Dotaz: sshd connection

[sweed]

Zdravim mam takovy problem, mam linux mint 19.2 a vsimnul jsem si, ze mam otevrene nejake ssh pripojeni. Zapatral jsem a zjistil, ze tech spojeni je vice. $last ani $w nic nezobrazi, v logach taky nic moc videt nejde, ale v system-monitor ukazuje ssh accepted. $ss |grep ssh mi potvrzuje spojeni do ciny. Tak jsem sshd odinstaloval zkontroloval /etc/ssh na klice a znovu nainstaloval openssh-server, okamzite po spusteni procesu se pripojuje do ciny, pote se zapnou dalsi procesy ssh. Tak jsem zakazal root na ssh, odinstaloval, projel jsem cron, preinstaloval mint na 19.3, znovu nainstaloval to sshd a porad to tam je ...

Nechci mazat cely system, spis by me zajimalo, kde muzu najit ty scripty, co spustej ten prvni dotaz a nazujou to spojeni. Pouzival jsem i google, ale nejak nemuzu zadnou uzitecnou radu najit

diky

---

---

Odpovědi

[Pavel 'TIGER' Růžička]

A není to spíše tak, že z číny se pokoušejí připojit na tvůj server? Skutečně je spojení navázáno?

[Jendа]

v system-monitor ukazuje ssh accepted

Pro jakého uživatele? Měl slovníkové heslo?

Tak jsem sshd odinstaloval zkontroloval /etc/ssh na klice

Co jsem viděl, tak běžné linuxové viry se instalují do /usr/bin nebo $HOME/.něco a klíč si nepřidávají, ale komunikaci s C&C si řeší samy. Ale samozřejmě to nic neříká o tom, jak se bude chovat nějaký tvůj konkrétní.

okamzite po spusteni procesu se pripojuje do ciny

sshd se někam připojuje? Fakt? Na jaký port?

[vencour]

Hezký, škoda, že u toho nejsem, abych to taky zkoumal ...
Ono spojení do Číny je established?
Když u sebe zadam "netstat -tanpu | grep -i 22", tak vidím aplikaci, která to obsluhuje.
Zakázat v iptables dst-port 22 pro Čínu? Pro začátek.
Mimochodem je to server/stroj bez citlivých záležitostí, takže nevadí čas strávený analýzou?

[PetebLazar]

Tušíte co míní tazatel pod označením system-monitor?

[vencour]

No, tuším. Nevim, jak moc je detailní a použitelný výstup.
To je system-monutor od mate/gnome, ne?

[PetebLazar]

V tom jsem právě nenalezl zdroj uváděného "ssh accepted" (do VB jsem si zkušebně nainstaloval LM19.2). Tak mne zajímá o jaký S-M vlastně jde.

[vencour]

Pamatuju, že se tu někdo pohoršoval nad mirrorem v Iránu. Neni náhodou tady taky něco takovýho? Čili najít a identifikovat proces.

[vencour]

Vezmu live knoppix, nastartuju, spustim systemmonitor, otevřu ssh na překladovou adresu (10.0.2.2) a v procesech vidim ssh, pravý tlačítko myši, detailed info, mam pid, pak najdu co se spouští.
Pro názornost.

[sweed]

Tak stacilo napsat sem na forum a problem zmizel takze bud je to nekdo z vas, nebo cinan jeste spi. Jeste vcera jsem pozakazoval nejaky procesy(apache,sql, icecast, atd.), tak je budu zase spoustet, uvidime, jestli se to zase rozbehne ...

To spojeni fungovalo tak, ze jakmile se spustilo sshd, tak behem 5s bylo prvni spojeni accepted, dalsich 5-6 spojeni behem pul minuty. Vypadalo, ze tim zadny velky data netecou(ale co pak ja vim?). Uzivatel root a vse na vysoke porty. Taky me napadlo, jestli to neni nejaky mirror, ale ten by prece nepouzival ssh spojeni.

V tom jsem právě nenalezl zdroj uváděného "ssh accepted" (do VB jsem si zkušebně nainstaloval LM19.2). Tak mne zajímá o jaký S-M vlastně jde. Ten system-monitor jsem bezel pod rootem, jinak ty spojeni videt nesly.

V kazdem pripade diky za rychlou reakci, budu to sledovat, projedu jeste ty logy, jestli v nich neco nenajdu. A jestli se to pripoji, dam dohromady nejake logy at se mame o cem bavit.

