кто не даёт переназначить порт для SSH?
Я бы еще запретил вход по ssh от root'а. В /etc/ssh/sshd_config:
PermitRootLogin noСледует, также, исключить юзера из sudoers.
В этом случае взломщику придется подбирать сначала сначала имя юзера, потом пароль юзера, а потом root'а. С таким головняком взломщик возиться скорей всего не будет. Поищет тех, у кого открыт рутовый вход по паролю.
Радикальное решение -- настроить аутентификацию по ключу и отключить парольную аутентификацию.
]]>Port 22Меняем её на что-то нестандартное, например, на:
Port 56337Сохраняем, выходим из редактора. Перезапускаем службу:
P.S. Также смотрите в сторону fail2ban, чтобы меньше ломились на сервер.
]]>1nSane, если не ошибаюсь, то владелец хостинга переехал с Linux на Windows. Причём, на "горячую"
и с кучей дыр. Меняйте все хэши и пароли.
Смущает что это все поддомены с созвучными службами именами, но по факту домена только два.
То, что это сделал "человек" сомнений нет, в логах откопал 2 левых IP, которые зашли по SSH с паролем от рута, хотя подбирают пароли круглосуточно, каждые пару минут.
По поводу "переезда", у меня Dedicated Server на Debian в Leaseweb напрямую, без реселлеров. Не думаю что там могли бы что-то подобное допустить...
]]>Пробовали в браузере открыть? Хотя бы в приватном режиме.
Это службы обновления для MS Windows Server
azure-update.mywire.org.conf
Это исправление "косяков" в Azure DevOps
msdn.ddnsgeek.com.conf
Изменение синхронизации MS DNS Service после падения всего Microsoft этим летом.
wsus-check.mywire.org.conf
Обновления сетевой безопасности WSUS для Internet Explorer и служб: WireFire, Wireless, WireNET.
*** Добавлено: 15.10.2021 20:24:28 ***
1nSane, если не ошибаюсь, то владелец хостинга переехал с Linux на Windows. Причём, на "горячую"
и с кучей дыр. Меняйте все хэши и пароли.
Сегодня, захожу в очередной раз по SSH и вижу в истории консоли ряд команд, которые я не выполнял
Как минимум, повод для беспокойства. Насколько я понимаю, CertBot от LetsEncrypt не пишет свои команды в историю консоли.
а теперь уже сомневаюсь
Правильно делаете, что сомневаетесь.
azure-update.mywire.org.conf
msdn.ddnsgeek.com.conf
wsus-check.mywire.org.conf
Пробовали в браузере открыть? Хотя бы в приватном режиме.
Кроме смены пароля на root что еще сделать?
Проверить систему на наличие руткитов и прочей заразы. На всякий случай.
]]>certbot certonly -d msdn.ddnsgeek.com --manual --preferred -challenges http
ls -la /etc/letsencrypt/live/msdn.ddnsgeek.com-0002
rm -rf msdn.ddnsgeek.com.conf security-linux.webredirect.org.conf
service nginx restart
rm -rf /home/parser_test/
cd /home/dnsparser_test/public_html/.well-known/acme-challenge/
ls -la
rm *
ls -la
nano NrLzewrQypAhY7AMW2np9Z6bfNTmnwX5-AkGz1ss4_U
Вопрос, что это было? Вообще, у letsencrypt есть непонятные мне домены в renewal, которые не принадлежат мне, но думал может это служебные какие, а теперь уже сомневаюсь
azure-update.mywire.org.conf
msdn.ddnsgeek.com.conf
wsus-check.mywire.org.conf
Причем даты создания разные, февраль, апрель, октябрь... мой сервер по-тихой в ботнет вовлекли? Кроме смены пароля на root что еще сделать? В такой ситуации впервые за 15 лет...
]]>