Jak se mě včera někdo pokusil hacknout.

31.1.2007 17:20 | Přečteno: 2190× | Rady | poslední úprava: 31.1.2007 17:22

Tak kolem včerejší desáté hodiny večerní sem zasedl ke svému PC a vidím na gkrellm 1 ssh.

Říkám si kdo pak to asi je. Okamžitě vypínám ssh daemona a začínám pátrat. Jak vidím v mailové schránce mám hromadu mailů s předmětem Failed password for root. Procházím tedy logy a vidím:

Jan 30 22:07:06 localhost sshd[10372]: //
(pam_unix) authentication failure; logname= //
uid=0 euid=0 tty=ssh ruser= rhost=internet.mufrenstat.cz  user=root
Jan 30 22:07:08 localhost sshd[10372]: //
Failed password for root from 195.39.5.250 port 59166 ssh2
Jan 30 22:07:09 localhost sshd[10410]: //
Invalid user apple from 195.39.5.250
Jan 30 22:07:09 localhost sshd[10410]: //
(pam_unix) check pass; user unknown
Jan 30 22:07:09 localhost sshd[10410]: //
(pam_unix) authentication failure; logname= //
uid=0 euid=0 tty=ssh ruser= rhost=internet.mufrenstat.cz 
Jan 30 22:07:12 localhost sshd[10410]: //
Failed password for invalid user apple from //
195.39.5.250 port 59328 ssh2
Jan 30 22:07:13 localhost sshd[10458]: //
(pam_unix) authentication failure; logname= //
uid=0 euid=0 tty=ssh ruser= rhost=internet.mufrenstat.cz  user=root
Jan 30 22:07:15 localhost sshd[10458]: //
Failed password for root from 195.39.5.250 port 59497 ssh2

atd...

V tom momentě sem se nasral. Přidávám tedy inkriminující adresy do /etc/hosts.deny.

V konečném výsledku jsem našel dvě adresy pokoušející se přihlásit:

• 195.39.5.250 -> internet.mufrenstat.cz
• 88.191.47.42 -> sd-7678.dedibox.fr

Po zběžném ohledání se zdá ze se nepodařilo přihlásit. No každopádně mě to zkazilo náladu.

       

Komentáře

[Lu-Tze]

Jéé, to kdybych věděl, že ti to zkazí náladu, tak bych to nedělal

[pele]

diq

[Mikos]

Muhehe, koukám ty jsi asi ještě ve světě serverů panic, když se nad něčím takovým podivuješ Tohle je naprosto standardní věc, boti prostě vyhledávají SSH servery a pokoušejí se tam dostat (používají seznamy různých obvyklých jmen a hesel). Takovýchle "útoků" mám na svém routeru několik denně. A je to tak všude. Pokud nejsi blbec a nemáš nějaká superslabá hesla, není se čeho bát. Nebo pokud jsi přehnaně paranoidní pořiď si něco jako pam_abl (auto blacklisting) či prostě jen hoď ssh na nějaký jiný port než 22 (tím se zbavíš 99,999% neoprávněných pokusů o přihlášení, nicméně je to security through obscurity, což je principiálně špatné).

[Honza "tux" Friesse]

Nejlepší na tom je, že ti lidé, ze kterých ty útoky pocházejí, o tom většinou nevědí, protože se jim do Windows nainstaloval nějaký super prográmek. Jinak já osobně to filtruji tak, že dovolím na SSH jen určitý počet nových spojení za jednotku času z jedné IP. Tyhle prográmky totiš většinou vytvářejí za jednotku času spojení tolik, že to žádný člověk nezvládne. Musí se to ale nastavit dobře, aby se neomezili lidé za NATem.

[pele]

No spis to by linux, skenoval sem ty adresy a vypadalo to podle otevrenych portu spise na lin.

[Josef Kufner]

Nebo windows schované za routerem na Linuxu

[misch]

Taky bych doporucoval (jestli je to domaci masina) zakazat u SSH jiny zpusob prihlaseni nez pomoci klice. Pak muze mit root (nebo kdokoli jiny) jakkoli slabe heslo, a nesejde na tom. Samozrejme za predpokladu ze tam nebezi treba in.telnetd

[Mikos]

Prihlasovani jen pomoci klicu je strasne neprakticke a neflexibilni. Zaprve by si clovek porad s sebou musel tahat napriklad USB flashku s klici a za druhe se obcas potrebuje prihlasit i nekde kde nema moznost nic nahravat, takze by tam ty klice nedostal.

Bohate staci nepouzivat nejaka extremne slaba hesla...

[misch]

Tak v tom pripade asi urcite.

