Linux Forum — Ломанули сервер

Re: Ломанули сервер

2011-10-10T16:05:43Z

ERT пишет:

Закрыл доступ root по ssh (PermitRootLogin no) ..... но нет почему-то доступа даже по локальной сети.

А какая разница? Ты вообще запретил root ssh доступ. wink

Re: Ломанули сервер

2011-10-09T00:00:02Z

Нашел на сервере, в директории /etc вот такой вот файл rearj.cfg:

+ открыть спойлер

VIRUS /usr/bin/scan /nomem /sub *
arj
 arj a -+ -y -a1 -r -j$ -s -jm -2s "%s"
 arj x -y "%s"
 AD
zip
 zip -r "%s" . -i *
 unzip "%s"
 AD
rar
 rar a -r -y "%s"
 rar x -y "%s"
 AD
tar.Z
 tar -cvZf "%s" .
 tar -xvZf "%s"
 ADT
tar.gz
 tar -cvzf "%s" .
 tar -xvzf "%s"
 ADT
tgz
 tar -cvzf "%s" .
 tar -xvzf "%s"
 ADT
tar.bz2
 tar --bzip2 -cvf "%s" .
 tar --bzip2 -xvf "%s"
 ADT

Что это за файл? На втором сервере нет такого. Операционная система одна и та же.

На сервера до сих пор пытаются прорваться (судя по логам). fail2ban успешно банит. Закрыл доступ root по ssh (PermitRootLogin no), но нет почему-то доступа даже по локальной сети. Или так и должно быть? Просто кто-то упоминал, что под root'ом можно будет зайти на сервер.

Re: Ломанули сервер

2011-10-08T15:31:08Z

Fkabir пишет:

Т.е. получаем вход по ssh только по локалке (внутреннему IP, полученному при OpenVPN)?

Точно так!!!

Fkabir пишет:

А можно код скрипта?:)

дык элементарно:
У меня 3 правило в iptables открывает доступ к этому порту, поэтому удаляем эту запись и все )))) :
iptables -D INPUT 3

Re: Ломанули сервер

2011-10-08T15:00:10Z

3. Стандартные средства доступа к серверу это: OpenVPN с авторизацией посредством сертификатов, в результате имеем доступ к серверу как к локальной машине...

Т.е. получаем вход по ssh только по локалке (внутреннему IP, полученному при OpenVPN)?

Написал простейший скрипт, который закрывает этот нестандартный порт извне , через 5 мин после момента перезагрузки.
Другими словами, вход извне по ssh возможен только в течении 5 минут с момента перезагрузи сервера

А можно код скрипта?:)

Re: Ломанули сервер

2011-10-08T05:57:47Z

Не знаю, может Вам поможет (опишу свою систему защиты)
1. Перепробросил SSH на нестандартный порт.
2. Написал простейший скрипт, который закрывает этот нестандартный порт извне , через 5 мин после момента перезагрузки.
Другими словами, вход извне по ssh возможен только в течении 5 минут с момента перезагрузи сервера (вообще данный доступ, требуется только в особых случаях, когда на сервере что-то конкретно сломалось и стандартные средства доступа к серверу не работают)
3. Стандартные средства доступа к серверу это: OpenVPN с авторизацией посредством сертификатов, в результате имеем доступ к серверу как к локальной машине...
В итоге получилась ситема, доступ к которой извне невозможен с помощью пароля (за искл тех 5 минут с момента перезагрузки сервера).

Re: Ломанули сервер

2011-10-06T20:56:55Z

singles123, стучалки еще ему не хватало, ага.
Пред истории просто не знаешь, изначальное предложение (в другой теме) было:
и так:

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

да и другие способы типа твоих ссылок.
ы. И да у ТС изначально все DROP.

Re: Ломанули сервер

2011-10-06T20:46:03Z

Не понятно, зачем ставить разные sshguard, fail2ban ?
Можно сделать все проще.
1. Повесить порт ssh на нестандартный.
2. Использовать все тот же iptables. Например http://welinux.ru/post/4857/
В дополнение http://ruunix.ru/1000-iptables-poleznye-komandy.html

Re: Ломанули сервер

2011-10-06T00:27:34Z

В твоих логах явно через ssh2 вроде все происходил (auth.log - который на обменник выкладывал).

Re: Ломанули сервер

2011-10-06T00:14:30Z

Он у меня и не был установлен:

Консоль:

root@evolutiongame:~# aptitude purge php-ssh2
Не удалось найти пакеты, содержащих "php-ssh2" в своём имени или описании
Не удалось найти пакеты, содержащих "php-ssh2" в своём имени или описании
Ни одного пакета не будет установлено, обновлено или удалено.
0 пакетов обновлено, 0 установлено новых, 0 пакетов отмечено для удаления, и 0 пакетов не обновлено.
Необходимо получить 0 B архивов. После распаковки 0 B будет занято.

Я его отдельно ставил, но на локальной, тестовой машине, перед тем, как устанавливать на рабочий сервер. А на сервер так и не поставил, так как начали ломать. Хотя на тестовой все получилось.

Re: Ломанули сервер

2011-10-06T00:01:58Z

ERT пишет:

Я
А вот этот модуль, php-ssh2, я собирался использовать. Можно и обойтись без него конечно. Лучше удалить?

Тебя через него сломали, а дальше пароли одинаковые были... wink
Сначала разберись с ним, подумай как защитить, потом используй.

Re: Ломанули сервер

2011-10-05T23:59:48Z

Я понял. Думал, что эти две службы выполняют совершенно разные функции.
Настроил конфиг fail2ban, а sshguard удалил. Посмотрим что будет в логах в течение завтрашнего дня.
А вот этот модуль, php-ssh2, я собирался использовать. Можно и обойтись без него конечно. Лучше удалить?

Так я не blocksshd устанавливал, а sshguard. Или это одно и то же?

Re: Ломанули сервер

2011-10-05T23:59:04Z

ERT пишет:

Я уже понял. Правлю.
Решил воспользоваться этим маном http://sysadminblog.ru/linux/2011/06/29 … forsa.html
Не могу найти, куда установился sshguard, а точнее подключить логи:

Сделал:

Консоль:

cp /etc/blocksshd/blocksshd.conf.sample /etc/blocksshd/blocksshd.conf
nano -w /etc/blocksshd/blocksshd.conf

???
Читай внимательней http://doc.pcn.com.ua/PDF/root.ua/rootu … 0/6-3.html

Re: Ломанули сервер

2011-10-05T23:40:46Z

ERT, вообще что-нибудь одно, как бы конфликтов не было, хотя может и не будет.
Если что останови какой-нибудь один сервис.

Re: Ломанули сервер

2011-10-05T23:15:23Z

За последние 6 часов в логе нет попыток подключения. В fail2ban увеличил время бана до 3600 и добавил ftp.
Так не стоило устанавливать sshguard?

Re: Ломанули сервер

2011-10-05T23:01:01Z

Файл /var/log/auth.log смотрел?