|
próby nieautoryzwanego wbicia się na router - z Chin
|
| bandi20 |
Dodano 05-01-2015 21:04
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
witam.. od czasu zmiany dostawcy internetu w logach z tomato obserwuję, że ktoś skanuje porty i próbuje dostać się na router.. po adresach widać że są z Chin.. jak skutecznie utrudnić im próby dostania się do routera ?
w tomato mam ustawione 3 próby logowania ..a le jak widzę to nie działa.. bo jak widzę ktoś próbuje 10 razy...
to przykładowy wycinek z loga
Jan 5 19:30:33 unknown authpriv.info dropbear[4204]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from ::ffff:61.174.50.229:19028
Jan 5 19:30:33 unknown authpriv.info dropbear[4205]: Child connection from ::ffff:61.174.50.229:23935
Jan 5 19:30:33 unknown authpriv.info dropbear[4206]: Child connection from ::ffff:61.174.50.229:24054
Jan 5 19:30:39 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:40 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:40 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:40 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:41 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:41 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:42 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:42 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:43 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:43 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:43 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:43 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:44 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:44 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:45 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:45 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:46 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:46 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:46 unknown authpriv.warn dropbear[4206]: Bad password attempt for 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:46 unknown authpriv.warn dropbear[4205]: Bad password attempt for 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:47 unknown authpriv.info dropbear[4206]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from ::ffff:61.174.50.229:24054
Jan 5 19:30:47 unknown authpriv.info dropbear[4205]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from ::ffff:61.174.50.229:23935
Jan 5 19:30:48 unknown authpriv.info dropbear[4207]: Child connection from ::ffff:61.174.50.229:28878
Jan 5 19:30:48 unknown authpriv.info dropbear[4208]: Child connection from ::ffff:61.174.50.229:28921
Jan 5 19:30:54 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:54 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:55 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:55 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:56 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:56 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:56 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:56 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:57 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:57 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:58 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:58 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:59 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:30:59 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:30:59 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:31:00 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:31:00 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:31:00 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:31:01 unknown authpriv.warn dropbear[4207]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:31:01 unknown authpriv.warn dropbear[4208]: Bad password attempt for 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:31:01 unknown authpriv.info dropbear[4207]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from ::ffff:61.174.50.229:28878
Jan 5 19:31:01 unknown authpriv.info dropbear[4208]: Exit before auth (user 'root', 10 fails): Max auth tries reached - user 'root' from ::ffff:61.174.50.229:28921
Jan 5 19:31:02 unknown authpriv.info dropbear[4209]: Child connection from ::ffff:61.174.50.229:34162
Jan 5 19:31:02 unknown authpriv.info dropbear[4210]: Child connection from ::ffff:61.174.50.229:34248
Jan 5 19:31:02 unknown authpriv.info dropbear[4209]: Exit before auth: Error reading: Connection reset by peer
Jan 5 19:31:03 unknown authpriv.info dropbear[4210]: Exit before auth: Exited normally
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
|
| qrs |
Dodano 05-01-2015 21:07
|
Maxi User
Posty: 749
Dołączył: 02/12/2012 00:55
|
może wyłącz odpowiadanie na pingi i zmień usera 'root' na coś innego w nvram
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
|
| |
|
|
| kille72 |
Dodano 05-01-2015 21:16
|
Administrator
Posty: 2986
Dołączył: 12/02/2007 23:43
|
Wpisz w Administration-Scripts-Firewall:
iptables -I INPUT -s IP -j DROP w Twoim przypadku
Cytat iptables -I INPUT -s 61.174.50.229 -j DROP
pozniej przerestartuj firewalla:
Cytat service firewall restart
jak bedzie wiecej Ip to dodajesz je w kolejnych linijkach.
A masz zaznaczone Limit Connection Attempts SSH 3 every 60 seconds? Jak tak to odznacz Save i zaznacz jeszcze raz Save. |
| |
|
|
| bandi20 |
Dodano 05-01-2015 21:20
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
dziękuję za szybką odpowiedź..
nawet mam ustawione 3 co 3600 sekund
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
|
| kille72 |
Dodano 05-01-2015 21:25
|
Administrator
Posty: 2986
Dołączył: 12/02/2007 23:43
|
Moze w tym wlasnie problem. Ustaw 3/60 i zobacz co sie dzieje w logach. |
| |
|
|
| bandi20 |
Dodano 05-01-2015 21:27
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
a czy nie jest problemem że mam w tej zakładce (dostęp administratora) wyłączone demon SSH i TELNET ? ( w sensie usługi)
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
|
| smereka |
Dodano 05-01-2015 21:29
|
User
Posty: 112
Dołączył: 26/01/2012 23:45
|
Jeśli za często nie korzystasz to wyłącz zdalny dostęp przez ssh czyli port 22. U mnie pomogło. Jak chce się pobawić przez puty to po prostu za każdym razem loguje się przez gui i to odpalam zdalnie a potem wyłączam. |
| |
|
|
| kille72 |
Dodano 05-01-2015 21:32
|
Administrator
Posty: 2986
Dołączył: 12/02/2007 23:43
|
Ja mam zdalne ssh na porcie 2222. |
| |
|
|
| grz3si3k |
Dodano 06-01-2015 08:50
|
Super User
Posty: 630
Dołączył: 28/06/2008 17:19
|
było o tym, juz kiedyś na forum, niech sobie ustawi zdalny na wysokim porcie jak pokazał @killer72 do tego logowanie za pomocą klucza, to przynajmniej załatwi temat bezpieczeństwa ssh, a na jakiś czas można np. wyłączyć w ogóle zdalny dostęp po www a WAN.
Mam stałe ip i też w ubiegłym roku borykałem się z atakami na ruter, jak dodałem do firewalla ip, to automat po tamtej stronie też zmieniał pule adresową :-) .Wyłączyłem więc zdalne logowanie po www, zmieniłem logowanie na klucze, i poczekałem tydzień, temat sam zniknął.
Edytowany przez grz3si3k dnia 06-01-2015 09:05
RT-AC68U
|
| |
|
|
| bandi20 |
Dodano 06-01-2015 09:11
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
dostęp zdalny od strony WAN wyłączyłem przy pierwszym pojawieniu się w logach próby dostępu do routera.. dziękuję za poradę, chętnie skorzystam..
póki co w logach cisza 
Edytowany przez bandi20 dnia 06-01-2015 09:18
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
|
| grz3si3k |
Dodano 06-01-2015 09:21
|
Super User
Posty: 630
Dołączył: 28/06/2008 17:19
|
wydaje mi się że jeżeli automat po tamtej stronie na próbę wykonania login: root, automatycznie dostanie "Disconnected, No supported autentication methods available" to przestaną cie pingować.
Prosty tutorial do ustawiania za pomocą kluczy:może nie potrzebujesz, ale warto wiedzieć
Edytowany przez grz3si3k dnia 06-01-2015 09:29
RT-AC68U
|
| |
|
|
| bandi20 |
Dodano 23-01-2015 08:51
|
User
Posty: 79
Dołączył: 03/01/2015 09:52
|
tak tylko atkualizacyjnie... próby ustały
Asus RT-AC86U Asuswrt-Merlin
|
| |
|
' target='_blank'>Link
