Пользуясь моментом рискну костями сросить - если IP динамический и выдается провайдером при подключении каждый раз, а SSH сервер не запущен, могут ли извне взломать (чисто теоретически)?
ip к домену привязан, зайти можно по имени - ssh myserver.example.com
Попробовал сменить конфиг SSH, а именно смена порта - не пускает. Вернул дефолтный - все нормально, root теперь не имеет доступа к серверу по SSH.
Воспользовался вот этим http://manual.aptosid.com/ru/ssh-ru.htm за исключением вот этой строки ListenAddress - оставил без изменений (у меня 0.0.0.0).
В общем со сменой порта не получилось (в firewall порт менял).
Попробовал сменить конфиг SSH, а именно смена порта - не пускает.
не пускает когда подключаетесь?
подлкючаться надо так ssh -p<указываем порт> user@host
ssh -p22022 user@host
или правим на хосте /etc/ssh_config
параметр: #Port 22
но лучше использовать первый вариант, так как на хостах в dmz может быть стандартный порт
Дело в том, что я пользуюсь Putty. Теперь не могу подключиться к серверу через нее, вообще. Сбрасывает соединение. Через FileZilla пользователем могу зайти, но, естественно, поправить конфиг уже не могу.
Сорри, это был не правильно введен пасс. Видать банит на время установленное в конфиге. Но, почему-то через Putty пароль не принимает. Через FZ ведь нормально.
Дело в том, что я пользуюсь Putty.
и что?
Вкладка session > дальше указываем host и port > вместо 22 указываем то который прослушывает сервер.
putty
Он параметры в командной строке понимает.
> putty -P 22022 host
вместо 22 указываем то который прослушывает сервер.
Оставил пока по дефолту, но при вводе пароля пишет в доступе отказано. Через FileZilla, с тем же паролем, пользователя пускает. А так же по FTP - все нормально.
Да этот товарищ мне два сервера атакует! Теперь на втором сервере владелец директорий 0:0 и я как раз не могу на него по ssh (putty) зайти.
Хотя установил fail2ban до этого и добавил в iptables этот IP (возможно сменил, не вижу).
Что делать?
Он мог аккаунт отличный от рута создать. Смотри /etc/passwd на предмет лишних/непонятных учеток, временно снеси sudo.
ERT, и да сделай:
nmap server1.comnmap server2.comВывод покажи.
еще:
last|head -5
покажет последние 5 заходов на твой сервер.
Я не могу подключиться к серверу. Только sftp и ftp. Даже не могу открыть для просмотра auth.log (пользователем). root'om зайти не могу, так как отключил доступ ему по ssh.
Может лучше переустановить Debian? Благо эта машина с игровыми серверами. Тот, на котором стоят веб сайты пока что нормально работает, но в логе появились новые IP, которые пытались подключиться по ssh. Я их добавил в iptables.
Только sftp и ftp. Даже не могу открыть для просмотра auth.log
Так залейте этот файл к себе, если у вас есть доступ то по sftp =)
В том-то все и дело, что пробовал: Критическая ошибка при передаче файлов
nmap
[console]-bash: nmap: команда не найдена[/console]
whereis nmap
вохможно nmap не стоит, или надо указать путь к nmap
Я не устанавливал.
Поставил. Вот вывод mysite1.com:
[console]Starting Nmap 5.00 ( http://nmap.org ) at 2011-10-04 17:01 EEST
Warning: Hostname evolutiongame.com.ua resolves to 2 IPs. Using 127.0.0.1.
Interesting ports on localhost.localdomain (127.0.0.1):
Not shown: 987 closed ports
PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
143/tcp open imap
993/tcp open imaps
995/tcp open pop3s
3306/tcp open mysql
10000/tcp open snet-sensor-mgmt
10024/tcp open unknown
Nmap done: 1 IP address (1 host up) scanned in 0.18 seconds
[/console]
и mysite2.com
[console]Starting Nmap 5.00 ( http://nmap.org ) at 2011-10-04 17:03 EEST
Interesting ports on localhost.localdomain (127.0.0.1):
Not shown: 987 closed ports
PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
53/tcp open domain
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
143/tcp open imap
993/tcp open imaps
995/tcp open pop3s
3306/tcp open mysql
10000/tcp open snet-sensor-mgmt
10024/tcp open unknown
Nmap done: 1 IP address (1 host up) scanned in 0.17 seconds
[/console]
Тэкс, как мне кажется - тебя ломанули не напрямую через ssh, а через ssh2 - это модуль к апачу.
Вот смотри про его установку http://shutik.net/articles/linux/62-ssh2-apache2.html
Если модуль не нужен - сноси, опять-таки логи типа auth от апача нужны тогда.
http://dimoning.ru/ssh2-php.html
Да, на машине (с одним IP), где у меня установлены веб сайты - возможно.
А на второй машине (с другим IP), где нет apache - как смогли?
Я хочу понять - это подбор пароля или что-то другое? Если подбор пароля, то на сервере может остаться файл атакующего? Если да, то он может сделать это снова. Это факт. Вчера на сервере был один пароль - удалены все папки пользователя. Я сменил пароль. Сегодня изменены владельцы директорий, а на этом сервере нет apache и пароль я сменил вчера вечером.
Может легче установить по новой операционку и настроить безопасность?
Может легче установить по новой операционку и настроить безопасность?
Ну в общем по-хорошему - да.
А не могли пароли одинаковые быть?
После этого взломщик мог создать аккаунт, и уже из под него работать.
К сожалению пасс юзера и root был одинаков на обоих машинах :(
Только что подключил к серверу (не веб серверу) монитор - firewall отключен, как я понял.
[console]sh: Can't open /etc/network/firewall.sh[/console]
Я наверное пошел переустанавливать Debian?
Как обезопасить веб сервер и где можно поискать файл, который мог оставить взломщик? Он пока что работает нормально.
