☰

次のnetstat、ps、auth.logになぜそのような出力がありますか？

tag-icon • tag-icon linux ubuntu ssh networking authorization
次のnetstat、ps、auth.logになぜそのような出力がありますか？

SSHを介して接続するUbuntuサーバーからさまざまな接続（ssh）を受信して​​いるようです。これは単に暴力を試みることですか？

を実行すると、netstat -tnpa | grep 'ESTABLISHED.*sshd'各行の末尾に「root@p」と「[accep」が表示されるのはなぜですか？

またgrep sshd.\*Failed /var/log/auth.log | tail -20。なぜこれが起こるのですか？最後に、ps auxwww | grep sshd:「[accepted]」2つが出力されます。なぜこれが起こるのですか？

ありがとう

ここに画像の説明を入力してください。

ここに画像の説明を入力してください。

修正する:

今、もう一つの興味深いことが起こりました。やり直してみると、 netstat -tnpa | grep 'ESTABLISHED.*sshd'香港の「103.100.xxxx」形式のIPが一覧表示されました。それから私は走り、cat /var/log/auth.log | tail -100次を得た。

Feb 16 17:58:25 838396123831 sshd[227710]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=103.100.210.xxx  user=root
Feb 16 17:58:26 838396123831 sshd[227708]: Received disconnect from 103.136.xxxxp ort 33268:11: Bye Bye [preauth]
Feb 16 17:58:26 838396123831 sshd[227708]: Disconnected from invalid user hero 103.136.xxxx port 33268 [preauth]
Feb 16 17:58:27 838396123831 sshd[227710]: Failed password for root from 103.100.xxxx port 40810 ssh2
Feb 16 17:58:27 838396123831 sshd[227710]: Received disconnect from 103.100.xxxx port 40810:11: Bye Bye [preauth]
Feb 16 17:58:27 838396123831 sshd[227710]: Disconnected from authenticating user root 103.100.xxxx port 40810 [preauth]

それから走ってgrep sshd.\*Failed /var/log/auth.log | tail -20発見しました。Feb 16 18:00:42 838396123831 sshd[227760]: Failed password for invalid user ircbot from 103.136.xxxxx port 47546 ssh2

それから走ってgrep sshd.\*Failed /var/log/auth.log | tail -100見てください。


Feb 16 17:53:24 838396123831 sshd[227596]: Failed password for root from 103.136.xxxx port 33470 ssh2
Feb 16 17:55:57 838396123831 sshd[227652]: Failed password for root from 103.136.xxxxx port 47406 ssh2

Feb 16 17:58:24 838396123831 sshd[227708]: Failed password for invalid user hero from 103.136.xxxxx port 33268 ssh2
Feb 16 18:00:42 838396123831 sshd[227760]: Failed password for invalid user ircbot from 103.136.xxxxx port 47546 ssh2

どういう意味ですか？何が問題なの？他の人がサーバーにSSHでアクセスできますか？ "last"コマンドは私のIPアドレスを除く他のIPアドレスをリストしません...

答え1

netstatコマンドは、Linuxシステム内で何が起こっているのかを知らせます。まず、Linuxサーバーはインターネットに直接公開されます。攻撃者は常にSSHサービスのユーザー名とパスワードを推測しようとします。

SSH経由でLinuxサーバーにアクセスする最も安全な方法は、VPNを使用することです。これは、SSHサーバーがVPNゲートウェイの背後にあり、VPNを介してのみアクセスできることを意味します。しかし、VPNが常に動作するわけではありません。

SSHサーバーをロックする最も簡単な方法は、この/etc/ssh/sshd_confファイルを編集することです。このファイルではホワイトリストユーザーSSHを許可します。一部のユーザーがモバイルであるか、ISPが動的IPを使用しているため、ソースIPは詐欺かもしれません。

SSHを保護するより良い動的方法は、SSHをインストールすることです。失敗2禁止

関連情報