/.ssh/id_rsa
debug1: Server accepts key: pkalg ssh-rsa blen 279
debug1: read PEM private key done: type RSA
debug1: Authentication succeeded (publickey).
Authenticated to localhost ([127.0.0.1]:22).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.
debug1: Sending environment.
debug1: Sending env LANG = en_US.UTF-8

通过连接过程,我们可以看到ssh会去读取一下默认的文件,和私钥文件。因此私钥的文件名不能随便改名。另外也可以生成多个私钥,但是这个时候就需要添加到文件中了。

多个私钥

我们在使用密钥的时候,肯定不会只使用一个密钥,我们有许多个不同的服务器,帐号不同,用户名不同,我们有多个私钥,因此我们需要管理这些密钥。

通过~/.ssh/config这个文件可以配置特定的主机,使用特定的私钥、用户名。

如果没有这个文件,那么创建它,并添加下面的内容,注意设置一下权限。

user@ubuntu:~/.ssh$ chmod 600 ~/.ssh/config
user@ubuntu:~/.ssh$ cat ~/.ssh/config
Host github.com *.github.com
  ProxyCommand connect -H web-proxy.oa.com:8080 %h %p
  IdentityFile ~/.ssh/privatekey/id_rsa.github
  User git
这里可能会有connect程序没有安装的问题出现`/bin/bash: line 0: exec: connect: not found`。执行`apt-get install connect-proxy`安装

我们配置文件,

  • 第一行Host指定了目标主机。
  • 第二行ProxyCommand说明要使用代理去访问这个主机。
  • 第三行IdentityFile指定私钥的路径,通过这个关键字这样就可以保存多个私钥了。
  • 第四行User指明了用户。

另外,如果你不想写这个配置文件,那么可以在ssh命令中使用-i参数指定私钥的路径。

-i identity_file Selects a file from which the identity (private key) for RSA or DSA authentication is read. The default is ~/.ssh/identity for protocol version 1, and ~/.ssh/id_rsa and ~/.ssh/id_dsa for protocol version 2. Identity files may also be specified on a per-host basis in the configuration file. It is possible to have multiple -i options (and multiple identities specified in configuration files).
ssh -i ~/.ssh/privatekey/id_rsa.github -T git@github.com

以下是连接github.com的一个过程,连接普通的ssh服务器也是差不多的(上面有连接普通的ssh服务器)。可以看到ssh命令会首先读取config的里面的配置。然后会尝试使用我的私钥。

$ ssh -vt git@github.com
OpenSSH_4.6p1, OpenSSL 0.9.8e 23 Feb 2007
debug1: Reading configuration data /c/Users/user/.ssh/config
debug1: Applying options for github.com
debug1: Executing proxy command: exec connect -H web-proxy.oa.com:8080 github.co
m 22
debug1: permanently_drop_suid: 500
debug1: identity file /c/Users/user/.ssh/privatekey/id_rsa.github type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH_5.9p1 Debia
n-5ubuntu1+github5
debug1: match: OpenSSH_5.9p1 Debian-5ubuntu1+github5 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_4.6
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: server->client aes128-cbc hmac-md5 none
debug1: kex: client->server aes128-cbc hmac-md5 none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug1: Host 'github.com' is known and matches the RSA host key.
debug1: Found key in /c/Users/user/.ssh/known_hosts:3
debug1: ssh_rsa_verify: signature correct
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: SSH2_MSG_NEWKEYS received
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey
debug1: Trying private key: /c/Users/user/.ssh/privatekey/id_rsa.github
debug1: read PEM private key done: type RSA
debug1: Authentication succeeded (publickey).
debug1: channel 0: new [client-session]
debug1: Entering interactive session.
debug1: Remote: Forced command.
debug1: Remote: Port forwarding disabled.
debug1: Remote: X11 forwarding disabled.
debug1: Remote: Agent forwarding disabled.
debug1: Remote: Pty allocation disabled.
debug1: client_input_channel_req: channel 0 rtype exit-status reply 0
Hi username! You've successfully authenticated, but GitHub does not provide shell access.
debug1: channel 0: free: client-session, nchannels 1
Connection to github.com closed.
debug1: Transferred: stdin 0, stdout 0, stderr 34 bytes in 0.7 seconds
debug1: Bytes per second: stdin 0.0, stdout 0.0, stderr 47.6
debug1: Exit status 1

