attaques brute force sur sshd, que faire ?

Recherche :

Mot : Pseudo : Filtrer
Page : 1 2 Page Suivante Page Précédente Bas de page
Auteur	Sujet : attaques brute force sur sshd, que faire ?

ory

Reprise du message précédent :

tomate a écrit :

oue bon en même temps sur nos pitites becannes ADSL on risque pas grand chose

Bah, le Kevin qui s'amuse à scanner des plages d'ip avec son ToOlZ, que ca soit une LS ou une ADSL, il a la gaule pareil,il a HaCkE une machine, phEaR !!

Publicité

Tomate

ory a écrit :

Bah, le Kevin qui s'amuse à scanner des plages d'ip avec son ToOlZ, que ca soit une LS ou une ADSL, il a la gaule pareil,il a HaCkE une machine, phEaR !!

meu nan

spa avec son script à la con qu'il passera

---------------
:: Light is Right ::

netswitch

minet ?

en attedant kevin la gaule, il remplit mes logs et il m'enerve..

enfin il m'enervait car depuis le no root login, le changement de port ssh et le maxauthtries = 3 il a l'air de s'être trouvé une autre cible..

mais j'en suis toujours pas revnu que les dev d'openssh ,'aient pas prévu le blacklistage d'ip automatique..

ory

netswitch a écrit :

en attedant kevin la gaule, il remplit mes logs et il m'enerve..

enfin il m'enervait car depuis le no root login, le changement de port ssh et le maxauthtries = 3 il a l'air de s'être trouvé une autre cible..

mais j'en suis toujours pas revnu que les dev d'openssh ,'aient pas prévu le blacklistage d'ip automatique..]

C'est quand même le minimum vital, lis n'importe quel guide de sécurisation de sshd, ca sera écrit de faire ca.

Quand au blacklistage des ip, c'est pas à ssh de faire ca. T'as déjà vu un serveur apache ou un serveur mysql blacklister des ip en cas de mauvaise authentification répétée ?

Snipe Foo

Head Shot !!!

tomate a écrit :

spa avec son script à la con qu'il passera

Effectivement, c'est pas avec son script bidon qu'il passera (sauf si l'acces root est autorisé et que le mot de passe est 12345...) mais son script à la con bouffe du cpu et rempli les logs. Rien que pour ça, ça merite d'etre regardé de plus près.

J'ai vu un projet (qui date du 18/12/2004 !!!) sur sourceforge, il a pour but de blacklister au niveau iptables les ip qui provoquent des auth failure. Pour l'instant il n'y a rien dans le projet mais je pense que ça peut etre une solution (a condition que ce soit fiable ...)

Tomate

ory a écrit :

le pb c'est qu'il n'y a rien de simple pour pour blacklister

---------------
:: Light is Right ::

Tomate

Snipe Foo a écrit :

j'ai vu qu'il y a un patch pour ssh (ou iptables ??) pour blacklister les IP, mais bon ça n'a pas l'air très suivi/abouti

---------------
:: Light is Right ::

Dark_Schneider

Close the World, Open the Net

netswitch> en effet. tu blacklistes avec un firewall car le firewall qui plus est pourra détecter certaines techniques d'IP spoofing, etc ...

---------------
Mandriva : parce que nous le valons bien ! http://linux-wizard.net/index.php

Snipe Foo

Head Shot !!!

Pour info, le projet en question (blacklister les ip a partir des logs d'authentification) c'est authfail : http://sourceforge.net/projects/authfail/ reste a attendre que ça avance

Tomate

Snipe Foo a écrit :

Pour info, le projet en question (blacklister les ip a partir des logs d'authentification) c'est authfail : http://sourceforge.net/projects/authfail/ reste a attendre que ça avance

Citation :

This Project Has Not Released Any Files

---------------
:: Light is Right ::

Publicité

ory

Snipe Foo a écrit :

Pour info, le projet en question (blacklister les ip a partir des logs d'authentification) c'est authfail : http://sourceforge.net/projects/authfail/ reste a attendre que ça avance

ou contribuer

Tomate

ory a écrit :

ou contribuer

:jap:

---------------
:: Light is Right ::

Snipe Foo

Head Shot !!!

ory a écrit :

ou contribuer

C'est ce que je comptais faire mais j'ai peur que si je contribue, ça ne soit pas fiable

Message édité par Snipe Foo le 27-12-2004 à 12:13:10

Snipe Foo

Head Shot !!!

