LINUX.ORG.RU
ФорумAdmin

поломали

 


1

5

auth.log:Jan 19 14:28:16 pc sshd[31332]: Accepted keyboard-interactive/pam for root from 103.41.124.101 port 47104 ssh2

auth.log:Jan 19 18:36:32 pc sshd[418]: Accepted keyboard-interactive/pam for root from 148.163.4.178 port 40696 ssh2

537561 612 -rwxr-xr-x 1 root root 618631 Jan 20 01:33 /lib/libgcc.so

915632 612 -rwxr-xr-x 1 root root 618642 Jan 20 00:28 /usr/bin/zlsjlwybks

701174 0 lrwxrwxrwx 1 root root 20 Jan 20 00:28 /etc/rc1.d/S01zlsjlwybks -> ../init.d/zlsjlwybks

701320 0 lrwxrwxrwx 1 root root 20 Jan 20 00:28 /etc/rc3.d/S01zlsjlwybks -> ../init.d/zlsjlwybks

701197 0 lrwxrwxrwx 1 root root 20 Jan 20 00:28 /etc/rc2.d/S01zlsjlwybks -> ../init.d/zlsjlwybks

701453 0 lrwxrwxrwx 1 root root 20 Jan 20 00:28 /etc/rc5.d/S01zlsjlwybks -> ../init.d/zlsjlwybks

701384 0 lrwxrwxrwx 1 root root 20 Jan 20 00:28 /etc/rc4.d/S01zlsjlwybks -> ../init.d/zlsjlwybks

701617 4 -rw-r--r-- 1 root root 764 Jan 20 00:28 /etc/crontab

701002 4 -rwxr-xr-x 1 root root 323 Jan 20 00:28 /etc/init.d/zlsjlwybks

700947 4 -rwxr-xr-x 1 root root 229 Jan 20 00:28 /etc/cron.hourly/cron.sh

# strings libgcc.so

BB2FA36AAA9541F0

103.25.9.228

8.8.8.8

CAk[S



Последнее исправление: fk0 (всего исправлений: 1)

А реально настроить логирование всех команд в journald? Было бы интересно посмотреть, если ломанут.

Black_Roland ★★★★
()
Ответ на: комментарий от redhat

Виноваты:

1) PermitRootLogin yes в sshd_conf;

2) пароль рида «12345».

Было когда-то на 5 минут так сделано и забыто. Тут вообще ssh не нужен.

fk0
() автор топика
Ответ на: комментарий от fk0

я обычно так себе делаю пароль:

openssl sha1 /bin/bash

SHA1(/bin/bash)= 9bf9fd98a9eab2123b922c736f6d51951abebfe7

9bf9fd98a9eab2123b922c736f6d51951abebfe7

попробуй подбери, если тебя fail2ban на второй попытке на месяц забанит.

redhat
()
Ответ на: комментарий от entefeed

auditd. Подними контейнер с паролем рута как у ТС и посмотри что боты делают.

Ханипот мне вроде не надо :) Может пригодится для разбора полетов. Надо потыкать интересная штука, спасибо.

UPD: По логированию команд вроде эта ссылка полезна: http://whmcr.com/2011/10/14/auditd-logging-all-commands/ (если интересно кому)

Black_Roland ★★★★
()
Последнее исправление: Black_Roland (всего исправлений: 2)

что спросить-то хотел? Или просто принес свою боль?

leave ★★★★★
()
Ответ на: комментарий от Daimon

а ключ ты где возьмешь? Алсо, версию баша ты не знаешь, также не знаешь, с какими флагами я его собрал.

подобрать будет +/- реально

одна попытка с одного ip в месяц, давай, подбирай.

redhat
()
Ответ на: комментарий от redhat

Лучше уж тогда sha1 от какого-нибудь linux-0.0.1.tar.gz, чтобы можно было воссоздать пароль в случае чего.

mix_mix ★★★★★
()
Ответ на: комментарий от turtle_bazon

один раз я сам себя заблокировал и пришлось подключаться через ssh к удалённому компу и из под него к первичному чтобы сбросить правила fail2ban'а

snaf ★★★★★
()
Ответ на: комментарий от redhat

Это вопрос к ТС, не ко мне, у меня нет авторизации по паролю.

Это я ступил и не на то твое сообщение сообщение ответил.

у меня нет авторизации по паролю.

А это тогда зачем?

я обычно так себе делаю пароль:
попробуй подбери, если тебя fail2ban на второй попытке на месяц забанит.

Black_Roland ★★★★
()
Ответ на: комментарий от snaf

Хорошо, если такая возможность есть. Я помню, на заре изучения iptables просто тупо все исходящие заблокировал и остался без возможности подключаться к серверу. И такое бывает. :)

turtle_bazon ★★★★★
()
Ответ на: комментарий от redhat

На всякий случай хочу уточнить, знаешь ли ты о существовании ssh_agent? Публичные ключи я одобряю, но вот беспарольные — не очень.

kawaii_neko ★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.