Linux za Sve forum

Da da dosao je i taj dan..nisam ni sanjao da mi se to moze desiti ....Ceo dan sam bio napolju i radio a komp mi bio upalje a na njemu Transmition i Pidgin... dodjem pre 30min za komp i da ukucam root pass nece da je primi ..ja restart isto... i vidim jedan novi user dodat(16:55 je napravio novi user folder)..
Nadjem na netu kako se menja sifra za root na Fedori i promenim je ..udjem pokrenem terminal last root -a
i imam sta da vidim ... u 16:55 root user sa spoljne adrese (jedna kina druga rumunija) i vidim da su mi josu februaru isto tako upali (neki englezi)

Koliko vidim na brzinu ...sve je ok ..posto sma programer moracu svim klijentima da javim da menjaju sifru jer ko zna.....

Sad mene jako interesuje kako da se ja zastitim sto bolje od ovakvih situacija....

Ssh sam sada iskljucio i firewall ukljucio (da da bio je iskljucen do sada) ...sta jos?
Ovo mi se u zivotu nije desilo na windosu ( 8god koriscenja win-a ..samo jedan virus sam imao) .... sokiran sam i zabrinut....
Tako da bilo kakva pomoc bi mi dobro dosla...
Hvala

moze se zaštiti tako da ne koristis bleeding edge distribuciju koja kao takva nije dovoljno testirana na security propuste i da ne koristis aplikacije koje imaju poznate security propuste.

Pa redom:
* onemogući prijavljivanje rootu preko ssh-a
* koristi dobre zaporke za sve accounte
* zatvori sve portove koji ti nisu nužni
* instaliraj si rkhunter
* prebaci se na neku distru sa sporijim ciklusom izlaženja (hint: CentOS), ako računalo koristiš kao production server

A valjda će ti netko iskusniji dati još koji savjet.

Apr 8 16:15:46 localhost sshd[13430]: Received disconnect from 222.46.121.106: 11: Bye Bye
Apr 8 16:15:48 localhost sshd[13433]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.46.121.106 user=root
Apr 8 16:15:50 localhost sshd[13433]: Failed password for root from 222.46.121.106 port 16520 ssh2
Apr 8 16:15:50 localhost sshd[13434]: Received disconnect from 222.46.121.106: 11: Bye Bye
Apr 8 16:15:50 localhost passwd: pam_unix(passwd:chauthtok): password changed for root
Apr 8 16:15:50 localhost passwd: gkr-pam: couldn't update the 'login' keyring password: no old password was entered


ssh napad tu je on poceo da shkraba...kineski ip ....sad ia ja vidim koliko su kinezi postali napadni
jel moze samo objasnjenje kako da onemogucim prijavljivanje root-a preko ssh-a?


centos sam korstio al je problem novi racunar koji centos ne kontam dobro i jako je sporo radiom, slackaware isto..i ostali os jedono sam uspeo na fedori koliko toliko dobro da nateram da radi.....

khm, koliko je ovdje vidljivo, ovaj lik se nije uspio logirati, a netko je sa localhosta promijenio root password..

da se nije kreirao novi user, rekao bih da te neki script kiddie bezuspjesno brut forceao, a da zapravo imas bug u pam-u, dogadjalo se..

hoces reci da je pam-u nesto kvrcnulo i sam promenio pass?
btw taj ip se igrao 2h pokusavajuci da pogodi pass a user je taj ip i dodao...

ne, hocu reci da si mozda povukao update za pam i da se pam tu nesto pogubio i zbog toga se nisi mogao logirati, takve situacije su se dogadjale.

sto znaci da je taj user dodao taj ip?

hteo sam reci da je taj IP (po logovima) dodao novog usera "alex" al nije nista radio snjim niti s rootom...kad ukucam last root -a vidim da je koriscen sa tog ip-a nekih sat vremena ukupno...

mozes nam pokazati te logove?

da nemas slucajno kao programer instalirano ovo; https://admin.fedoraproject.org/pkgdb/a ... 8965d564c7

za password mozes korisiti;

# characters {a-z}
# Upper case characters {A-Z}
# Numbers {0-9}
# Exclamation point {!}
# Open parenthesis {(}
# Close parenthesis {)}
# Dash {-}
# Period {.}
# Question mark {?}
# Open bracket {[}
# Close bracket {]}
# Underscore {_}
# Grave accent {`}
# Tilde {~}