Concernant ton kevin : Mon kevin a moi il se servait d'un serveur web qui hebergeait ... un forum PHPBB :pfff:

On a pas fini d'en chier avec les milliers de serveurs corrompu

bucheron_sauvage

Une alternative à authfail :

http://sourceforge.net/projects/fail2ban

weed

pas mal le coup du :
MaxStartups
MaxAuthTries

je vais peut etre conf ca

pkdev

salut je viens de lire vite fait les réponses à ta question et j ai vu personne proposé un truc genre blacklisté dans le /etc/hosts.deny ?? ca pourrais pas etre la solution si ca viens toujours de la meme ip ?

enfin c juste une idée comme ca

bon courage

++
PkDeV

Tomate

pkdev a écrit :

bah le pb c'est que c'est pas automatisé

---------------
:: Light is Right ::

black_lord

Modérateur
Truth speaks from peacefulness

MaxAuthTries n'apparait pas dans le man sshd_config :??:

---------------
uptime is for lousy system administrators what Viagra is for impotent people - mes unixeries - github me

Tomate

black_lord a écrit :

MaxAuthTries n'apparait pas dans le man sshd_config :??:

effectivement

option cachée ?

---------------
:: Light is Right ::

splurf

Rm -Rf / && oops :o

idées en vrac

portknocking
pam_tally
changement de port

Cruchot

Pour ma part j'ai fait un script vite fait en bash qui scanne les logs et applique les règles iptables qui vont bien. Par contre ça tourne une fois par heure seulement (cron) Enfin bon c'est fait à l'arrache aussi

Message édité par Cruchot le 17-01-2005 à 18:27:54

Sly Angel

Architecte / Développeur principal

Le danger que j'y trouve à ce genre de script, c'est qu'il faut aussi se protéger soi même, si un mec balance une merde qui te bloque toi avec, c'est pas la joie non plus

Cruchot

D'ailleurs il m'a servi cette nuit, +2800 tentatives en 1H. Mais il faut que je l'améliore, sinon pour ce que tu disais via mon serveur web je pourrais avec sudo + exec (php) lancer une commande qui réinitialise le firewall ... Je le fais déjà pour activer/désactiver certains trucs via apache (url protégée par password et connue de moi seul).

Message édité par Cruchot le 17-01-2005 à 18:31:21

busOman

Hiver.

Cruchot a écrit :

Tu peux nous faire partager ton script ?

Cruchot

Bon d'accord mais il est laid

Code :

#!/usr/bin/bash
LOG=/var/log/messages
IPTABLES=/usr/sbin/iptables
BLIST=/var/log/sshd_blacklist
FW=/usr/bin/firewall
#Liste des ips dont les connexions sont KO pour l'heure courante
C_HEURE=`date +%H:`
LIST_IP=`awk '/sshd/' $LOG |grep "Failed password"|grep $C_HEURE|awk '{print $13}'|sort -u`
#On compte le nb de connexions KO dans l'heure pour chaque ip + check si deja blacklistee
for IP in `echo $LIST_IP`
do
if [ -z "`awk -v BIP="$IP" '{print BIP}' $FW`" ]
then
NB=`awk '/sshd/' $LOG |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'|wc -l`
if [ $NB -ge 10 ]
then
echo "Adresse blacklistée : $IP (`whois $IP|grep netname|head -|awk -F ":" '{print $2}'`) `date +%d/%m/%Y_%HH%M`" >> $BLIST
#Mise à jour du script firewall
echo "$IPTABLES -I INPUT -s $IP -p tcp --dport 22 -j DROP #SSH" >> $FW
#Application de la regle sans tout reloader via le script firewall
$IPTABLES -I INPUT -s $IP -p tcp --dport 22 -j DROP
fi
exit
fi
done

Il faut que je rajoute une vérification pour voir si l'ip a déjà été blacklistée.

Edit : j'ai modifié le script

Message édité par Cruchot le 18-01-2005 à 08:09:32

Tomate

tu peux commencer par ne faire qu'une seule fois cette commande :

awk '/sshd/' /var/log/messages |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'

edit : il serait interessant de rajouter une whitelist, au cas où

Message édité par Tomate le 17-01-2005 à 19:33:44

---------------
:: Light is Right ::

ory

Cruchot a écrit :

D'ailleurs il m'a servi cette nuit, +2800 tentatives en 1H. Mais il faut que je l'améliore, sinon pour ce que tu disais via mon serveur web je pourrais avec sudo + exec (php) lancer une commande qui réinitialise le firewall ... Je le fais déjà pour activer/désactiver certains trucs via apache (url protégée par password et connue de moi seul).