如果你有多台的服务器,那么就需要将公钥复制到那么多的远程服务器上,这个会比较麻烦些了,但是免去输入密码的步骤,在开发非交互程序,那可是省下了很多的步骤了。

分类: Programming

ssh非交互式密码授权(二):sshpass让ssh支持password参数

上一篇说到利用expect来访问远程ssh服务器,并输入命令,但是expect有一些不足,而且有些麻烦。使用sshpass这个程序,支持密码作为参数使用,这样方便很多。

我在使用expect的时候,等待的时候比较长,下面介绍一个响应速度快的程序,那就是sshpass。

安装sshpass

这个程序需要自己编译安装,步骤很简单。

从网站上下载代码,http://sourceforge.net/projects/sshpass/

tar -zxvf sshpass-1.05.tar.gz
cd sshpass-1.05
./configure 
make && make install

这个程序很快就安装完了。

命令参数

接下来我们看看如何使用sshpass。

[root@www ~/sshpass-1.05]# sshpass
Usage: sshpass [-f|-d|-p|-e] [-hV] command parameters
   -f filename   Take password to use from file
   -d number     Use number as file descriptor for getting password
   -p password   Provide password as argument (security unwise)
   -e            Password is passed as env-var &quot;SSHPASS&quot;
   With no parameters - password will be taken from stdin

   -h            Show help (this screen)
   -V            Print version information
At most one of -f, -d, -p or -e should be used

结合ssh一起使用

sshpass -p "mypassword" ssh -p 22 user@127.0.0.1 &quot;ls&quot;

这样,通过sshpass参数-p指定密码,在ssh命令的等待输入密码的时候就能自动将密码写入到输入流中了。

解决著名的第一次问题

在ssh第一次去访问机器的时候,ssh会提示你是否需要将目标ip写入到系统的已知主机中。因为这个的输出会干扰sshpass判断何时应该输入密码。下面程序分析会说。

ssh user@127.0.0.1
The authenticity of host '127.0.0.1 (127.0.0.1)' can't be established.
RSA key fingerprint is c4:4e:a1:56:ad:32:a0:b5:90:13:4e:b8:a2:cf:24:a0.
Are you sure you want to continue connecting (yes/no)? 

通过制定参数-o StrictHostKeyChecking=no让ssh自动添加到已知主机文件中。

ssh -o StrictHostKeyChecking=no user@127.0.0.1
Warning: Permanently added '127.0.0.1' (RSA) to the list of known hosts.
user@127.0.0.1's password: 

sshpass底层源码分析

底层的工作原理和expect差不多,都是去等待输出,

int handleoutput( int fd )
{   
    // We are looking for the string
    static int prevmatch=0; // If the &quot;password&quot; prompt is repeated, we have the wrong password.
    static int state1, state2;
    static const char compare1[]=&quot;assword:&quot;; // Asking for a password
    static const char compare2[]=&quot;The authenticity of host &quot;; // Asks to authenticate host
    // static const char compare3[]=&quot;WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!&quot;; // Warns about man in the middle     attack
    // The remote identification changed error is sent to stderr, not the tty, so we do not handle it.
    // This is not a problem, as ssh exists immediately in such a case
    char buffer[40];
    int ret=0;
    
    int numread=read(fd, buffer, sizeof(buffer) );

    state1=match( compare1, buffer, numread, state1 );

    // Are we at a password prompt? 
    if( compare1[state1]=='\0' ) {
    if( !prevmatch ) {
        write_pass( fd );
        state1=0;
        prevmatch=1;
    } else {                                                                                                             
        // Wrong password - terminate with proper error code
        ret=RETURN_INCORRECT_PASSWORD;
    }   
    }
.....
}

