Распределенный подбор паролей к ssh

[ex_ivlad]

Раньше злоумышленники подбирали пароли к ssh довольно примитивными способами: каким-нибудь скриптом для expect, запускаемом на взломанном сервере.

Выглядит это очень шумно, примерно так:
Dec 7 12:44:17 iddater sshd[18400]: Address 218.28.20.135 maps to pc0.zz.ha.cn, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Dec 7 12:

Comments

[dewil]

Первым делом после сетапа ОС я меняю стандартный порт для SSH.
И все подборы проходят мимо.

[ex_ivlad]

это не всегда удобно, если где-то по пути есть файервол.

[dewil]

ни разу не попался :)
кто по пути будет фильтровать, и на каком основании?
свои порты я сам фильтрую.

[ex_ivlad]

вы никогда из корпоративных сетей, видимо, не подключались. к слову, я уверен, что, если доля ssh-серверов на нестандартных портах станет сколько-нибудь значимой, боты будут просто сканировать хосты целиком, хотя, как я в посте написал, сейчас это в качестве workaround'а работает.

[e1am0]

Что-то часто последнее время стала всплывать тема ссх хаков. пароль что ли поменять... а то уже лет 8 наверное не менял...
Кстати, не очень понял, почему боты для этой цели стали использовать только сейчас. Ведь эта идея даже в анеке про китайцев, взломавших компьютеры пентагона, нашла отражение

[ex_ivlad]

8 лет?! я начинаю задумываться о поговорке про сапожника без сапог. :)

> почему боты для этой цели стали использовать только сейчас.

недавно анекдот услышали? :) не знаю.

[e1am0]

быгыгы. ну это просто отношение к логину. плюс возможно недооценка опасности, помноженная на переоценку способностей хостера. сервер не мой ))) там где мне дорого, я периодически меняю. за одно тренируется память, а то поди запомни )))

[cnst]

Если пароль не является словарным словом, то данный подбор паролей только создаёт дополнительную нагрузку на сервер и способствует излишнему пополнению логов. Так что на персональном сервере беспокоиться не о чем.

Кстати, помимо подбора паролей бот ещё должен подобрать и имя пользователя. :)

[ex_ivlad]

разумеется, нужно подбирать пару login^password, но в качестве имени пользователя, по моему опыту, пробуют root, mysql, admin и т.п.

> Если пароль не является словарным словом

у меня на сервере ~20 пользователей. все, как один - IT-специалисты. Без pam_cracklib не поручусь, что среди паролей нет словарных слов.

[cormix]

BSD удаленно под root'ом не пускает, надо зайти как юзер и получить права через su. Так что надо 1 логин и 2 пароля. Заметно сложнее подбирать.

[ex_ivlad]

это все от настроек зависит. я знаю непустое множество людей, которые это разрешают. дело совершенно не в BSD.

[cormix]

По дефолту именно так. И смысл изменять?

[ex_ivlad]

не не пойму, почему вы мне этот вопрос задаете. я не изменяю. наблюдаю, что некоторые так делают. даже если бы они так не делали, имена пользователей, помимо root, можно тоже подбирать - некоторые широко распространены.

[gq]

Что значит на днях? к нам на lvk.cs так с весны ломятся. Каждая атака идет несколько недель, пробую пользователей по словарю, паролей по 3 на пользователя, при чем ботнеты управляются централизованно, потому что ломятся по очереди, а имена идую по алфавиту. Сейчас вот идут kiria, kirie и т.д.

[ex_ivlad]

хм, интересно. а сколько в суммарно попыток на одного пользователя получается? и какой тайминг? сколько паролей в сутки на одного пользователя проверяется?

[gq]

куда тебе grep из лога за сутки кинуть?