Ja jsem to bral spis z pohledu admina, ktery potrebuje obcas z domu spravovat server (tzn. klice mam na disku nebo na flashce). Nebo se potrebuje na svuj domaci pocitac dostat z prace .

[disorder]

kde si to videl v gkrellm? nejaky plugin?

[pele]

zabudovany plugin internet

[disorder]

krasa, skvele vyuzitie. dik.

[David Watzke]

denyhosts a banovat všechny, kdo se zkusí přihlásit jako root na ssh...

[Ritchie]

A k čemu to má být jako dobré?

[Max]

Asi pro dobrý pocit, bo co ...Také to nechápu, je to jen ztráta času ...
Zdar Max

[spectrum]

Denyhosts to udělá za nás, takže ztráta času to určitě není ... Také ho používám.

[Luboš Doležel (Doli)]

Útoky jsou naprosto běžná věc. Omezil jsem je DROPem veškerých příchozích spojení z Číny, možná ještě přidám Koreu.

Pro jistotu nepovoluju přihlášení na roota.

[vencour]

Laická otázka: sleduju nějaký hlášky, že nová verze něčeho (programu) zabraňuje získání přístupu, využití nějaké chyby, tedy dřívější to umožňovala. Takže se mi někdo může připojit do kompu bez toho, abych to poznal, tak, aby ho who nevypsalo? Abych si toho normálně nevšiml?

[vencour]

Jedinkrát mi někdo vlez do kompu, ještě na kabelovce, na veřejný ajpině, ke své smůle a neinteligenci zřejmě spustil Xka ... viděl jsem v htopu "X" a zabíral dost výkonu.

[AloneInTheDark]

Chyba umoznujici napr. vzdaleny buffer overflow -> utocnik zjisti, ze mas "tu spravnou" verzi trebas sshd -> posle "specialni" retezec, ktery prepise buffer a zpusobi napr. spusteni shellu -> stahne, rozbali zkomiluje si rootkit ktery spusti ( coz zahrnuje i zamenu nebo patch nekterych systemovych utilit ). uklidi po sobe a vyuziva "sluzeb" rootkitu ( vzdaleny pristup, skryvani procesu a adresaru apd.) muze skodit jak je libo.

pres who bys ho videl max v mezicase nez nainstaluje nejakej rootkit, pak uz ne :)

[anicka]

Takovy buffer overflow uz nastesti nebyl v openssh nalezeny ani nepamatuju - v posledni dobe jsem videla jen par pomerne nezajimavych chyb, u kterych se zatim ani poradne nevi, ze by je nekdo zkousel zneuzit. (Cirou nahodou o tom mam docela prehled, protoze openssh v nasi distribuci spravuju.)

Myslim, ze kdo zvoli rozumne rootovske heslo a ma novejsi nez sto let starou verzi, ten se zrovna u openssh fakt nema vubec proc bat.

[AloneInTheDark]

Jasne, vzdyt je tam napsano "treba" . Proste priklad. Abych pravdu rekl, tak situaci moc pozorne nesleduju a to hlavne kvuli nedostatku casu :) Nicmene drzim palce a at se dari.

PS: je zajimavy napr. jak nekdo pravidelne updatuje linux servery a jaksi zapomina na cisco routry, ktery meli podobnou/stejnou chybku, trebas tuhle Multiple Vendor SSH2 Implementation Buffer Overflow Vulnerabilities

[hugis]

No, ja na svojom serveri používam DenyHosts, ktorý po piatich neúspešných pokusoch hodí IP adresu do hosts.deny automaticky. Za necelý rok sa blížim už k 200 kusom. Z počiatku som mal z toho tiež stres. Teraz sa na tom už len bavím. Hádam to moje 21 znakové heslo na root-a ešte chvíľu vydrží.

[pele]

Jo DenyHost vypada velmi dobre, urcite vyzkousim. Pouzivam taky Snort ale ten tomuto nezabrani, to jen proti scanum.

[Lu-Tze]

Asi by mě vadilo, že mi kdokoli může znepřístupnit počítač (pětkrát napíše špatné heslo a já už se z té IP adresy nepřihlásím, přestože to nutně potřebuju).

