Dotaz: Útočí mi někdo na server?

[Virteal]

Dobrý den,

dneska se mi stala trochu nemilá věc, chtěl jsem se připojit na svůj server přes SSH, ale ohlásil "No route to host", ani Apache neodeslal stránku, která byla na serveru. Stalo se mi to tak mnohokrát i v minulosti, myslel jsem si, že je to diskem, který se přestane točit a zaparkuje hlavičky, ale pak mi došlo, že se i mnohokrát probudil a vše normálně fungovalo, když jsem se na server připojil, nebo se podíval na stránku přes prohlížeč. Oživil jsem tedy počítač flashkou, prostě jsem ji připojil a hned odpojil, disk se roztočil a vše začalo opět fungovat. Koukl jsem tedy do logů, abych zjistil, co se stalo, popravdě jsem ani nevěděl, co mám přesně hledat, ale nakonec jsem našel v auth.log toto

Jul 21 12:47:14 "jmenoserveru" sshd[18848]: User root not allowed because account is locked
Jul 21 12:47:14 "jmenoserveru" sshd[18848]: input_userauth_request: invalid user root [preauth]
Jul 21 12:47:14 "jmenoserveru" sshd[18848]: Received disconnect from 83.212.105.96: Bye Bye [preauth]

Toto je jeden z případů, ale mám toho plné logy i s jinými IP adresami. Žádné z nich neznám, koukal jsem asi na 4, jedna byla z Řecka, druhá z Polska a další 2 z Číny. Podle mě se jedná o útoky, kdy se někdo pravděpodobně pomocí nějakého programu snaží uhádnout jméno uživatele k SSH (bylo tam třeba i oracle, jack apod., ale hlavně root, vždy nejvíce po 3 vteřinách) a po jeho uhádnutí se pokusit rozlousknout heslo. Mám pravdu? A je vůbec možné, aby kvůli tomu vytuhl celý server? Děkuji.

---

---

Odpovědi

[Jendа]

Mám pravdu?

Ano, děje se to naprosto běžně. Pokud ti to vadí, jde např. přesunou sshd na jiný port (používám doma na pomalé lince a velice pomalém počítači).

A je vůbec možné, aby kvůli tomu vytuhl celý server?

Nemělo by, nejspíš tam máš nějaký jiný problém.

[pocitujlasku]

Dufam, ze nemas povoleneho root-a cez ssh. Videl som to aj u dost skusenych Linuxakoch.

pozri v messagess ci tam nie su nejake chyby. Utokmi by to nemalo byt.

[n]

Zkušení linuxáci roota přes ssh nesmějí?

[Jendа]

Teoreticky to zvyšuje pravděpodobnost útoku při nalezení 0-daye, který umožní obejít heslo/klíč, jako třeba byl ten v Debianu.

[n]

Co třeba povolit přístup jen z některých adres nebo jen po vpn? Nebo klepání na port?

[pavlix]

Taky můžeš předsadit IPsec.

[pocitujlasku]

zbytocne to zvysuje riziko preniknutia, ked im staci hadat len heslo. Ja ho mam vsade zakazany, ved naco potom mame su a sudo

[pavlix]

Nevím jak dlouho by musel hádat heslo, když žádné není.

[pavlix]

ved naco potom mame su a sudo

Nástroje se typicky používají kvůli užitku, nikoliv kvůli jejich existenci.

[Jendа]

Ja ho mam vsade zakazany, ved naco potom mame su a sudo

Jak řešíš kopírování (scp, rsync) souborů, ke kterým může (zapisovat) jenom root na server a ze serveru? Jak řešíš zálohování?

[JanM]

Nevím, jak odkazovaný, ale já na podobné věci používám specificky vytvořeného uživatele + certifikáty (bez hesla) + zákaz shellu + kontrola zadaného příkazu skriptem (viz directiva command v $HOME/.ssh/authorized_keys), roota dostane přes sudo (opět jen na konkrétní příkaz).

[Jendа]

Takhle jde udělat scp z /root/?

[JanM]

Co znamená "scp z /root/"?

Skripty na zálohování mají admin práva jak na vzdáleném, tak lokálním počítači. Existuje ještě něco s vyššími právy?

