Freesco, NND, CDN, EOS
http://forum.freesco.pl/

error sshd
http://forum.freesco.pl/viewtopic.php?f=22&t=15742		 Strona 1 z 1
Autor:  idub [ czwartek, 2 sierpnia 2007, 09:49 ]
Tytuł:  error sshd
w logach (errors) mam taką informację powtarzjącą się co 2s :
Cytuj:
Aug 2 09:42:52 serwer sshd[27521]: error: Could not get shadow information for NOUSER
Aug 2 09:42:54 serwer sshd[27546]: error: Could not get shadow information for NOUSER
Aug 2 09:42:56 serwer sshd[27571]: error: Could not get shadow information for NOUSER


co mam nie tak?
Autor:  Maciek [ czwartek, 2 sierpnia 2007, 11:28 ]
Tytuł: 
Wszystko masz "tak".
Skanuje ssh jakiś automat poszukując standardowych loginów ze standardowymi hasłami :)
Autor:  idub [ czwartek, 2 sierpnia 2007, 13:48 ]
Tytuł: 
Gdzie zmienić port ssh?
Autor:  idub [ czwartek, 2 sierpnia 2007, 13:59 ]
Tytuł: 
Zmiana portu chyba nie pomoże bo w auth mam takie logi (tysiące logów):
Cytuj:
Aug 2 09:43:15 serwer sshd[27831]: Invalid user office from 62.81.241.210
Aug 2 09:43:15 serwer sshd[27831]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:15 serwer sshd[27831]: error: Could not get shadow information for NOUSER
Aug 2 09:43:15 serwer sshd[27831]: Failed password for invalid user office from 62.81.241.210 port 58924 ssh2
Aug 2 09:43:15 serwer sshd[27831]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:17 serwer sshd[27851]: Invalid user office from 62.81.241.210
Aug 2 09:43:17 serwer sshd[27851]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:17 serwer sshd[27851]: error: Could not get shadow information for NOUSER
Aug 2 09:43:17 serwer sshd[27851]: Failed password for invalid user office from 62.81.241.210 port 59024 ssh2
Aug 2 09:43:17 serwer sshd[27851]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:19 serwer sshd[27860]: Invalid user office from 62.81.241.210
Aug 2 09:43:19 serwer sshd[27860]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:19 serwer sshd[27860]: error: Could not get shadow information for NOUSER
Aug 2 09:43:19 serwer sshd[27860]: Failed password for invalid user office from 62.81.241.210 port 59121 ssh2
Aug 2 09:43:19 serwer sshd[27860]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:20 serwer sshd[27885]: Invalid user office from 62.81.241.210
Aug 2 09:43:20 serwer sshd[27885]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:20 serwer sshd[27885]: error: Could not get shadow information for NOUSER
Aug 2 09:43:20 serwer sshd[27885]: Failed password for invalid user office from 62.81.241.210 port 59206 ssh2
Aug 2 09:43:20 serwer sshd[27885]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:22 serwer sshd[27910]: Invalid user office from 62.81.241.210
Aug 2 09:43:22 serwer sshd[27910]: Excess permission or bad ownership on file /var/log/btmp
Aug 2 09:43:22 serwer sshd[27910]: error: Could not get shadow information for NOUSER
Aug 2 09:43:22 serwer sshd[27910]: Failed password for invalid user office from 62.81.241.210 port 59303 ssh2
Aug 2 09:43:22 serwer sshd[27910]: Excess permission or bad ownership on file /var/log/btmp



Co robić ??
Autor:  -MW- [ czwartek, 2 sierpnia 2007, 14:04 ]
Tytuł: 
zmienic port

/etc/ssh/sshd_config
Autor:  czerwo [ czwartek, 2 sierpnia 2007, 14:53 ]
Tytuł: 
: [/] [] ()
Aug 2 09:43:17 serwer sshd[27851]: Excess permission or bad ownership on file /var/log/btmp
GeSHi © Codebox Plus


chmod 600 /var/log/btmp
Autor:  idub [ poniedziałek, 6 sierpnia 2007, 06:14 ]
Tytuł: 
Cytuj:
zmienic port

/etc/ssh/sshd_config


Zmieniłem, ale teraz nie mam dostępu do nnd z zewnątrz, z lan jest.
Co mam zmienić żeby dostęp był także z zewnątrz?
Autor:  MAC!EK [ poniedziałek, 6 sierpnia 2007, 18:22 ]
Tytuł: 
idub pisze:
Cytuj:
zmienic port

/etc/ssh/sshd_config


Zmieniłem, ale teraz nie mam dostępu do nnd z zewnątrz, z lan jest.
Co mam zmienić żeby dostęp był także z zewnątrz?