Víc by se mi líbilo, kdyby se zablokovaly všechny účty až na jeden speciálně pro tento účel vytvořený, který by měl místo shellu program, který znovupovolí přihlašování z dané adresy. Nevím, jestli jsem to napsal srozumitelně, takže příklad

* badguy sedne k počítači odkud se přihlašuju domů (a on to ví)
* pětkrát pošle špatný heslo - to způsobí zablokování přístupu ke všem účtům s výjimkou účtu "enabler"
* zrovna dostanu akutní potřebu si něco stáhnout z domova, vidím ale, že na svůj účet se nedostanu
* přihlásím se jako "enabler" a tím se odblokuje přístup pro ostatní účty z IP, na které sedím (relace ale hned končí, k shellu se nedostanu)
* můžu se znovu pokusit přihlásit svým normálním username ignor

[AloneInTheDark]

Povol si prihlaseni pouze pomoci klicu a mas vyreseno. Nevyhoda je, ze si je budes s sebou muset nosit treba na usb flashce.

[ABCLinuxuIsAlive]

A nebo v nejhorsim .. pouzijeme port knocking :)

[disorder]

alebo Single Packet Authorization...

[andree]

taaaak, a prave si buducemu utocnikovi niekolkokrat zjednodusil uhadnutie hesla :o)) miesto 10^6 rokov mu bude stacit uz len ~1/Xtina ) (X=~60? uz je vela hodin, neviem to cislo odhadnut :))

[andree]

taaaak, a prave si buducemu utocnikovi niekolkokrat zjednodusil uhadnutie hesla :o)) miesto 10^6 rokov mu bude stacit uz len ~1/Xtina ) (X=~60? uz je vela hodin, neviem to cislo odhadnut :))

[kanada]

urpmi sshutout a je to B-]

[Pepa Rokos]

Řekl bych, že až nejlepší je zakázat login přímo na roota a pro ostatní uživatele povolit login jen přes RSA klíče.

[Mikos]

Jak uz jsem psal vyse, prihlasovani pouze pres klice je strasne neprakticke a neflexibilni reseni. Bohate staci pouzivat nejaka rozumna hesla a pripadne i zakazat vzdaleny login roota (tedy ze se musi clovek pres SSH prihlasit jako normalni user a az pak pouzit su - root).

[xvasek]

Kdybys byl trochu hravější, mohl sis spustit nějaký honeypot.

[00000 0000]

A môžem sa spýtať čo má tato úboha akcia spoločné s hackingom? teda nejake lacne bruteforcovanie sshd mi príde skorej ako poriadna lamerina. Pod vyššie uvedeným nadpisom by som si skorej predstavil že niekto našiel nejaký integrer, buffer, any overflow, alebo tak. Toto je skutočne štandardná situácia. Keby si mal server, divil by si sa napr. nad počtom portscanov.

[pele]

Jasne uznavam.

[Lu-Tze]

Ve skutečnosti to bylo tak, že někdo ho zaměstnával bruteforce attackem na ssh, zatímco jiný mu kradl auto

[Lukáš Rýdlo]

Na tohle mám jednoduchej fígl. Silná hesla a především povolený přístup jen ze sítě Masarykovy univerzity a od kolegy, ktery potrebuje pristup k projektu, na kterem pracujeme... Je to dostatečně spolehlivé.

[Shteffi]

Tak nevim.. já na svim routeru mam ssh na jinym portu právě proto abych se těmhle robotům vyhnul, protože sem měl podobný útoky dnes a denně. vim že to je security by obscurity a že je to principielně špatné, ale funguje to. Používam dostatečně silná hesla a jsem v klidu víc, než kdybych se měl každej den strachovat.

Myslete si o mě co chcete, ale když to vyřeší těch 99,999% případů, tak to má svuj smysl. A omezovat se nějakým jiným způsobem se mi nechce, protože na tom budu bitej jenom já.

Nebo mi vysvětlete proč bych měl mít na svim routeru ssháčko na 22 portu... nikdo jinej kromě mě se tam nepřihlašuje.

Mile rád se necham poučit.

[Mikos]

Proč byste se měl strachovat? Pokud nepoužíváte extrémně slabá hesla, tak ty boty můžete nechat ať se snaží, jejich šance je naprosto nulová. Jediný případ kdy jsem to schopný pochopit je je pokud máte nějaký extrémně slabý hardware a ty pokusy o připojení na SSH ho výrazně zpomalují...

[David Jaša]

Stačí v iptables limitovat příchozí spojení tak na 2/s a je po problému. Root se nemůže přihlásit a boty to přestane bavit ještě předtím, než by vůbec začaly zkoušet jiná jména...

[medulin]

Takových logů mám v routeru plno. A kdybych to měl pokaždé takto řešit tak bych nedělal nic jiného.

[medulin]

Takových logů mám v routeru plno. A kdybych to měl pokaždé takto řešit tak bych nedělal nic jiného.

[Zdenek.Z]

To je normální. Když jsem měl dlouhodobě veřejnou IP, tak jsem našel takovýchle záznamů za první měsíc 17 000. Pak jsem začal blokovat.