[Jendа]

Například něco debuguju a potřebuju si zkopírovat logy z /var/log/ k sobě na desktop nebo jsem spustil tcpdump s výstupem do souboru a teď si tento soubor chci stáhnout na desktop, abych ho otevřel ve Wiresharku. K obojemu má přístup jenom root. Na serveru, kde to někdo vynucuje, musím daný soubor vždycky přesunout do /tmp nebo /home/jenda a pak si ho zkopírovat jako user.

Zálohováním myslím to, že servery zálohuju stylem zálohovací-server:# rsync -ae ssh root@target:/ .. Takhle jsem třeba odléval FS virtuálu na externí disk (zálohovací-server byl fyzický stroj). Tohle bez roota po SSH prostě neudělám.

[Zadejte vaše jméno]

Pokud ma uzivatel id 0 tak proc by nesel? :P

[Jendа]

Takže to celé budu dělat jenom proto, aby se root nejmenoval root? Trochu bych se bál, že to rozbije některé špatně napsané distribuční skripty a programy.

[pavlix]

SSH kontroluje jméno nebo číslo?

[Jendа]

Nevím, ale moc se mu to nelíbí:

Jul 23 17:26:35 debdirt sshd[2976]: fatal: Access denied for user deka by PAM account configuration [preauth]

po rebootu to nenaběhlo a nechce se mi zkoumat, proč. Revertuju snapshot.

[xkucf03]

Zálohování lze řešit např. tak, že se iniciuje ze zálohovaného serveru – tam běží skript pod rootem (typicky volaný z cronu), který zabalí zálohy, zašifruje je GPG a odešle přes SFTP na zálohovací server, kde má vytvořený ne-rootovský účet.

P.S. toto nepíšu jako argument proti povolenému přihlašování roota (aby nedošlo ke zbytečnému flamu).

[Virteal]

Ne, nemam ho povoleneho.

[MadCatX]

Tohle je normální. IMHO jde většinou o boty běžící na napadených počítačích, dost podobných pokusů o průnik pochází z Číny a okolí. Nahoďte fail2ban a problém by měl zmizet. Server by kvůli tomu ale vytuhnout neměl, nějaké použitelné info by mohlo být v dmesg.

[wert]

ja si pomocou fake sshd logujem uzivatelov/hesla (sshd mam na inom porte) :)

[Tom]

1)ssh na vyssi port odfiltruje to 99,99% pokusu o lognuti zbytek bude cileny utok se skenovanim portu

2)nahodit fail2ban

3)na lamky nahodit Kippo/

[petr_p]

chtěl jsem se připojit na svůj server přes SSH, ale ohlásil "No route to host",

Tahle hláška je z mezilehlého routeru, že mu chybí cesta k dané síti. Jak máte připojen dotyčný stroj k nejbližšímu routeru? (Kdyby to byl problém jen ve vašem stroji, dostal byste na ethernetu jinou chybovou hlášku – host unreachable.) Navíc byste v té chybové hlášce měl vidět adresu routeru, který to hlásil. Je to onen nejbližší router?

ani Apache neodeslal stránku, která byla na serveru.

Za dávných dob se používal program ping, který poslal ICMP echo request. Tím se vyloučí vyhnitý user space.

Stalo se mi to tak mnohokrát i v minulosti, myslel jsem si, že je to diskem, který se přestane točit a zaparkuje hlavičky,

Tohle by na ICMP echo mít vliv nemělo. Jádro funguje i bez disku.

Pokud by byl i s tím problém, tak bych to spíš viděl na nějaké hloupé uspávání síťové karty nebo něco na ten způsob.

[Virteal]

Jo, router tu mam, server jsem dal do DMZ. Je ale divne, ze by za to mohl, protoze vetsinou vsechno funguje a tahle chyba (kdy server vytuhne) se stavala jednou za delsi cas a ted v dobe fungovani nove nainstalovaneho serveru se stala zatim jenom jednou. Zatim jsem zakazal uspavani disku pomoci hdparm, uvidim, co to udela. SSH jsem presmeroval na jiny port a nahodil tam denyhosts, melo by to stacit. Uz delsi dobu mam SSH zabezpeceno klicem, takze by se tam stejne nikdo nedostal, ale moc vykonny ten server zrovna neni, takze me stejne ty utoky nastvaly, zbytecne se to vytezuje.

[Petr Šobáň]

Tak zruš DMZ a přesměruj pouze porty které používáš, ulehčíš routeru který nebude vše přeposílat na server.

Samozřejmě pokud router není dostatečně výkonný tak je možné že se zahltí on a není to chyba serveru že se tam pak nedostaneš.