[Peter Golis]

Accepted pri TCP neznamená že by konekcia prešla overením, teda že by to ssh akceptovalo meno a heslo/kľúč.

A tak isto by som silno odporučil skontrolovať či to náhodou nie sú prichádzajúce spojenia z Číny a z USA, pri ktorých sa zombie botnety pripájajú na port 22 a skúšajú uniknuté heslá. Nezdá sa mi že by sshd sám inicioval spojenia niekam na iný kontinent. I keď to pri pofidérnych zdrojoch SW nevylučujem.

[sweed]

$ sudo netstat -tanpu | grep -i 22
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1181/sshd           
tcp        0     52 10.0.0.3:22             114.29.236.15:53572     ESTABLISHED 6043/sshd: unknown  
tcp        0     68 10.0.0.3:22             222.186.173.226:4505    ESTABLISHED 6050/sshd: root [pr 
tcp        0      1 10.0.0.3:22             222.186.180.41:47694    FIN_WAIT1   -                   
tcp6       0      0 :::22                   :::*                    LISTEN      1181/sshd

tak ja nevim ...

[sweed]

$ps -p 6050 -o comm=
sshd

To jsou přece všechno spojení dovnitř, ne? Nahlédni také do logů, tam se také něco píše.

Kromě toho by mě zajímalo, jak se soudruzi z Číny proboxovali na lokální ip adresu 10.0.0.3. Ty to tam přesměrováváš všechno na routru?

Já bych dal ssh na nestandardní port, soudruzi budou mít ztíženou práci.

[sweed]

Kromě toho by mě zajímalo, jak se soudruzi z Číny proboxovali na lokální ip adresu 10.0.0.3. Ty to tam přesměrováváš všechno na routru?

Zajimava otazka. Nejakej forward tam urcite bude ... mrknu na to diky

[j]

Jup, na 2-3 dny, vic ani tuk. Libovolny SSDcko pusteny do netu je scanovany furt a furt ... a pokazdy z jiny IP. Tudiz dotycni pouzivaji predem vytvorenej seznam ip:port ... na kterych sshcka bezej.

Takze s tou praci si nadelas tak maximalne do vlastniho, protoze prozmenu ze spousty siti se dostanes na standardni porty, ale na nestandardni nikolivek.

No asi takhle. Já si myslím, že trochu to pomáhá. Taky pomáhá omezení ip adres, ze kterých je povolen přístup...

Mně nestandardní porty fungují. Nemám zase tolik sítí na porovnávání, ale pamatuji se, že mi to jednou nefungovalo, a to bylo zrovna na standardním portu. Horlivý lokální ISP.

[rastos]

Keď urobím

nc tvojserver 22

tak tiež uvidíš, na svojom stroji sieťové spojenie od ssh. To ešte nič neznamená. Skontroloval by som, či sshd loguje, prípadne mu zvýšil loglevel a skúmal, čo to povie. Môžeš sa tiež na chvíľu odpojiť od siete (vlastne stačí zastaviť sshd), skontrolovať, že všetky sieťové spojenia sú zrušené, pustiť tcpdump/wireshark a znova sieť/sshd nahodiť a sledovať, aké pakety s portom 22 vlastne prídu - či je to niečo viac než len nadviazanie TCP spojenia.

[sweed]

je to mozny, ze to bylo jen navazene spojeni, mrknu na ten loglevel. diky

[sweed]

Pokud navazuji já spojení ven, vidím:

tcp 0 0 10.6.1.160:36518 10.6.1.38:22 ESTABLISHED 26507/ssh

protože spojení se navazuje přes ssh.

Když někdo naváže spojení ke mně, zobrazí se toto

tcp 0 0 10.6.1.160:22 10.6.1.38:47914 ESTABLISHED 26514/sshd: user [pr

protože spojení se navazuje přes sshd

[sweed]

Ja uz to asi vidim (ssh root@localhost -p 666). Ono to ukazuje '

tcp  0  0 127.0.0.1:666 127.0.0.1:43748 ESTABLISHED 12700/sshd: root [p

' i kdyz root zada spatne heslo. Ukazuje to stav spojeni a je jedno jestli je root prihlasenej nebo ne. Zas jsem o kousek chytrejsi ...

Tak to se omlouvam za paniku, nejak me tam zmatnul ten root a sshd

ssh pujde na jinej port a alespon se dokopu k tomu, udelat to na klice ... diky moc vsem