[es] - SSH problem sa linux serverom

Biker
Novakov Sasa
Vrsac

Član broj: 13915
Poruke: 68
*.speednet.co.yu.

Profil

^{04.07.2008. u 09:44}

Imam problem kod linux servera (fedora) kome najcesce moram da pristupim izdaleka preko SSH.
E sad problem je sto je server jednog dana poceo da pokusava da ostvari konekciju na SSH portu
negde bezveze u svetu. I to je podiglo saobracaj na nekih 1Mbit uploada. E sad ja sam to ubio tako
sto sam zabranio sav saobracaj prema portu 22, ali na ruteru ispred njega. Da li je neko imao ovakav problem i kako to uopste moze da se resi. Trenutno na tu masinu nemogu da pristupim preko SSH porta.

Iz supljeg u prazno!!!

^{04.07.2008. u 09:44}

igor.vitorac
Brussels, BE

Član broj: 144858
Poruke: 62
213.246.217.*

Profil

Re: SSH problem sa linux serverom

^{04.07.2008. u 11:56}

Nisi bas dao previse detalja... ali ajd... ako sam dobro razumeo....
Pretpostavljam da tvoji korisnici (ili mozda neki backdoor) sa lokalne mreze (ili samog servera) pokusavaju da koriste tvoj server i destination port 22 (ka svetu) za komunikaciju. Ono sto ti treba da uradis je da na ruteru zabranis destination port 22 ali samo za konekcije koje dolaze iznutra. U suprotnom smeru ostavi destination port 22 da bi mogao da se kacis na server. Ali pre svega ispitaj o cemu se i kakvom saobracaju tu zapravo radi!

^{04.07.2008. u 11:56}

b0xd
Zrenjanin

Član broj: 187907
Poruke: 1
*.mediaworksit.net.

Profil

Re: SSH problem sa linux serverom

^{15.07.2008. u 13:21}

Mislim da je neko stekao (moguce) root privilegije, i instalirao taj neki "ssh bruteforcer"

To je jedna prosta skriptica (barem u mom slucaju bila) koja skenira range po range za otvorene ssh portove
i pokusava razne kombinacije uname/pass-ova kako bi stekla pristup udaljenom racunaru.

Skontah sam gde se nalazi gledajuci .bash_history, posto genije koji je 'dovukao' ocigledno nije bio
dovoljno pazljiv.

Vidi u proces listi (top/ps) da li ti nesto i dalje sljaka, ako ne proveri ko ti je pristupao sistemu, u poslednje vreme (last)

Let's race and see who falls behind, it's in my mind.

^{15.07.2008. u 13:21}

Biker
Novakov Sasa
Vrsac

Član broj: 13915
Poruke: 68
*.speednet.co.yu.

Profil

Re: SSH problem sa linux serverom

^{pre 28 dana i 5h}

Evo ovako, desilo se jednog dana da je samo server fedora poceo da sljaka mega sporo.
Kad sam se posle 5 minuta ulogovao preko ssh i ukucao top mogao sam samo da vidim
da procesor radi na 85% i da postoji jedan proces mysql i punoooooooo procesa sa userom steven i proces ssh.
I onda sam morao da ubijem ssh server jer drugacije nije islo.

Kako mogu da proverim da li je nesto instalirano spolja i sta. Jer mi stvarno treba ssh.

Hvala

Iz supljeg u prazno!!!

^{09.09.2008. u 20:27}

Livadic Cvetko
Milan Karalic
Beograd

Član broj: 99953
Poruke: 39
*.verat.net.

Jabber: mixacha@elitesecurity.org

Profil

Re: SSH problem sa linux serverom

^{pre 19 dana i 10h}

Prvo bi mogao da zakljucas doticnog usera (tipujem 101% isti username password ili username/test kombinacija).
Sto se tice toga sto si dobio jeste klasicni ssh bruteforce alat (vise o ovome ces naci na google.com)

Probaj sa rkhunter-om naci ako imas neki rootkit, pregledaj svoje logove (mada toplo preporucujem da sacuvas sve bitne podatke i odradis reinstall jer nikad ne mozes biti apsolutno siguran u to da li imas/nemas nesto sto jos uvek nije izaslo u javnost)

"There is no patch for human stupidity"

^{18.09.2008. u 14:56}

maksvel
Marjan Milošević
Čačak

Član broj: 107376
Poruke: 321
*.adsl.beotel.net.

Sajt: www.tfc.kg.ac.yu/tempus-j..

Profil

Re: SSH problem sa linux serverom

^{pre 19 dana i 6h}

Ako nisi imao tripwire ili nešto slično, neće biti lako pouzdano saznati šta je lik petljao. Ako možeš da odradiš reinstall, k'o što reče Cvetko, bilo bi dobro. Posle možeš da promeniš port za ssh i staviš fail2ban ili nešto slično.

Unix is user-friendly—it's just choosy about who its friends are.
_______________________
Blog

^{18.09.2008. u 18:58}

nemysis

Moderator
Član broj: 2273
Poruke: 417
*.m2.ntu.edu.tw.

Jabber: nemysis@elitesecurity.org

Profil

Re: SSH problem sa linux serverom

^{pre 19 dana i 6h}

Tačno tako obavezno promeni port za SSH na neki viši. To veoma smanjuje napade.

Takođe za svaki program koji to dopušta promeni port na primer za vsftpd, VoIP itd...

Pozdrav nemysis.

Gentoo Gentoo Wiki System Rescue CD Linux Questions

Registered Linux user: #130654

^{18.09.2008. u 19:29}