Même en ayant changé le port ssh ?

ory

Cruchot a écrit :

Bon d'accord mais il est laid

Code :

set -x
#Liste des ips dont les connexions sont KO pour l'heure courante
C_HEURE=`date +%H:`
LIST_IP=`awk '/sshd/' /var/log/messages |grep "Failed password"|grep $C_HEURE|awk '{print $13}'|sort -u`
#On compte le nb de connexions KO dans l'heure pour chaque ip
for IP in `echo $LIST_IP`
do
NB=`awk '/sshd/' /var/log/messages |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'|wc -l`
if [ $NB -ge 10 ]
then
echo "Adresse blacklistée : $IP (`whois $IP|grep netname|head -1|awk -F ":" '{print $2}'`) `date +%d/%m/%Y_%HH%M`" >> /var/log/sshd_blacklist
#Mise à jour du script firewall
echo "/usr/sbin/iptables -I INPUT -s $IP -p tcp --dport 22 -j DROP #SSH" >> /usr/bin/firewall
#Application de la regle sans tout reloader via le script firewall
/usr/sbin/iptables -I INPUT -s $IP -p tcp --dport 22 -j DROP
fi
done

Il faut que je rajoute une vérification pour voir si l'ip a déjà été blacklistée.

Faut pas se planter en tapant son pass

Tomate

ory a écrit :

Faut pas se planter en tapant son pass

kler, surtout que ça m'arrive de me planter

---------------
:: Light is Right ::

Cruchot

ory a écrit :

Même en ayant changé le port ssh ?

Bein en fait j'ai remis le port par défaut pour tester un truc, mais je vais surement remettre l'ancien

Cruchot

tomate a écrit :

tu peux commencer par ne faire qu'une seule fois cette commande :

awk '/sshd/' /var/log/messages |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'

edit : il serait interessant de rajouter une whitelist, au cas où

Vas-y , j'ai déjà modifié des trucs. Sinon la whislist oui, suffit de mettre un grep -v.

Message édité par Cruchot le 17-01-2005 à 21:33:43

Tomate

Cruchot a écrit :

Vas-y , j'ai déjà modifié des trucs. Sinon la whislist oui, suffit de mettre un grep -v.

vas-y quoi ?

---------------
:: Light is Right ::

Cruchot

Bein pour la ligne

Code :

awk '/sshd/' /var/log/messages |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'

, je vois pas sur le coup la :??: L'exécuter une seule fois ?

Tomate

Cruchot a écrit :

Bein pour la ligne

Code :

awk '/sshd/' /var/log/messages |grep "Failed password"|grep "$C_HEURE"|awk '{print $13}'

, je vois pas sur le coup la :??: L'exécuter une seule fois ?

oui elle est en double, donc autant mettre le résultat dans un variable
par contre adieux les retours à la ligne en shell

---------------
:: Light is Right ::

Cruchot

Ouais voila ça m'embête aussi pour les retours à la ligne. Enfin bon ça ira comme ça

Message édité par Cruchot le 17-01-2005 à 21:44:17

Tomate

Cruchot a écrit :

Ouais voila ça m'embête aussi pour les retours à la ligne. Enfin bon ça ira comme ça

oue kler

mais sinon il a une autre méthode : logtail
ça permet de ne pas parser tout le fichier de log à chaque fois, mais juste ce qu'il y a de nouveau dans le fichier

---------------
:: Light is Right ::

Cruchot

Oui tiens pas bête, je note

Publicité

Page : 1 2

Page Suivante

Page Précédente

Haut de page

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

attaques brute force sur sshd, que faire ?

Sujets relatifs
installer sshd	Attaques SSH
force une carte réseaux giga bits en 100 mega bits sous linux	xset dpms force off + apm -s
Xinetd et sshd (2e post)	la 9.2 .... mon sshd ne veut plus authentifier root , juste un user !
[SSHD] Bloquer un utilisateur dans son home	sshd et IPv6
ssh / brute force
Plus de sujets relatifs à : attaques brute force sur sshd, que faire ?

Page générée en 0.136 secondes