Einbruchsversucht auf Star-Hosting vServer

voipd · 31 Aug 2007

Hallo zusammen,

bin sicher ein wenig OT, aber ich habe gestern sehr viele Loginversuche feststellen muessen. Hier ein "grep 'Failed password'":

Code:

Aug 29 10:25:21 vs2314 sshd[7960]: Failed password for root from 208.60.67.19 port 37764 ssh2
Aug 29 10:25:24 vs2314 sshd[7998]: Failed password for root from 208.60.67.19 port 39225 ssh2
Aug 29 10:25:27 vs2314 sshd[8055]: Failed password for root from 208.60.67.19 port 41655 ssh2
Aug 29 10:25:33 vs2314 sshd[8142]: Failed password for root from 208.60.67.19 port 43220 ssh2
Aug 29 10:25:37 vs2314 sshd[8187]: Failed password for root from 208.60.67.19 port 46460 ssh2
Aug 29 10:25:43 vs2314 sshd[8277]: Failed password for root from 208.60.67.19 port 49025 ssh2
Aug 29 10:25:49 vs2314 sshd[8362]: Failed password for root from 208.60.67.19 port 52479 ssh2
Aug 29 10:25:52 vs2314 sshd[8395]: Failed password for root from 208.60.67.19 port 56163 ssh2
Aug 29 10:25:55 vs2314 sshd[8420]: Failed password for root from 208.60.67.19 port 57468 ssh2
[ Vieeeeel geloescht]
Aug 29 13:34:34 vs2314 sshd[30362]: Failed password for root from 61.132.5.70 port 44089 ssh2
Aug 29 13:34:38 vs2314 sshd[30370]: Failed password for root from 61.132.5.70 port 44999 ssh2
Aug 29 13:34:44 vs2314 sshd[30380]: Failed password for root from 61.132.5.70 port 45872 ssh2
Aug 29 13:34:48 vs2314 sshd[30392]: Failed password for root from 61.132.5.70 port 46818 ssh2
Aug 29 13:34:52 vs2314 sshd[30401]: Failed password for root from 61.132.5.70 port 47707 ssh2
Aug 29 13:34:57 vs2314 sshd[30416]: Failed password for root from 61.132.5.70 port 48513 ssh2
Aug 29 13:35:02 vs2314 sshd[30424]: Failed password for root from 61.132.5.70 port 49423 ssh2
Aug 29 13:35:07 vs2314 sshd[30476]: Failed password for root from 61.132.5.70 port 50375 ssh2
Aug 29 13:35:12 vs2314 sshd[30511]: Failed password for root from 61.132.5.70 port 51291 ssh2
Aug 29 13:35:16 vs2314 sshd[30518]: Failed password for root from 61.132.5.70 port 52114 ssh2
Aug 29 13:35:21 vs2314 sshd[30525]: Failed password for root from 61.132.5.70 port 52971 ssh2
Aug 30 07:04:49 vs2314 sshd[31160]: Failed password for invalid user andrew from 210.13.193.66 port 35088 ssh2
Aug 30 07:04:54 vs2314 sshd[31201]: Failed password for invalid user adam from 210.13.193.66 port 35460 ssh2
Aug 30 07:04:58 vs2314 sshd[31244]: Failed password for invalid user trial from 210.13.193.66 port 35811 ssh2
Aug 30 07:05:04 vs2314 sshd[31286]: Failed password for invalid user calendar from 210.13.193.66 port 36166 ssh2
[ Vieeeeel geloescht]
Aug 30 07:38:08 vs2314 sshd[25567]: Failed password for invalid user info from 210.13.193.66 port 52086 ssh2
Aug 30 07:38:13 vs2314 sshd[25602]: Failed password for invalid user russ from 210.13.193.66 port 52430 ssh2
Aug 30 07:38:18 vs2314 sshd[25624]: Failed password for invalid user rich from 210.13.193.66 port 52862 ssh2
Aug 30 07:38:23 vs2314 sshd[25651]: Failed password for invalid user andrew from 210.13.193.66 port 53281 ssh2
Aug 30 07:38:28 vs2314 sshd[25675]: Failed password for backup from 210.13.193.66 port 53744 ssh2
Aug 30 07:38:32 vs2314 sshd[25700]: Failed password for invalid user user from 210.13.193.66 port 54118 ssh2
Aug 30 07:38:37 vs2314 sshd[25724]: Failed password for invalid user nick from 210.13.193.66 port 54472 ssh2
Aug 30 07:38:41 vs2314 sshd[25748]: Failed password for invalid user brett from 210.13.193.66 port 54914 ssh2
