![奇怪的“上次登录”ip SSH](https://linux22.com/image/1458708/%E5%A5%87%E6%80%AA%E7%9A%84%E2%80%9C%E4%B8%8A%E6%AC%A1%E7%99%BB%E5%BD%95%E2%80%9Dip%20SSH.png)
有人告诉我把这个发布到这里而不是 StackOverflow,因此内容如下:
2 周前,我通过 SSH 访问了我的服务器,发现 PuTTY 显示“上次登录”IP 来自印度。今天我再次访问服务器,它显示了另一个 IP,但来自美国。我注意到 cronjob 不时随机运行。
我继续更改密码,但我担心有人仍可以访问服务器。除了更改密码,我还能做什么?
答案1
您提到了 cronjob 随机运行;您是否检查过 cronjobcrontab -l
是否有任何异常?被入侵的帐户是 root 帐户吗?即使不是,如果您有 root 访问权限,您是否也检查过 root 帐户的最后登录和 cron 条目?
我见过字典攻击定期从世界各地的 IP 地址向我管理的 SSH 服务器发送请求。如果您使用密码验证,并且不使用强密码,有人可能也会猜出您的新密码。
如果您控制服务器,即您具有 root 访问权限,如果您知道只需要从有限数量或范围的 IP 地址使用 SSH 连接到服务器,请创建防火墙规则以仅允许从您需要连接的 IP 地址进行 SSH 访问。
此时,如果攻击者可能已获得 root 访问权限,则很难排除攻击者未安装某些软件以允许自己通过其他方式(可能是通过修改系统文件)进行访问的可能性,因此最安全的做法是重新安装操作系统和所需的所有应用程序。如果这不可行,您是否可以从系统外部的某个点(例如服务器前面的防火墙)控制和监视对系统的访问?
另请参阅服务器故障问题我如何知道我的 Linux 服务器是否已被黑客入侵?了解您可以采取的行动建议。例如,Ian Purton 建议使用命令find /etc /var -mtime -2
查看这些目录中的文件在过去两天内是否发生过更改。将 替换为适当的天数-2
。您也可以运行chkroot工具正如其他人所建议的那样。
如果您使用的防火墙软件允许您指定完整域名除了防火墙规则的 IP 地址外,您还可以指定允许来自 muki.mydomain.com 之类的网站的访问,然后使用动态域名解析服务,例如无IP,这样任何新的 IP 地址都会与 muki.mydomain.com 相关联。No-IP 提供免费服务级别,您可以使用他们的一个域名,但可以为您的主机指定类似 muki.noipdomain.com 的域名。然后,您在用于 SSH 客户端的系统上安装软件,该软件会定期将其 IP 地址报告给 No-IP DNS 服务器。然后,这些服务器会将 muki.mydomain.com 或 muki.noipdomain.com 转换为分配给您尝试建立 SSH 连接的系统的任何当前 IP 地址。
或者您可以通过以下方式控制访问公钥/私钥,而不是密码。也就是说,只有当某人拥有与服务器上帐户的公钥相对应的私钥时,他才能登录 SSH 服务器上的帐户。如果禁用密码验证,而是通过公钥/私钥限制访问,则密码猜测将不起作用。只有拥有与服务器上帐户的公钥相对应的私钥的人才能通过 SSH 登录该帐户。我不使用 WHM,但有一篇文章WHM / cPanel:已禁用 SSH 和 Root 登录关于如何使用 WHM 来实现这一点。
答案2
创建新的用户帐户。
密码8+数字1+大写字母1+小写字母1+符号1+特殊字符。
使用 iptables 和/或 ipset 来阻止您不会来自的 ip,或者为您将来自的 CIDR ip 创建允许规则。
安装并配置 fail2ban,以防他们试图暴力破解你。