завалите этого урода

уже час подбирает пароли, у меня мой p90 аж надрывается

Поменяй пароль на maotzedun

щас =)

Скорее всего это зомбитачка, надо громко нажаловаться его прову.

да обычное дело...у нас постоянно кто-то пытается пробиться ))...

У него светит в сеть ssh - openssh 4.3. Експлоит в природе имеет место быть. Дерзайте.

iptables? ipfw? не?

iptables

Командочку подсказать?

чтобы его закрыть? замолчал вроде =) дык это можно и через hosts.deny вроде

~ % sudo zgrep -c ']: Invalid user ' /var/log/messages*
/var/log/messages:1679
/var/log/messages-20070225.bz2:4786
/var/log/messages-20070429.bz2:12733
~ %

чо, уже? а я только эксплоит нашел =)

http://www.securitylab.ru/poc/extra/274639.php

смени порт и баннер, это сразу отсекает кучу идиотов и ботов

Опа..так он все таки сработал :)

http://www.zeroflux.org/cgi-bin/cvstrac.cgi/knock/wiki и нии..т.

Это что, эксплоит от ботов?? Или для ботов? Я что-то не понял что он делает...

у меня когда подключаюсь напрямую без файрволла, через каждые три минуты Remote Desktop Sharing выскакивает с предложением разрешить доступ...

Причём этот клиент (Krfb), выкидывает окошко спрашивающее о подключении даже если ему просто по телнету стукнуть...

про ssh на роутере вообще молчу, там проваленные попытки логина выводятся на консоль, какие только имена юзеров угадать не пытаются :)

Жаловаться прову? И как? А поможет? Ломятся с румынских ip а румыны нашего мата не понимают, проверял :)

Смени порт(с 22 на высокий) и банер - сказали уже же. Неужели это так трудно? Это гораздо легче, чем написать одно сообщение тут.

Ты тоже смени порт.

$map 220.128.206.131

Starting Nmap 4.20 ( http://insecure.org ) at 2007-05-04 23:12 EEST
Interesting ports on 220-128-206-131.HINET-IP.hinet.net (220.128.206.131):
Not shown: 1689 filtered ports
PORT      STATE  SERVICE
21/tcp    closed ftp
22/tcp    open   ssh
53/tcp    closed domain
80/tcp    open   http
113/tcp   closed auth
3306/tcp  open   mysql
8080/tcp  open   http-proxy
10000/tcp open   snet-sensor-mgmt

Гы, прокся открытая :) паюзаем? ;)

В каком месте тут прокся?

ниюзаеццо

Apache Tomcat на обоих портах тама, а не прокси.

google 220.128.206.131

:))))

220.128.206.131 TW Taiwan Taipei

гы, как же их назвать то? не китайцы, не японцы...

relax батько, сие есть дело обычное и не повод для паники. у меня уже который год желающие получить халявный шел подбирают пароли, но как-то все не получается. ну и хрен с ними.

// wbr

>гы, как же их назвать то? не китайцы, не японцы...

гоминьдановцы-чанкайшисты.

Порт можно не менять, достаточно что-то вроде Denyhosts поставить и пусть ломятся сколько влезет.

Бывает и хуже

http://bash.org.ru/quote.php?num=198949

поставь denyhosts и забудь про таких чудиков

Хост тайваньский, а юзернеймы набиваются финские. Странно.

http://www.the-haleys.com/chaley/ssh_dictionary_attacks.php

Баннер это то как представляется ssh сервер когда цепляешься к ssh telnet'ом  ??
т.е. например: SSH-2.0-OpenSSH_4.3p2
Если да, тогда бы я не советовал это делать.

Убедительно. Аргументированно.

Хм. Но я не получил подтверждения тот ли это банер о котором я подумал. Есть же еще опция Banner в sshd_config. Если же речь идет все-таки о первом "баннере". IMHO: Сервер и клиент таким образом договариваются о своих версиях(наличие/отсутсвие багов/фич), о версии протокола. Я внутрь не заглядывал, но думаю не стоит мешать им это делать. Если после очередного апдейта ssh отвалится из-за этого (если конечно такое возможно), думаю проблему будет тяжело найти.

http://www.openssh.net/faq.html#2.14

Используй fail2ban.

Девочка на сайте у него красивая.

"завалите этого урода (vilfred)"

Хороший заголовок.

Это что, у меня как-то *рута* час брутфорсили на домашней тачке, при том, что ssh у меня его "из коробки" знать не желает. Достали, перевесил на высокий порт, теперь не допрыгивают =)

Думал даже honeypot сделать со сломанным sshd на 22 порту (чтобы он вообще никогда не авторизовал). Пока что лень, да и дел других хватает.

Есть еще, говорят, волшебный модуль для iptables -j TARPIT. Высасывает ресурсы у супостата (сокеты открытые держит почем зря).

в сети 217.65.0.0 с айпишника 213.195.76.214 уже дней пять какой то бот работает безперерыва :) надоело мне читать отчеты от fail2ban пришлось #iptables -t filter -a INPUT --source 213.195.76.214 -j DROP делать :)