未分類
1 9 月 2020

最近 SSH 登录服务器系统发现有很多的失败登录

最近 SSH 登录服务器系统发现有很多的失败登录

資深大佬 : summerdog 1

Connection established.
To escape to local shell, press ‘Ctrl+Alt+]’.

WARNING! The remote SSH server rejected X11 forwarding request.
Last failed login: Thu Sep 3 14:05:53 CST 2020 from 83.48.101.184 on ssh:notty
There were 4234 failed login attempts since the last successful login.
Last login: Tue Sep 1 10:51:15 2020 fro…

RT，翻译了下，意思大概是自从上次成功的登录已有 4234 次失败的登录尝试。。

使用的硅云香港学生机，四千多次失败的 SSH 登录尝试，什么情况，会不会中病毒了。

大佬有話說 (36)

  • 資深大佬 : TimePPT

    有人在扫端口吧？
    把 ssh 登录端口个高点的，禁用密码登录改公钥登录

  • 主 資深大佬 : summerdog

    @TimePPT 就搭建了一个博客，日 IP 都没有十几个，不会有人扫吧。。

  • 資深大佬 : uzumaki

    @summerdog 有人少和你有没有访问量两码事，全世界每天扫的机器多了去了

  • 資深大佬 : eslizn

    改公钥一样有人扫，你需要的是 fail2ban

  • 資深大佬 : cnasing

    正常，只要是公网 IP 暴露端口了都挡不住，每天都有乱七八糟世界各地的 IP 来骚扰

  • 主 資深大佬 : summerdog

    @uzumaki 这样会不会不安全，怎么可以杜绝这种情况。。 看着这个提示有点心慌！！

  • 資深大佬 : wtks1

    装个 Fail2ban 吧，专门对付这个的

  • 資深大佬 : SecureCode

    改端口仅用 key，爱扫就扫关我屁事

  • 主 資深大佬 : summerdog

    @eslizn 想不到有专门应对这种情况的工具，万能的 v2ex.

  • 資深大佬 : xuanbg

    白名单可破

  • 資深大佬 : lexno

    欢迎来到互联网

  • 資深大佬 : geektheripper

    改用私钥登录，禁止密码登录即可，公网扫爆是正常现象，习惯就好

  • 資深大佬 : vision1900

    再买一台 VPS 用来当 gateway, 只允许那台 VPS 登录, 然后 SSH -J

  • 主 資深大佬 : summerdog

    @vision1900 专门买个 vps 做登录的话 开销有点大了，目前用的是香港学生机 10RMB/m，够用了。还是不用的时候堵住 22 端口比较来事。

  • 主 資深大佬 : summerdog

    @lexno 哈哈，是的

  • 資深大佬 : lostberryzz

    建议关机，就不会有人来扫了

  • 資深大佬 : zen9073

    sshguard 你值得拥有

  • 資深大佬 : Rheinmetal

    改端口 基本就没有了

  • 資深大佬 : TimePPT

    @summerdog 免费送个安全指南
    《 My First 5 Minutes On A Server; Or, Essential Security for Linux Servers 》
    https://plusbryan.com/my-first-5-minutes-on-a-server-or-essential-security-for-linux-servers

  • 資深大佬 : nicevar

    都是些自动扫描程序，改个端口，设置一下尝试次数限制等

  • 資深大佬 : tuine

    改不常用端口，基本无扫描，禁用 root 扫描也没用

  • 資深大佬 : LnTrx

    IPv4 公网被扫是常态

  • 資深大佬 : Shintaku

    https://www.shintaku.top/posts/denyhosts/

  • 資深大佬 : skymei

    你把默认的 SSH 端口改掉就基本没事了

  • 資深大佬 : xabc

    @skymei 掩耳盗铃

  • 資深大佬 : Flygar

    改 ssh 登录端口，该用密钥方式登录，开防火墙只放行所需端口。效果还不错

  • 資深大佬 : ochatokori

    @xabc #25 你可能对这个词有误解，隐藏 ssh 提示登录失败次数信息才叫掩耳盗铃，改端口是正确的减少被尝试登录的做法

  • 資深大佬 : xabc

    @ochatokori
    @tuine
    @Rheinmetal
    安全工具对端口服务的探测是非常快的，改端口不解决核心问题，私钥认证 和 ip 来源白名单是解决问题的方法

  • 資深大佬 : Rossweisse

    把默认端口改掉。

  • 資深大佬 : Wongz

    改了大端口之后，基本就没有扫的了

  • 資深大佬 : AlisaDestiny

    @xabc 你要站在攻击者的角度想问题，如果你知道改默认端口，说明已经有了防范意识，基本不会用弱密码，爆破成本高，如果默认端口没改，使用弱密码的可能性更高。

  • 資深大佬 : no1xsyzy

    @xabc 并不是，你搞错了问题所在
    问题是被扫得日志花了，导致其他问题的排障排半天看着一大堆日志烦，要么就是给 journalctl 加一堆参数、管道到 grep 之类去反选；你说的两个方法只能解决被暴破的问题。

  • 資深大佬 : no1xsyzy

    @xabc 另一方面，我没 ban 密码登录，但是看日志，高端口一看到 SSH 认证直接断开链接了，根本没有暴破的问题在…… 可能是因为 #31 的说法。
    同时，对某一端口的探测快，并不意味着全端口探测快。nmap 全端口测通不测协议要 1 分钟多。

  • 資深大佬 : Wizards

    为什么没人说安全组。安全组就是最简单的免费防火墙，不消耗 VPS 资源，遇到暴力破解无感知，难道我 out 了

  • 資深大佬 : runningman007

    Fail2ban

  • 資深大佬 : qzy168

    改个端口，能解决大部分问题。