Ломанули сервер

ERT написал:

Я
А вот этот модуль, php-ssh2, я собирался использовать. Можно и обойтись без него конечно. Лучше удалить?

Тебя через него сломали, а дальше пароли одинаковые были... wink
Сначала разберись с ним, подумай как защитить, потом используй.

Он у меня и не был установлен:
[console]root@evolutiongame:~# aptitude purge php-ssh2
Не удалось найти пакеты, содержащих "php-ssh2" в своём имени или описании
Не удалось найти пакеты, содержащих "php-ssh2" в своём имени или описании
Ни одного пакета не будет установлено, обновлено или удалено.
0 пакетов обновлено, 0 установлено новых, 0 пакетов отмечено для удаления, и 0 пакетов не обновлено.
Необходимо получить 0 B архивов. После распаковки 0 B будет занято.
[/console]
Я его отдельно ставил, но на локальной, тестовой машине, перед тем, как устанавливать на рабочий сервер. А на сервер так и не поставил, так как начали ломать. Хотя на тестовой все получилось.

В твоих логах явно через ssh2 вроде все происходил (auth.log - который на обменник выкладывал).

Не понятно, зачем ставить разные sshguard, fail2ban ?
Можно сделать все проще.
1. Повесить порт ssh на нестандартный.
2. Использовать все тот же iptables. Например http://welinux.ru/post/4857/
В дополнение http://ruunix.ru/1000-iptables-poleznye-komandy.html

singles123, стучалки еще ему не хватало, ага.
Пред истории просто не знаешь, изначальное предложение (в другой теме) было:
и так:

iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 20 -j DROP
iptables -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT

да и другие способы типа твоих ссылок.
ы. И да у ТС изначально все DROP.

Не знаю, может Вам поможет (опишу свою систему защиты)
1. Перепробросил SSH на нестандартный порт.
2. Написал простейший скрипт, который закрывает этот нестандартный порт извне , через 5 мин после момента перезагрузки.
Другими словами, вход извне по ssh возможен только в течении 5 минут с момента перезагрузи сервера (вообще данный доступ, требуется только в особых случаях, когда на сервере что-то конкретно сломалось и стандартные средства доступа к серверу не работают)
3. Стандартные средства доступа к серверу это: OpenVPN с авторизацией посредством сертификатов, в результате имеем доступ к серверу как к локальной машине...
В итоге получилась ситема, доступ к которой извне невозможен с помощью пароля (за искл тех 5 минут с момента перезагрузки сервера).

3. Стандартные средства доступа к серверу это: OpenVPN с авторизацией посредством сертификатов, в результате имеем доступ к серверу как к локальной машине...

Т.е. получаем вход по ssh только по локалке (внутреннему IP, полученному при OpenVPN)?

Написал простейший скрипт, который закрывает этот нестандартный порт извне , через 5 мин после момента перезагрузки.
Другими словами, вход извне по ssh возможен только в течении 5 минут с момента перезагрузи сервера

А можно код скрипта?:)

Fkabir написал:

Т.е. получаем вход по ssh только по локалке (внутреннему IP, полученному при OpenVPN)?

Точно так!!!

Fkabir написал:

А можно код скрипта?:)

дык элементарно:
У меня 3 правило в iptables открывает доступ к этому порту, поэтому удаляем эту запись и все )))) :
iptables -D INPUT 3

Нашел на сервере, в директории /etc вот такой вот файл rearj.cfg:

VIRUS /usr/bin/scan /nomem /sub *
arj
 arj a -+ -y -a1 -r -j$ -s -jm -2s "%s"
 arj x -y "%s"
 AD
zip
 zip -r "%s" . -i *
 unzip "%s"
 AD
rar
 rar a -r -y "%s"
 rar x -y "%s"
 AD
tar.Z
 tar -cvZf "%s" .
 tar -xvZf "%s"
 ADT
tar.gz
 tar -cvzf "%s" .
 tar -xvzf "%s"
 ADT
tgz
 tar -cvzf "%s" .
 tar -xvzf "%s"
 ADT
tar.bz2
 tar --bzip2 -cvf "%s" .
 tar --bzip2 -xvf "%s"
 ADT

Что это за файл? На втором сервере нет такого. Операционная система одна и та же.

На сервера до сих пор пытаются прорваться (судя по логам). fail2ban успешно банит. Закрыл доступ root по ssh (PermitRootLogin no), но нет почему-то доступа даже по локальной сети. Или так и должно быть? Просто кто-то упоминал, что под root'ом можно будет зайти на сервер.

ERT написал:

Закрыл доступ root по ssh (PermitRootLogin no) ..... но нет почему-то доступа даже по локальной сети.

А какая разница? Ты вообще запретил root ssh доступ. wink