zrestartować firewall (bądź też całe NND :) )
Autor:  idub [ wtorek, 7 sierpnia 2007, 06:04 ]
Tytuł: 
resety nic nie dały. Komputer widać z lan a z netu nie.
Autor:  MAC!EK [ wtorek, 7 sierpnia 2007, 15:16 ]
Tytuł: 
1. pokaż fragment sshd_config odpowiedzialny za port
2. pokaż wynik polecenia: grep ^Port /etc/ssh/sshd_config| cut -f 2 -d " "
Autor:  ligan [ wtorek, 7 sierpnia 2007, 16:55 ]
Tytuł: 
W pliku /etc/iptables/firewall zmień port z ręki ( w miejscu xxxx)
Cytuj:
# zaplotkuj jesli nie chcesz udostepniac poczty do inetu
if [ $MAIL = 1 ]; then
$i -A INPUT -p tcp -i $EXTIF --dport 110 -j ACCEPT
$i -A INPUT -p tcp -i $EXTIF --dport 25 -j ACCEPT
fi

# zaplotkuj jesli nie chcesz udostepniac SSH do inetu
if [ $SSH = 1 ]; then
$i -A INPUT -p tcp -i $EXTIF --dport XXXX -j ACCEPT
fi

i restart firewala oczywiście :)
Autor:  MAC!EK [ wtorek, 7 sierpnia 2007, 18:03 ]
Tytuł: 
ligan pisze:
W pliku /etc/iptables/firewall zmień port z ręki ( w miejscu xxxx)
Cytuj:
# zaplotkuj jesli nie chcesz udostepniac poczty do inetu
if [ $MAIL = 1 ]; then
$i -A INPUT -p tcp -i $EXTIF --dport 110 -j ACCEPT
$i -A INPUT -p tcp -i $EXTIF --dport 25 -j ACCEPT
fi

# zaplotkuj jesli nie chcesz udostepniac SSH do inetu
if [ $SSH = 1 ]; then
$i -A INPUT -p tcp -i $EXTIF --dport XXXX -j ACCEPT
fi

i restart firewala oczywiście :)

jeśli tak wygląda twój plik firewall to oznacza że masz starą wersję
Autor:  idub [ środa, 8 sierpnia 2007, 20:52 ]
Tytuł: 
Port udało mnie się zmienić, ale teraz mam takie informacje w auth:
Cytuj:
Aug 8 04:03:34 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - USER Administrator: no such user found from 211.215.23.77 [211.215.23.77] to 83.12.67.146:21
Aug 8 04:03:34 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - mod_delay/0.5: delaying for 440 usecs
Aug 8 04:03:34 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - mod_delay/0.5: delaying for 62 usecs
Aug 8 04:03:35 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - no such user 'Administrator'
Aug 8 04:03:35 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - USER Administrator: no such user found from 211.215.23.77 [211.215.23.77] to 83.12.67.146:21
Aug 8 04:03:35 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - mod_delay/0.5: delaying for 157 usecs
Aug 8 04:03:36 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - no such user 'Administrator'
Aug 8 04:03:36 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - USER Administrator: no such user found from 211.215.23.77 [211.215.23.77] to 83.12.67.146:21
Aug 8 04:03:36 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - Maximum login attempts (3) exceeded
Aug 8 04:03:36 serwer proftpd[12735]: serwer (211.215.23.77[211.215.23.77]) - FTP session closed.


i tak cały log tysiące razy

co z tym zrobić?
Autor:  Maciek [ środa, 8 sierpnia 2007, 22:30 ]
Tytuł: 
Proponuję serwer wyłączyć z prądu i zamknąć w szafie pancernej. To jest jedyny sposób na uniknięcie denerwujących logów. Jeśli masz uruchomione usługi, to zawsze znajdzie się ktoś, kto będzie próbował się w głupszy czy mądrzejszy sposób włamać. Zatem:
- zmiana portu ssh na dłuższą metę nic nie da jeśli masz np. login admin z hasłem admin, zawsze znajdzie się ktoś, kto prędzej czy później wykorzysta taką głupotę. Wg mnie starczy na standardowym porcie ssh i odpowiednio silne hasła + dozwolone logowanie tylko wybranych userów (AllowUsers ja).
- Sam nie używam ftp tylko sftp (z zastrzeżeniami jak wyżej), jeśli już musisz używac ftp, zadbaj o to, żeby każdy możliwy dureń nie dostawał do tego dostępu, ustawiaj mocne hasła, nie dawaj userom ftp dostępu do shella,
- W ogóle nie instaluj żadnych usług na serwerze, których nie potrzebujesz, niektórzy na zapas instalują wszystko co tylko jest w repozytoriach i zaniedbują konfigurację - to są potencjalne dziury.
- I ostatnia uwaga, komunikat o próbie włamania w linuksie nie oznacza, że próba była udana, warto logi przeanalizować, ale nie ma sensu wpadać w panikę - to nie jest windows - tam zwykle ostrzeżenie o wirusie oznacza, że on już jest.
Autor:  idub [ czwartek, 9 sierpnia 2007, 07:48 ]
Tytuł: 
ok. Dziękuję za wyczerpującą odpowiedź.
Strona 1 z 1 Strefa czasowa UTC+2godz.
Powered by phpBB® Forum Software © phpBB Group
https://www.phpbb.com/