Как меня ломали....забавно.

Sox · Отправлено: **00:47, 30-05-2005** | #2

May 29 23:34:56 pc174 sshd[6362]: Failed password for root from ::ffff:67.161.209.50 port 57021 ssh2
May 29 23:35:04 pc174 sshd[6364]: Failed password for root from ::ffff:67.161.209.50 port 57128 ssh2
May 29 23:35:09 pc174 sshd[6375]: Failed password for root from ::ffff:67.161.209.50 port 57255 ssh2
May 29 23:35:14 pc174 sshd[6377]: Failed password for root from ::ffff:67.161.209.50 port 57333 ssh2
May 29 23:35:22 pc174 sshd[6379]: Failed password for root from ::ffff:67.161.209.50 port 57409 ssh2
May 29 23:35:27 pc174 sshd[6381]: Failed password for root from ::ffff:67.161.209.50 port 57533 ssh2
May 29 23:35:36 pc174 sshd[6383]: Failed password for root from ::ffff:67.161.209.50 port 57610 ssh2
May 29 23:35:41 pc174 sshd[6385]: Failed password for root from ::ffff:67.161.209.50 port 57737 ssh2
May 29 23:35:48 pc174 sshd[6387]: Illegal user carol from ::ffff:67.161.209.50
May 29 23:35:48 pc174 sshd[6387]: error: Could not get shadow information for NOUSER
May 29 23:35:48 pc174 sshd[6387]: Failed password for illegal user carol from ::ffff:67.161.209.50 port 57818 ssh2
May 29 23:35:55 pc174 sshd[6393]: Illegal user cesar from ::ffff:67.161.209.50
May 29 23:35:55 pc174 sshd[6393]: error: Could not get shadow information for NOUSER
May 29 23:35:55 pc174 sshd[6393]: Failed password for illegal user cesar from ::ffff:67.161.209.50 port 57931 ssh2
May 29 23:36:03 pc174 sshd[6395]: Illegal user clark from ::ffff:67.161.209.50
May 29 23:36:03 pc174 sshd[6395]: error: Could not get shadow information for NOUSER
May 29 23:36:03 pc174 sshd[6395]: Failed password for illegal user clark from ::ffff:67.161.209.50 port 58040 ssh2
May 29 23:36:08 pc174 sshd[6397]: Illegal user clinton from ::ffff:67.161.209.50
May 29 23:36:08 pc174 sshd[6397]: error: Could not get shadow information for NOUSER
May 29 23:36:08 pc174 sshd[6397]: Failed password for illegal user clinton from ::ffff:67.161.209.50 port 58162 ssh2
May 29 23:36:13 pc174 sshd[6399]: Illegal user kayla from ::ffff:67.161.209.50
May 29 23:36:13 pc174 sshd[6399]: error: Could not get shadow information for NOUSER
May 29 23:36:13 pc174 sshd[6399]: Failed password for illegal user kayla from ::ffff:67.161.209.50 port 58245 ssh2
May 29 23:36:18 pc174 sshd[6401]: Illegal user russ from ::ffff:67.161.209.50
May 29 23:36:18 pc174 sshd[6401]: error: Could not get shadow information for NOUSER
May 29 23:36:18 pc174 sshd[6401]: Failed password for illegal user russ from ::ffff:67.161.209.50 port 58322 ssh2
May 29 23:36:23 pc174 sshd[6403]: Illegal user white from ::ffff:67.161.209.50
May 29 23:36:23 pc174 sshd[6403]: error: Could not get shadow information for NOUSER
May 29 23:36:23 pc174 sshd[6403]: Failed password for illegal user white from ::ffff:67.161.209.50 port 58393 ssh2

Самое интеpесное то, что сеpвис ssh в файpволе поставлен как "запpещен".
:-)

mar · Отправлено: **00:53, 30-05-2005** | #3

это программный подбор. Я, после того, как однажды на такое полюбовалась, разрешила для sshd только один порт, только для определенных юзеров и только с определенных ip. (Ну, не говоря уж о правилах ipfw и portsentry).
Ну и, понятно, никаких root по ssh быть не должно

Кстати, обе машины из логов вполне реальные. Судя по тому, что на них сайты (причем на Тайваньской довольно интересный внешне) - хулиганил кто-то, имеющий туда доступ - вряд ли админ

) и не очень похоже, чтобы столь экстровагантно подставляли ip. Так что если достали - напиши их админам - пусть разбирутся :]

Sox · Отправлено: **01:09, 30-05-2005** | #4

mar
А как бы можно было отpегулиpовать сеpвис в нужную стоpону - для оределенных ip и людей?

mar · Отправлено: **01:22, 30-05-2005** | #5

Sox
/etc/ssh/sshd_config (на разных системах может быть в разных местах, а может и называться немного по-разному)
вставляем:
Port [номер порта, пусть тот же 22]
LoginGraceTime 10 ## кто не успел, тот опоздал
PermitRootLogin no ## никаких рутов!!
PermitEmptyPasswords no ## естественно
AllowUsers Sox ## только этому пользователю

/etc/hosts.allow
# hosts.allow access control file for "tcp wrapped" applications.
#sshd : localhost : allow
sshd : 127.0.0.1, localhost : allow ## только с этих ip
sshd: xxx.xxx.xxx.xxx, yyy.yyy.yyy.yyy, zzz.zzz.zzz.zzz : allow ## только с этих ip
sshd: ALL : deny ## с остальных не принимаем

Sox · Отправлено: **06:51, 30-05-2005** | #6

mar
Спасибо!

TbMA · Отправлено: **20:01, 31-05-2005** | #7

>mar: Кстати, обе машины из логов вполне реальные. Судя по тому, что на них сайты
Ну так он до 2го пришествия ломать будет. :D
Хотя может корейцев он так и сломал, они там любят юзера "админ" с паролем "пассворд".

Sox · Отправлено: **07:54, 01-06-2005** | #8

Цитата:

Ну так он до 2го пришествия ломать будет. :-D

TbMA
Не знаю...меня смутило их упорство - раз не взломали, второй, а на 11-ий, глядишь, и достанут...хоть какой будет пароль...

IgorK · Отправлено: **13:01, 01-06-2005** | #9

Я, к примеру, использую аутентификацию по ключу...

mar · Отправлено: **18:06, 01-06-2005** | #10

IgorK
это тоже медаль с двумя сторонами: представь, что взломали машину, на которой у тебя лежат ключи к разным серверам. Представил ;]?