1 Тема от pavlar (09.11.2012 09:18:45 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Обычно у меня   в этом логе записывается статистика подключения-отключения по ssh т е. сначала информация о подключении а потом об отключении. Но со вчерашнего дня некоторые ip только отключаются а сообщений об их  подключении не было . Как такое может быть ?
Например у меня по слеедующему ip у меня есть сообщение только об отключении . Однако в hosts.deny этого адреса нет и в jail fail2ban тоже а для root соединение по ssh запрещено

Nov  9 04:22:30  sshd[14982]: Connection closed by 114.255.20.157
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

2 Ответ от DarkDigger (09.11.2012 09:22:46 отредактировано DarkDigger)

  • DarkDigger
  • DarkDigger
  • Пользователь
  • Неактивен
  • Зарегистрирован: 02.11.2011
  • Сообщений: 452
  • Репутация : [ 6 | 0 ]

а может чел с ай пи 114.255.20.157 хотел подключится, но ввёл не правильные логин/пароль? Попробуй сам подключится с неправильными данными, что писать будет?

3 Ответ от pavlar (09.11.2012 10:10:12 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
DarkDigger пишет:

а может чел с ай пи 114.255.20.157 хотел подключится, но ввёл не правильные логин/пароль? Попробуй сам подключится с неправильными данными, что писать будет?

Если чел пытается брутфорсить там идет сообщения о неправилно ввееденном пароле root или другого пароля или неправильного имени  и по третьей неудачной попытке fail2ban банит этот ip 
Но в случае приведенном выше  не было даже попыток брутфорса . Здесь вроде как закрытие сессии непонятно как открытой.  А если например ip  занеесен в hosts.deny  то сразу выдается сообщение refused connection. А здесь closed  ( вроде как было opened)  да и этот ip не занесен в hosts.deny

А типичный протокол брутфорса такой

Nov 9 02:26:38 sshd[14924]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:38 unix_chkpwd[14926]: password check failed for user (root)
Nov 9 02:26:38 sshd[14924]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4 user=root
Nov 9 02:26:40 sshd[14924]: Failed password for root from 201.236.80.4 port 52504 ssh2
Nov 9 02:26:40 sshd[14925]: Received disconnect from 201.236.80.4: 11: Bye Bye
Nov 9 02:26:42 sshd[14927]: reverse mapping checking getaddrinfo for 201-236-80-4.static.tie.cl [201.236.80.4] failed - POSSIBLE BREAK-IN ATTEMPT!
Nov 9 02:26:42 sshd[14927]: Invalid user db2inst1 from 201.236.80.4
Nov 9 02:26:42 sshd[14928]: input_userauth_request: invalid user db2inst1
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): check pass; user unknown
Nov 9 02:26:42 sshd[14927]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=201.236.80.4
Nov 9 02:26:42 sshd[14927]: pam_succeed_if(sshd:auth): error retrieving information about user db2inst1
Nov 9 02:26:43 sshd[14927]: Failed password for invalid user db2inst1 from 201.236.80.4 port 54247 ssh2
Nov 9 02:26:44 sshd[14928]: Received disconnect from 201.236.80.4: 11: Bye Bye
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

4 Ответ от yars

  • yars
  • yars
  • Slacker
  • Неактивен
  • Откуда: Тамбовская область
  • Зарегистрирован: 23.03.2012
  • Сообщений: 10,043
  • Репутация : [ 309 | 1 ]

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

5 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
yars пишет:

Могу предположить, что этот чел смог вычистить лог, но сообщение о закрытии сессии не учел.

Это из области фантастики. Два адреса с таким сообщением из Китая. Могли зайти только по ssh. Вход для root по ssh закрыт.

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

6 Ответ от Vascom

  • Vascom
  • Vascom
  • Пользователь
  • Неактивен
  • Откуда: Moscow
  • Зарегистрирован: 02.04.2010
  • Сообщений: 4,535
  • Репутация : [ 189 | 2 ]

Увеличь уровень вывода отладочной информации SSH.

Сайт Vascom

7 Ответ от yars

  • yars
  • yars
  • Slacker
  • Неактивен
  • Откуда: Тамбовская область
  • Зарегистрирован: 23.03.2012
  • Сообщений: 10,043
  • Репутация : [ 309 | 1 ]

Не забывайте про уязвимости, все же вы имеете  дело с хакерами,  для них no root privileges в sshd_config может оказаться не проблемой, а так, устранимой помехой. Но да, я не представляю, как это можно обойти, но наверняка возможно.