Aug 30 07:38:46 vs2314 sshd[25771]: Failed password for invalid user linux from 210.13.193.66 port 55295 ssh2
Aug 30 07:38:50 vs2314 sshd[25792]: Failed password for invalid user shell from 210.13.193.66 port 55673 ssh2
Aug 30 07:38:54 vs2314 sshd[25812]: Failed password for invalid user email from 210.13.193.66 port 56047 ssh2
Aug 30 07:38:59 vs2314 sshd[25832]: Failed password for invalid user trapper from 210.13.193.66 port 56394 ssh2
Aug 30 07:39:11 vs2314 sshd[25854]: Failed password for invalid user sales from 210.13.193.66 port 56809 ssh2
Aug 30 12:48:00 vs2314 sshd[28316]: Failed password for root from 200.74.144.245 port 58181 ssh2
Aug 30 12:48:03 vs2314 sshd[28365]: Failed password for root from 200.74.144.245 port 58280 ssh2
Aug 30 12:48:06 vs2314 sshd[28446]: Failed password for invalid user apple from 200.74.144.245 port 58375 ssh2
Aug 30 12:48:10 vs2314 sshd[28524]: Failed password for root from 200.74.144.245 port 58460 ssh2
Aug 30 12:48:13 vs2314 sshd[28576]: Failed password for invalid user brian from 200.74.144.245 port 58559 ssh2
Aug 30 12:48:17 vs2314 sshd[28638]: Failed password for root from 200.74.144.245 port 58651 ssh2
Aug 30 12:48:21 vs2314 sshd[28708]: Failed password for invalid user andrew from 200.74.144.245 port 58752 ssh2
Aug 30 12:48:24 vs2314 sshd[28767]: Failed password for root from 200.74.144.245 port 58858 ssh2
Aug 30 12:48:29 vs2314 sshd[28824]: Failed password for invalid user newsroom from 200.74.144.245 port 58954 ssh2
Aug 30 12:48:32 vs2314 sshd[28885]: Failed password for root from 200.74.144.245 port 59060 ssh2
Aug 30 12:48:35 vs2314 sshd[28944]: Failed password for invalid user magazine from 200.74.144.245 port 59171 ssh2
Aug 30 12:48:39 vs2314 sshd[28996]: Failed password for root from 200.74.144.245 port 59281 ssh2
Aug 30 12:48:43 vs2314 sshd[29072]: Failed password for invalid user research from 200.74.144.245 port 59391 ssh2
Aug 30 12:48:46 vs2314 sshd[29139]: Failed password for root from 200.74.144.245 port 59496 ssh2
Aug 30 12:48:50 vs2314 sshd[29197]: Failed password for invalid user cjohnson from 200.74.144.245 port 59591 ssh2
Aug 30 12:48:54 vs2314 sshd[29255]: Failed password for root from 200.74.144.245 port 59685 ssh2
Aug 30 12:48:57 vs2314 sshd[29323]: Failed password for invalid user export from 200.74.144.245 port 59786 ssh2
Aug 30 12:49:00 vs2314 sshd[29379]: Failed password for root from 200.74.144.245 port 59877 ssh2
Aug 30 12:49:04 vs2314 sshd[29438]: Failed password for invalid user photo from 200.74.144.245 port 59961 ssh2
Aug 30 12:49:08 vs2314 sshd[29559]: Failed password for root from 200.74.144.245 port 60062 ssh2
Aug 30 12:49:11 vs2314 sshd[29635]: Failed password for invalid user gast from 200.74.144.245 port 60156 ssh2
Aug 30 12:49:15 vs2314 sshd[29693]: Failed password for root from 200.74.144.245 port 60249 ssh2
Aug 30 12:49:18 vs2314 sshd[29762]: Failed password for invalid user murray from 200.74.144.245 port 60349 ssh2
Aug 30 12:49:22 vs2314 sshd[29826]: Failed password for root from 200.74.144.245 port 60444 ssh2
Aug 30 12:49:25 vs2314 sshd[29891]: Failed password for invalid user falcon from 200.74.144.245 port 60541 ssh2
Aug 30 12:49:28 vs2314 sshd[29948]: Failed password for root from 200.74.144.245 port 60626 ssh2
Aug 30 12:49:32 vs2314 sshd[30011]: Failed password for invalid user fly from 200.74.144.245 port 60723 ssh2
Aug 30 12:49:35 vs2314 sshd[30077]: Failed password for root from 200.74.144.245 port 60818 ssh2
