.ssh/ のディレクトリの誤公開に注意

intrusion

ウェブサーバを公開していると脆弱性のあるプログラムを探すようなアクセスがたくさん来ますが、最近は .ssh/ を探すようなアクセスがあるようなのでメモ。

.ssh等を探索するリクエスト - cNotes: Current Status Notes

wwwのルートディレクトリをユーザーホームディレクトリにしているサイトや、ホスティングサービスだと該当してしまうものがあるのかもしれません。
ログインに必要な情報の探索なのか、利用中の情報のパーミッションはちゃんと管理していても、バックアップファイルのパーミッションは甘いかもしれませんので注意。

もしやと思って、このサーバの6月分のアクセスログを解析してみたら確かにありますね。

"HEAD /.ssh/authorized_keys HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/authorized_keys2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/config HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/config.old HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/config~ HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/dsa HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa.2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa.bak HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa.old HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa.pub HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_dsa_2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa.2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa.old HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa_2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_ecdsa_old HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa.2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa.bak HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa.old HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa.pub HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/id_rsa_2 HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/identity HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/key HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/known_hosts HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/priv HTTP/1.1" 404 - "-" "-"
"HEAD /.ssh/rsa HTTP/1.1" 404 - "-" "-"

ウェブサーバで公開しているディレクトリをホームディレクトリにしているようなユーザーがあれば運用を改めた方が良さそうです。