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

8 Ответ от i2ks

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]

Бот постучался или кто то сканером прошелся. и уже сразу атака? Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать ab

It is good day to die ...
MS Windows 10
Заметки о главном...

9 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

А может это было вроде такого сообщения но не всё записалось в логи  а лишь последняя строка?

Nov  9 08:54:14 natt sshd[15065]: reverse mapping checking getaddrinfo for 178.111.165.220.broad.sm.yn.dynamic.163data.com.cn [220.165.111.178] failed - POSSIBLE BREAK$
Nov  9 08:54:14 nat unix_chkpwd[15067]: password check failed for user (root)
Nov  9 08:54:14 nat sshd[15065]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=220.165.111.178  user=root
Nov  9 08:54:17 nat sshd[15066]: Connection closed by 220.165.111.178
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

10 Ответ от pavlar

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение  после первой попытки  чтобы потом часа через 2 опять повторить?

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

11 Ответ от pavlar (09.11.2012 11:40:22 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

А этот ip уже засветился и в других местах
http://www.abuseipdb.com/report-history/114.255.20.157

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

12 Ответ от pavlar (09.11.2012 11:48:29 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906

Я всё таки думаю что это была неудачная попытка брутфорса и  почему-то полностью логи не оформились , потому что сообщение о нормальном завершении работы несколько другое

Nov  9 09:39:53  sshd[17909]: pam_unix(sshd:session): session closed for user...

а там было

Nov  9 04:22:30  sshd[14982]: Connection closed by 114.255.20.157
Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"

13 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
pavlar пишет:

То есть чел пытается войти но зная .что после трех неудачных попыток его забанят, сбрасывает соединение  после первой попытки  чтобы потом часа через 2 опять повторить?

i2ks пишет:

Я конечно понимаю то что пятница, но еще не вечер. что бы так отжигать

Тут и сказать нечего... ab

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

14 Ответ от yars

  • yars
  • yars
  • Slacker
  • Неактивен
  • Откуда: Тамбовская область
  • Зарегистрирован: 23.03.2012
  • Сообщений: 10,043
  • Репутация : [ 309 | 1 ]
zenon пишет:

Тут и сказать нечего... ab

То есть, у нас необоснованная мания преследования? ab

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

15 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
yars пишет:
zenon пишет:

Тут и сказать нечего... ab

То есть, у нас необоснованная мания преследования? ab

Как ты себе представляешь брутфорс в 3 попытки/час?

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon

16 Ответ от yars

  • yars
  • yars
  • Slacker
  • Неактивен
  • Откуда: Тамбовская область
  • Зарегистрирован: 23.03.2012
  • Сообщений: 10,043
  • Репутация : [ 309 | 1 ]

Никак - смысла нет... Долго. Но, я ведь о другом говорил. Хотя, если из области фантастики... ab

Истинный hotplug - это обычная электрическая розетка: воткнул - работает, и никаких драйверов.
Arch Linux/Xfce/Xiaomi Mi Notebook Pro 15.6 | Slackware64-current/Xfce/Lenovo G580

17 Ответ от pavlar (09.11.2012 18:09:14 отредактировано pavlar)

  • pavlar
  • Пользователь
  • Неактивен
  • Зарегистрирован: 10.05.2011
  • Сообщений: 906
zenon пишет:
yars пишет:
zenon пишет:

Тут и сказать нечего... ab

То есть, у нас необоснованная мания преследования? ab

Как ты себе представляешь брутфорс в 3 попытки/час?

Очень просто. Один тайваньский айпи начал как из пулемета  ломитьсяпо ssh (попытка логиниться через каждые 2 сек) У меня за сутки лог так наполнился что ееле вычстил его . Но это не самое страшное. Он так забивал канал что нельзя было в интернет выйти.Я его поставил в hosts.deny/. Так он ломился каждые 3 часа и получал refused.  Я ради интереса убрал его  из hosts.deny ,так   при первой же попытке через три часа ,не получив refused,  опять начал беспрерывно строчить с интервалом 2 сек (неудачная попытка логина -  он сразу делает closed и повторяет попытку  ).Так что пришлось обращаться к провайдеру чтобы тот перекрыл

Никогда не спорьте с дураками, они опустят вас на свой уровень и там задавят  своим "интеллектом"