/var/log/auth.log 里面大量 Failed password，正常吗？。。。

This topic created in 4243 days ago, the information mentioned may be changed or developed.

grep "Failed password " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | more
2990 Failed
2208 222.186.50.190
654 122.225.36.12
303 220.177.198.24
299 115.239.248.90
269 67.205.124.56

这是排名前几的。就是个do上的小站，现在就挂了个ss在用
信息一般都是
Failed password for root from 144.76.83.113 port 53993 ssh2

是不是这些都是试探root密码？
你们的密码会有多复杂呢？
我就一个单词+3数字。。。

password

failed

sort

24 replies • 2014-10-29 11:37:32 +08:00

AWSAM

Oct 28, 2014

不正常建议改端口+禁止密码登录

hpcyr002

Oct 28, 2014

fail2ban

47jm9ozp

Oct 28, 2014

fail2ban,证书登陆或者两步验证

happywowwow

Oct 28, 2014

感谢各位。第一次弄了do的学生优惠开起来的ss。
为了安全应该还是有很多坑。。。今天用到winscp想到secure CRT putty等的都有后门，就去auth.log里看了看，结果发现了这些
不知道大家还有什么给新搞服务器的新人的忠告。。

还好没什么东西，准备删除服务器，重新建一个了。。。

hzqim

Oct 28, 2014

@happywowwow 远程管理软件要到软件发布页面用浏览器＂另存为＂下载．

sarices

Oct 28, 2014

很正常，禁止密码登录即可

zlbruce

Oct 28, 2014 via iPhone

我的 do 也是，一开始还配置 iptable 规则来丢掉这些 ip 的包，后来发现太多了，就直接禁用密码登录了

happywowwow

Oct 28, 2014

@zlbruce 想问下，那么禁用root登录是不是也可以？用户名别人也不知道的吧？

TMBest

Oct 28, 2014

我的有11051次Failed....

zlbruce

Oct 28, 2014 via iPhone

@happywowwow 是的，禁用 root 登录也行。换 ssh 端口也是个不错的方案

happywowwow

Oct 28, 2014

@zlbruce 那个ssh的端口试探也都是随机的，不仅仅是22
我现在是禁用了root，然后加了AllowUsers 选项
有时候还是会win下连接一下的，禁止密码登录太麻烦了
参考官方的init方法，感觉差不多了。
https://www.digitalocean.com/community/tutorials/initial-server-setup-with-ubuntu-12-04

happywowwow

Oct 28, 2014

@TMBest 你藏了什么宝贝XD

TMBest

Oct 28, 2014

@happywowwow 什么都没藏，就一个ss..
刚改了端口，装上了fail2ban
https://www.digitalocean.com/community/tutorials/how-to-install-and-use-fail2ban-on-ubuntu-14-04

icanfork

Oct 28, 2014

改端口、禁止root、禁止密码走公钥登录

happywowwow

Oct 28, 2014

@TMBest 求个fail2ban的配置说明。。。东西好复杂。

pimin

Oct 28, 2014

曾经在do上有个3位ssh密码的ssh，真的被别人扫到了，然后拿去做攻击导致我账号给停用了
后来发了ticket才恢复，就再也不用密码登录了

zlbruce

Oct 28, 2014 via iPhone

@happywowwow 其实 win 下大部分 ssh 软件都是支持 ssl key 登录的，比如 putty，pshell 等

happywowwow

Oct 28, 2014

@zlbruce 就是putty，secureCRT
什么的可能有后门不敢用啊。。。

bitwing

Oct 28, 2014

官网下原版的，不要用简体中文版之类的就好

TMBest

Oct 29, 2014

@happywowwow 我回的那个链接里就有fail2ban的配置说明啊，很简单，改几个字段就好

happywowwow

Oct 29, 2014

@TMBest 我直接去github下的源码自己编译的，但是好像/etc/fail2ban里的文件都和一些说明不太一样，/etc/init.d/也没程序。
后面删了，用apt-get装了，就都可以看了。。。

msg7086

Oct 29, 2014 via iPhone

@happywowwow 养成系统包的好习惯

happywowwow

Oct 29, 2014

@msg7086 这个系统包意思就是 apt-get安装这种么？
有源码的，我一般会留着可以有空去看看，尤其python写的，正好也想多学点

msg7086

Oct 29, 2014 via iPhone

@happywowwow 是。我一直推荐少自己编译，尽可能用系统包来安装软件。就算要打补丁也在官方脚本上打然后再debuild打deb包。