V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
Recommended Services
Amazon Web Services
LeanCloud
New Relic
ClearDB
summerdog
V2EX  ›  云计算

最近 SSH 登录服务器系统发现有很多的失败登录

  •  
  •   summerdog · 2020-09-03 14:23:45 +08:00 · 4275 次点击
    这是一个创建于 1302 天前的主题,其中的信息可能已经有所发展或是发生改变。
    Connection established.
    To escape to local shell, press 'Ctrl+Alt+]'.

    WARNING! The remote SSH server rejected X11 forwarding request.
    Last failed login: Thu Sep 3 14:05:53 CST 2020 from 83.48.101.184 on ssh:notty
    There were 4234 failed login attempts since the last successful login.
    Last login: Tue Sep 1 10:51:15 2020 fro...

    RT,翻译了下,意思大概是自从上次成功的登录已有 4234 次失败的登录尝试。。

    使用的硅云香港学生机,四千多次失败的 SSH 登录尝试,什么情况,会不会中病毒了。
    36 条回复    2020-09-06 21:35:16 +08:00
    TimePPT
        1
    TimePPT  
       2020-09-03 14:25:45 +08:00
    有人在扫端口吧?
    把 ssh 登录端口个高点的,禁用密码登录改公钥登录
    summerdog
        2
    summerdog  
    OP
       2020-09-03 14:30:09 +08:00
    @TimePPT 就搭建了一个博客,日 IP 都没有十几个,不会有人扫吧。。
    uzumaki
        3
    uzumaki  
       2020-09-03 14:31:36 +08:00
    @summerdog 有人少和你有没有访问量两码事,全世界每天扫的机器多了去了
    eslizn
        4
    eslizn  
       2020-09-03 14:32:16 +08:00
    改公钥一样有人扫,你需要的是 fail2ban
    xvnehc
        5
    xvnehc  
       2020-09-03 14:32:25 +08:00
    正常,只要是公网 IP 暴露端口了都挡不住,每天都有乱七八糟世界各地的 IP 来骚扰
    summerdog
        6
    summerdog  
    OP
       2020-09-03 14:33:32 +08:00
    @uzumaki 这样会不会不安全,怎么可以杜绝这种情况。。 看着这个提示有点心慌!!
    wtks1
        7
    wtks1  
       2020-09-03 14:33:53 +08:00 via Android
    装个 Fail2ban 吧,专门对付这个的
    SecureCode
        8
    SecureCode  
       2020-09-03 14:35:31 +08:00 via Android
    改端口仅用 key,爱扫就扫关我屁事
    summerdog
        9
    summerdog  
    OP
       2020-09-03 14:40:36 +08:00
    @eslizn 想不到有专门应对这种情况的工具,万能的 v2ex.
    xuanbg
        10
    xuanbg  
       2020-09-03 16:18:46 +08:00
    白名单可破
    lexno
        11
    lexno  
       2020-09-03 16:23:41 +08:00 via Android   ❤️ 10
    欢迎来到互联网
    geektheripper
        12
    geektheripper  
       2020-09-03 16:26:52 +08:00
    改用私钥登录,禁止密码登录即可,公网扫爆是正常现象,习惯就好
    vision1900
        13
    vision1900  
       2020-09-03 16:29:26 +08:00
    再买一台 VPS 用来当 gateway, 只允许那台 VPS 登录, 然后 SSH -J
    summerdog
        14
    summerdog  
    OP
       2020-09-03 16:51:13 +08:00
    @vision1900 专门买个 vps 做登录的话 开销有点大了,目前用的是香港学生机 10RMB/m,够用了。还是不用的时候堵住 22 端口比较来事。
    summerdog
        15
    summerdog  
    OP
       2020-09-03 16:51:54 +08:00
    @lexno 哈哈,是的
    lostberryzz
        16
    lostberryzz  
       2020-09-03 17:02:06 +08:00 via iPhone
    建议关机,就不会有人来扫了
    zen9073
        17
    zen9073  
       2020-09-03 17:10:43 +08:00
    sshguard 你值得拥有
