Linux Forum — Странные записи в /log/secure

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 13:47:54 +0000

zenon пишет:

yars пишет:
zenon пишет:
Тут и сказать нечего...
То есть, у нас необоснованная мания преследования?
Как ты себе представляешь брутфорс в 3 попытки/час?

Очень просто. Один тайваньский айпи начал как из пулемета ломитьсяпо ssh (попытка логиниться через каждые 2 сек) У меня за сутки лог так наполнился что ееле вычстил его . Но это не самое страшное. Он так забивал канал что нельзя было в интернет выйти.Я его поставил в hosts.deny/. Так он ломился каждые 3 часа и получал refused. Я ради интереса убрал его из hosts.deny ,так при первой же попытке через три часа ,не получив refused, опять начал беспрерывно строчить с интервалом 2 сек (неудачная попытка логина - он сразу делает closed и повторяет попытку ).Так что пришлось обращаться к провайдеру чтобы тот перекрыл

Re: Странные записи в /log/secure

null@example.com (yars) — Fri, 09 Nov 2012 11:58:07 +0000

Никак - смысла нет... Долго. Но, я ведь о другом говорил. Хотя, если из области фантастики...

Re: Странные записи в /log/secure

null@example.com (zenon) — Fri, 09 Nov 2012 11:54:20 +0000

yars пишет:

zenon пишет:
Тут и сказать нечего...
То есть, у нас необоснованная мания преследования?

Как ты себе представляешь брутфорс в 3 попытки/час?

Re: Странные записи в /log/secure

null@example.com (yars) — Fri, 09 Nov 2012 11:21:54 +0000

zenon пишет:

Тут и сказать нечего...

То есть, у нас необоснованная мания преследования?

Re: Странные записи в /log/secure

null@example.com (zenon) — Fri, 09 Nov 2012 09:08:26 +0000

pavlar пишет:

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение после первой попытки чтобы потом часа через 2 опять повторить?

i2ks пишет:

Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать

Тут и сказать нечего...

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 07:47:26 +0000

Я всё таки думаю что это была неудачная попытка брутфорса и почему-то полностью логи не оформились , потому что сообщение о нормальном завершении работы несколько другое

Nov  9 09:39:53  sshd[17909]: pam_unix(sshd:session): session closed for user...

а там было

Nov  9 04:22:30  sshd[14982]: Connection closed by 114.255.20.157

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 07:40:03 +0000

А этот ip уже засветился и в других местах
http://www.abuseipdb.com/report-history/114.255.20.157

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 07:23:27 +0000

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение после первой попытки чтобы потом часа через 2 опять повторить?

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 07:21:25 +0000

А может это было вроде такого сообщения но не всё записалось в логи а лишь последняя строка?

Nov  9 08:54:14 natt sshd[15065]: reverse mapping checking getaddrinfo for 178.111.165.220.broad.sm.yn.dynamic.163data.com.cn [220.165.111.178] failed - POSSIBLE BREAK$
Nov  9 08:54:14 nat unix_chkpwd[15067]: password check failed for user (root)
Nov  9 08:54:14 nat sshd[15065]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=220.165.111.178  user=root
Nov  9 08:54:17 nat sshd[15066]: Connection closed by 220.165.111.178

Re: Странные записи в /log/secure

null@example.com (i2ks) — Fri, 09 Nov 2012 07:17:04 +0000

Бот постучался или кто то сканером прошелся. и уже сразу атака? Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать

Re: Странные записи в /log/secure

null@example.com (yars) — Fri, 09 Nov 2012 06:49:57 +0000

Не забывайте про уязвимости, все же вы имеете дело с хакерами, для них no root privileges в sshd_config может оказаться не проблемой, а так, устранимой помехой. Но да, я не представляю, как это можно обойти, но наверняка возможно.

Re: Странные записи в /log/secure

null@example.com (Vascom) — Fri, 09 Nov 2012 06:49:30 +0000

Увеличь уровень вывода отладочной информации SSH.

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 06:40:05 +0000

yars пишет:

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

Это из области фантастики. Два адреса с таким сообщением из Китая. Могли зайти только по ssh. Вход для root по ssh закрыт.

Re: Странные записи в /log/secure

null@example.com (yars) — Fri, 09 Nov 2012 06:12:47 +0000

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

Re: Странные записи в /log/secure

null@example.com (pavlar) — Fri, 09 Nov 2012 05:36:47 +0000

DarkDigger пишет:

а может чел с ай пи 114.255.20.157 хотел подключится, но ввёл не правильные логин/пароль? Попробуй сам подключится с неправильными данными, что писать будет?

Если чел пытается брутфорсить там идет сообщения о неправилно ввееденном пароле root или другого пароля или неправильного имени и по третьей неудачной попытке fail2ban банит этот ip
Но в случае приведенном выше не было даже попыток брутфорса . Здесь вроде как закрытие сессии непонятно как открытой. А если например ip занеесен в hosts.deny то сразу выдается сообщение refused connection. А здесь closed ( вроде как было opened) да и этот ip не занесен в hosts.deny

А типичный протокол брутфорса такой

Nov 9 02:26:38 sshd[14924]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:38 unix_chkpwd[14926]: password check failed for user (root)
Nov 9 02:26:38 sshd[14924]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4 user=root
Nov 9 02:26:40 sshd[14924]: Failed password for root from 201.236.80.4 port 52504 ssh2
Nov 9 02:26:40 sshd[14925]: Received disconnect from 201.236.80.4: 11: Bye Bye
Nov 9 02:26:42 sshd[14927]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:42 sshd[14927]: Invalid user db2inst1 from 201.236.80.4
Nov 9 02:26:42 sshd[14928]: input_userauth_request: invalid user db2inst1
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): check pass; user unknown
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4
Nov 9 02:26:42 sshd[14927]: pam_succeed_if(sshd:auth): error retrieving information about user db2inst1
Nov 9 02:26:43 sshd[14927]: Failed password for invalid user db2inst1 from 201.236.80.4 port 54247 ssh2
Nov 9 02:26:44 sshd[14928]: Received disconnect from 201.236.80.4: 11: Bye Bye