最近 SSH 登录服务器系统发现有很多的失败登录

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

Recommended Services

Amazon Web Services

LeanCloud

New Relic

ClearDB

这是一个创建于 1933 天前的主题，其中的信息可能已经有所发展或是发生改变。

Connection established.
To escape to local shell, press 'Ctrl+Alt+]'.

WARNING! The remote SSH server rejected X11 forwarding request.
Last failed login: Thu Sep 3 14:05:53 CST 2020 from 83.48.101.184 on ssh:notty
There were 4234 failed login attempts since the last successful login.
Last login: Tue Sep 1 10:51:15 2020 fro...

RT，翻译了下，意思大概是自从上次成功的登录已有 4234 次失败的登录尝试。。

使用的硅云香港学生机，四千多次失败的 SSH 登录尝试，什么情况，会不会中病毒了。

ssh

Last

36 条回复 2020-09-06 21:35:16 +08:00

TimePPT

PRO

2020-09-03 14:25:45 +08:00

有人在扫端口吧？
把 ssh 登录端口个高点的，禁用密码登录改公钥登录

summerdog

2020-09-03 14:30:09 +08:00

@TimePPT 就搭建了一个博客，日 IP 都没有十几个，不会有人扫吧。。

uzumaki

2020-09-03 14:31:36 +08:00

@summerdog 有人少和你有没有访问量两码事，全世界每天扫的机器多了去了

eslizn

2020-09-03 14:32:16 +08:00

改公钥一样有人扫，你需要的是 fail2ban

xvnehc

2020-09-03 14:32:25 +08:00

正常，只要是公网 IP 暴露端口了都挡不住，每天都有乱七八糟世界各地的 IP 来骚扰

summerdog

2020-09-03 14:33:32 +08:00

@uzumaki 这样会不会不安全，怎么可以杜绝这种情况。。看着这个提示有点心慌！！

wtks1

2020-09-03 14:33:53 +08:00 via Android

装个 Fail2ban 吧，专门对付这个的

SecureCode

2020-09-03 14:35:31 +08:00 via Android

改端口仅用 key，爱扫就扫关我屁事

summerdog

2020-09-03 14:40:36 +08:00

@eslizn 想不到有专门应对这种情况的工具，万能的 v2ex.

xuanbg

2020-09-03 16:18:46 +08:00

白名单可破

lexno

2020-09-03 16:23:41 +08:00 via Android

欢迎来到互联网

geektheripper

2020-09-03 16:26:52 +08:00

改用私钥登录，禁止密码登录即可，公网扫爆是正常现象，习惯就好

vision1900

2020-09-03 16:29:26 +08:00

再买一台 VPS 用来当 gateway, 只允许那台 VPS 登录, 然后 SSH -J

summerdog

2020-09-03 16:51:13 +08:00

vision1900 专门买个 vps 做登录的话开销有点大了，目前用的是香港学生机 10RMB/m，够用了。还是不用的时候堵住 22 端口比较来事。

summerdog

2020-09-03 16:51:54 +08:00

@lexno 哈哈，是的

lostberryzz

2020-09-03 17:02:06 +08:00 via iPhone

建议关机，就不会有人来扫了

zen9073

2020-09-03 17:10:43 +08:00

sshguard 你值得拥有

Rheinmetal

2020-09-03 17:15:22 +08:00

改端口基本就没有了

TimePPT

PRO

2020-09-03 17:56:07 +08:00

@summerdog 免费送个安全指南
《 My First 5 Minutes On A Server; Or, Essential Security for Linux Servers 》
https://plusbryan.com/my-first-5-minutes-on-a-server-or-essential-security-for-linux-servers

nicevar

2020-09-03 18:00:07 +08:00

都是些自动扫描程序，改个端口，设置一下尝试次数限制等

tuine

2020-09-03 19:13:09 +08:00 via iPhone

改不常用端口，基本无扫描，禁用 root 扫描也没用

LnTrx

2020-09-03 19:53:22 +08:00

IPv4 公网被扫是常态

Shintaku

2020-09-03 19:57:46 +08:00

https://www.shintaku.top/posts/denyhosts/

skymei

2020-09-03 22:53:36 +08:00

你把默认的 SSH 端口改掉就基本没事了

xabc

2020-09-03 22:54:54 +08:00

@skymei 掩耳盗铃

Flygar

2020-09-04 00:56:05 +08:00 via iPhone

改 ssh 登录端口，该用密钥方式登录，开防火墙只放行所需端口。效果还不错

ochatokori

2020-09-04 03:45:07 +08:00 via Android

@xabc #25 你可能对这个词有误解，隐藏 ssh 提示登录失败次数信息才叫掩耳盗铃，改端口是正确的减少被尝试登录的做法

xabc

2020-09-04 07:23:17 +08:00 via iPhone

@ochatokori
@tuine
@Rheinmetal
安全工具对端口服务的探测是非常快的，改端口不解决核心问题，私钥认证和 ip 来源白名单是解决问题的方法

Rossweisse

2020-09-04 09:06:30 +08:00 via Android

把默认端口改掉。

Wongz

2020-09-04 11:47:18 +08:00

改了大端口之后，基本就没有扫的了

AlisaDestiny

2020-09-04 12:42:58 +08:00

@xabc 你要站在攻击者的角度想问题，如果你知道改默认端口，说明已经有了防范意识，基本不会用弱密码，爆破成本高，如果默认端口没改，使用弱密码的可能性更高。

no1xsyzy

2020-09-04 12:45:36 +08:00

@xabc 并不是，你搞错了问题所在
问题是被扫得日志花了，导致其他问题的排障排半天看着一大堆日志烦，要么就是给 journalctl 加一堆参数、管道到 grep 之类去反选；你说的两个方法只能解决被暴破的问题。

no1xsyzy

2020-09-04 12:49:09 +08:00

@xabc 另一方面，我没 ban 密码登录，但是看日志，高端口一看到 SSH 认证直接断开链接了，根本没有暴破的问题在…… 可能是因为 #31 的说法。
同时，对某一端口的探测快，并不意味着全端口探测快。nmap 全端口测通不测协议要 1 分钟多。

Wizards

2020-09-05 17:36:27 +08:00

为什么没人说安全组。安全组就是最简单的免费防火墙，不消耗 VPS 资源，遇到暴力破解无感知，难道我 out 了

runningman007

2020-09-05 18:33:08 +08:00

Fail2ban

qzy168

2020-09-06 21:35:16 +08:00

改个端口，能解决大部分问题。