优缺点

先说一下不足吧。

1.我使用的Linux是公司修改过的,账户使用LDAP帐号登录(其实我至今还不懂LDAP是什么,但是都这么叫),输入ssh命名后和普通的ssh的不一样。

####  公司的ssh输出
ssh  -p 22 user@10.168.123.145 
Keyboard-interactive:
PAM authentication
Password: 
Keyboard-interactive:
PAM authentication
LDAP Password: 

#### 普通的ssh命令输出
ssh user@localhost
user@localhost's password: 

所以现在在公司里面没办法使用sshpass,但是在没有修改过的Linux系统上是可以使用sshpass的。这个问题我得找个懂C语言的大神问问。

初步分析好像是公司的Linux经过安全设置,阻止了获取子进程的tty终端,导致无法获取子进程的输出。

2.就是密码放在参数里使用,有些不安全,别人可以使用history来查看到历史的命令,虽然指定了参数可以从文件中获取,但是这个文件里面也是需要进行权限控制的。

优点就是简单,速度会比使用expect快很多。

分类: Programming

ssh非交互式密码授权(一):expect自动输入密码、命令

本文有还有2篇类似的文章:

Linux ssh下执行ssh命令远程登录其他机器,总是需要输入密码,如果人工去登录,输入密码那还可以,但是让程序自动化登录远程ssh服务器,并执行命令着就比较麻烦了。

Linux下有个程序是expect,它可以模拟键盘,输入文本。

安装expect

机器上一般是没有这个命令的,需要安装expect

sudo apt-get install expect
yum install expect

经常看到一些脚本有会expect、spawn、send关键字,这几个关键字都是在expect程序里面使用的。

使用expect脚本运行

#!/usr/bin/expect

set timeout 5

password=ppp

spawn ssh user@localhost -p 22
expect {
    "(yes/no)" { send "yes\r"; exp_continue }
    "password:" { send "$password\r" }
}
expect user@*   {send \" ls -l \r\" }  ;
expect user@*  { send exit\r } ;
expect 100% ;
expect eof ;
  • 注意第一行使用的是#!/usr/bin/expect而不是普通的bash脚本那样
  • expect都是使用{},且{、}使用时,前后需要留空格
  • 例子使用花括号,表示使用一组并列表达式,只要其中一项符合,就会执行该项,类似switch

使用命令行参数运行expect

有时候写个expect脚本比较麻烦,直接只用命令行参数去执行命令,或者嵌套在shell脚本、python脚本中,这样可以减少expect脚本的数量

一下是一个登录并执行一个ls命令的demo:

 expect -c "
            set timeout 1;
            spawn ssh user@localhost -p 22  ;
            expect {
                yes/no { send \"yes\r\"; exp_continue }
                *assword* { send \"password\r\" }
            } ;
            expect user@*   {send \" ls -l \r\" }  ;
            expect user@*  { send exit\r } ;
            expect eof ;
        "

expect的参数-c后面是字符串,里面就相当于脚本里面的内容了。

  • ;分号隔开,可以在同一行里。
  • 里面的"引号,使用\"来代替。
  • 第9行的exit最好要有。退出ssh,这样程序不会阻塞。我如果没有使用,在这个shell命令执行完,无法立刻输入字符。
  • expect脚本必须以interact或expect eof结束,执行自动化任务通常expect eof就够了

expect与scp使用

expect一般用于登录ssh服务器,除了ssh命令输入密码外,还有scp也是需要密码输入的,因此expect与scp结合起来使用的场景也是很多的。

expect -c "
           set timeout 1;
           spawn scp -P 22 user@remoteHost:/tmp/file.txt ~/  ;
           expect {
               yes/no { send \"yes\r\"; exp_continue }
               *assword* { send \"password\r\" }
           } ;
           expect user@*   {send \" ls -l \r\" }  ;
           expect user@*  { send exit\r } ;
           expect 100% ;
           expect eof ;
       "