    Rheinmetal
        18
    Rheinmetal  
       2020-09-03 17:15:22 +08:00
    改端口 基本就没有了
    TimePPT
        19
    TimePPT  
       2020-09-03 17:56:07 +08:00   ❤️ 4
    @summerdog 免费送个安全指南
    《 My First 5 Minutes On A Server; Or, Essential Security for Linux Servers 》
    https://plusbryan.com/my-first-5-minutes-on-a-server-or-essential-security-for-linux-servers
    nicevar
        20
    nicevar  
       2020-09-03 18:00:07 +08:00
    都是些自动扫描程序,改个端口,设置一下尝试次数限制等
    tuine
        21
    tuine  
       2020-09-03 19:13:09 +08:00 via iPhone
    改不常用端口,基本无扫描,禁用 root 扫描也没用
    LnTrx
        22
    LnTrx  
       2020-09-03 19:53:22 +08:00
    IPv4 公网被扫是常态
    Shintaku
        23
    Shintaku  
       2020-09-03 19:57:46 +08:00
    skymei
        24
    skymei  
       2020-09-03 22:53:36 +08:00
    你把默认的 SSH 端口改掉就基本没事了
    xabc
        25
    xabc  
       2020-09-03 22:54:54 +08:00
    @skymei 掩耳盗铃 😄
    Flygar
        26
    Flygar  
       2020-09-04 00:56:05 +08:00 via iPhone
    改 ssh 登录端口,该用密钥方式登录,开防火墙只放行所需端口。效果还不错
    ochatokori
        27
    ochatokori  
       2020-09-04 03:45:07 +08:00 via Android
    @xabc #25 你可能对这个词有误解,隐藏 ssh 提示登录失败次数信息才叫掩耳盗铃,改端口是正确的减少被尝试登录的做法
    xabc
        28
    xabc  
       2020-09-04 07:23:17 +08:00 via iPhone
    @ochatokori
    @tuine
    @Rheinmetal
    安全工具对端口服务的探测是非常快的,改端口不解决核心问题,私钥认证 和 ip 来源白名单是解决问题的方法
    Rossweisse
        29
    Rossweisse  
       2020-09-04 09:06:30 +08:00 via Android
    把默认端口改掉。
    Wongz
        30
    Wongz  
       2020-09-04 11:47:18 +08:00
    改了大端口之后,基本就没有扫的了
    AlisaDestiny
        31
    AlisaDestiny  
       2020-09-04 12:42:58 +08:00
    @xabc 你要站在攻击者的角度想问题,如果你知道改默认端口,说明已经有了防范意识,基本不会用弱密码,爆破成本高,如果默认端口没改,使用弱密码的可能性更高。
    no1xsyzy
        32
    no1xsyzy  
       2020-09-04 12:45:36 +08:00
    @xabc 并不是,你搞错了问题所在
    问题是被扫得日志花了,导致其他问题的排障排半天看着一大堆日志烦,要么就是给 journalctl 加一堆参数、管道到 grep 之类去反选;你说的两个方法只能解决被暴破的问题。
    no1xsyzy
        33
    no1xsyzy  
       2020-09-04 12:49:09 +08:00
    @xabc 另一方面,我没 ban 密码登录,但是看日志,高端口一看到 SSH 认证直接断开链接了,根本没有暴破的问题在…… 可能是因为 #31 的说法。
    同时,对某一端口的探测快,并不意味着全端口探测快。nmap 全端口测通不测协议要 1 分钟多。
    Wizards
        34
    Wizards  
       2020-09-05 17:36:27 +08:00
    为什么没人说安全组。安全组就是最简单的免费防火墙,不消耗 VPS 资源,遇到暴力破解无感知,难道我 out 了
    runningman007
        35
    runningman007  
       2020-09-05 18:33:08 +08:00
    Fail2ban
    qzy168
        36
    qzy168  
       2020-09-06 21:35:16 +08:00
    改个端口,能解决大部分问题。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   1006 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 32ms · UTC 20:05 · PVG 04:05 · LAX 13:05 · JFK 16:05
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.