注意:scp的制定端口使用大写的-P

python中使用expect命令

SCP_CMD_BASE = r"""
            expect -c "
            set timeout 1;
            spawn scp -P {port} {username}@{host}:/tmp/{{filename}} ./proxydownload/  ;
            expect *assword* {{{{ send {password}\r }}}}  ;
            expect *\r
            expect \r
            expect eof
            "
    """.format(username=username,password=password,host=host,port=port)

cmd = SCP_CMD_BASE.format(filename = filename)
print "cmd=", cmd
p  = subprocess.Popen( cmd , stdout=subprocess.PIPE, stderr=subprocess.PIPE, shell=True)
(output, err) = p.communicate()

其他的相关知识

Python对expect也有类库支持,也就是说你可以直接使用python编写expect,而不用安装expect程序了。可以执行搜索一下python pexpect

用expect速度会比较慢,因为需要等待返回的数据,然后输入命令执行。没有ssh密钥登录的快速。

分类: Programming

PuTTY设置SSH端口代理转发

PuTTY是我用过的第一个SSH客户端,也是因为它,我接触了SSH,后来到公司工作后,发现大家都在使用SecureCRT,于是PuTTY就是用的比较少了。但是PuTTY还是在许多场合用到的。比如给git的图形客户端tortoisegit设置网络代理的时候会用上。

要使用SSH端口转发,首先下载一个putty,如果是公司内网,是无法直接连接外网的,需要有个代理服务器才能访问外网。如果不需要代理服务器就可以直接上网,可以使用myentunnel进行访问。

下载putty,http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

设置PuTTY

如图设置hostport,然后命名一个session保存起来,将来就不用再输入这些了。

设置本地转发端口

在与SSH服务器连接的同时,在本地开启一个7070端口,这样可以把网络请求转发到这个端口上,这个端口又与SSH服务器的22端口连接。

设置网络代理

如果你无法直接连接你的SSH服务器,那么你需要设置一下网络代理。如果你可以直接连接,那么忽略这步。在公司,必须通过代理才能访问外网,所以非常需要这步。

好了,通过以上设置,就可以连接SSH服务器了。连接成功后,利用本地开启的7070端口,就可以进行sock5进行SSH代理访问了。

推荐:给Goolge Chrome安装Proxy SwitchySharp插件。这个可以快速切换浏览器的代理模式,又兼有firefox的autoproxy功能。

分类: 网络

通过SSH创建私有git仓库

开源的代码能找到第三方的git仓库存放代码,但是私有的代码却不能放在那上面。而且对于免费私有的git仓库来说,还是比较不方便的。

有了自己的Linux服务器,那么就可以自己创建一个私有的git仓库了。接下来,就讲讲如何创建自己的私有的git仓库。

在Linux服务器上

第一步,先创建一个专门由于git仓库的一个账号吧,这样也方便进行管理。可以参考这篇文章Linux新建用户的命令

#新建一个git用户组
sudo groupadd git

#新建一个git用户,创建目录,并禁止shell登录,添加到git用户组
sudo useradd git -m -s /sbin/nologin -d /home/git -g git 

第二步,新建一个git仓库,这个仓库叫“git bare repository”,git裸仓库。

$ mkdir repo.git
$ chown -R git:git repo.git #改权限
$ cd repo.git
$ git --bare init
Initialized empty Git repository in /home/ams/repo.git/

这个仓库和本地的那个不一样,可以发现本地的那个仓库有在project下有一个.git的目录,而project下还有自己的代码。但是这个git裸仓库它没有自己的project,他只有和本地.git目录下一样的内容。

在客户端下

使用TortoiseGit图形界面,使用portable git内核。

第一步,右键目录,选择git 克隆,然后如图设置

git clone 仓库

第二步,在确定后,会出来一个密码提示框,让输入密码。

第三步,就等待下载结束,这样本地就能有一个本地仓库了。

总结:这样一个最简单简易的git私有仓库就建好了,本地可以继续向服务器提交代码,但是也需要密码才能。

分类: Linux

Copyright © 2017 东东东 陈煜东的博客 粤ICP备13059639号-1

SITEMAP回到顶部 ↑