Aug 30 12:49:39 vs2314 sshd[30139]: Failed password for invalid user gerry from 200.74.144.245 port 60912 ssh2
Aug 30 12:49:42 vs2314 sshd[30227]: Failed password for root from 200.74.144.245 port 32786 ssh2
Aug 30 12:49:45 vs2314 sshd[30294]: Failed password for root from 200.74.144.245 port 32863 ssh2
Aug 30 12:49:49 vs2314 sshd[30362]: Failed password for root from 200.74.144.245 port 32948 ssh2
Aug 30 12:49:53 vs2314 sshd[30448]: Failed password for root from 200.74.144.245 port 33049 ssh2
Aug 30 12:49:56 vs2314 sshd[30522]: Failed password for root from 200.74.144.245 port 33149 ssh2
Aug 30 12:49:59 vs2314 sshd[30598]: Failed password for root from 200.74.144.245 port 33242 ssh2
Aug 30 12:50:03 vs2314 sshd[30659]: Failed password for invalid user guest from 200.74.144.245 port 33324 ssh2
Aug 30 12:50:07 vs2314 sshd[30819]: Failed password for invalid user test from 200.74.144.245 port 33432 ssh2
Aug 30 12:50:10 vs2314 sshd[30896]: Failed password for test1 from 200.74.144.245 port 33517 ssh2
Aug 30 12:50:13 vs2314 sshd[30970]: Failed password for invalid user teste from 200.74.144.245 port 33601 ssh2
Aug 30 12:50:17 vs2314 sshd[31046]: Failed password for invalid user admin from 200.74.144.245 port 33693 ssh2
Aug 30 12:50:20 vs2314 sshd[31113]: Failed password for postgres from 200.74.144.245 port 33789 ssh2
Aug 30 12:50:23 vs2314 sshd[31183]: Failed password for root from 200.74.144.245 port 33874 ssh2
Aug 30 12:50:27 vs2314 sshd[31256]: Failed password for invalid user webmaster from 200.74.144.245 port 33963 ssh2
Aug 30 12:50:30 vs2314 sshd[31333]: Failed password for invalid user web from 200.74.144.245 port 34052 ssh2
Aug 30 12:50:33 vs2314 sshd[31396]: Failed password for invalid user http from 200.74.144.245 port 34140 ssh2
Aug 30 12:50:37 vs2314 sshd[31483]: Failed password for invalid user httpd from 200.74.144.245 port 34246 ssh2
Aug 30 12:50:40 vs2314 sshd[31547]: Failed password for invalid user www from 200.74.144.245 port 34336 ssh2
Aug 30 12:50:44 vs2314 sshd[31614]: Failed password for invalid user www1 from 200.74.144.245 port 34424 ssh2
Aug 30 12:50:47 vs2314 sshd[31686]: Failed password for root from 200.74.144.245 port 34517 ssh2
Aug 30 12:50:51 vs2314 sshd[31768]: Failed password for root from 200.74.144.245 port 34625 ssh2
Aug 30 12:50:54 vs2314 sshd[31829]: Failed password for ftp from 200.74.144.245 port 34713 ssh2
Aug 30 12:50:57 vs2314 sshd[31892]: Failed password for invalid user ftpuser from 200.74.144.245 port 34799 ssh2
Aug 30 12:51:01 vs2314 sshd[31964]: Failed password for invalid user data from 200.74.144.245 port 34900 ssh2
Aug 30 12:51:05 vs2314 sshd[32043]: Failed password for invalid user oracle from 200.74.144.245 port 34991 ssh2
Aug 30 12:51:08 vs2314 sshd[32178]: Failed password for root from 200.74.144.245 port 35088 ssh2
Aug 30 12:51:12 vs2314 sshd[32255]: Failed password for invalid user user from 200.74.144.245 port 35186 ssh2
Aug 30 12:51:15 vs2314 sshd[32330]: Failed password for root from 200.74.144.245 port 35287 ssh2
Aug 30 12:51:19 vs2314 sshd[32396]: Failed password for root from 200.74.144.245 port 35373 ssh2
Aug 30 12:51:22 vs2314 sshd[32474]: Failed password for invalid user install from 200.74.144.245 port 35471 ssh2
Aug 30 12:51:25 vs2314 sshd[32555]: Failed password for root from 200.74.144.245 port 35572 ssh2
Aug 30 12:51:29 vs2314 sshd[32617]: Failed password for invalid user linux from 200.74.144.245 port 35656 ssh2
Aug 30 12:51:32 vs2314 sshd[32679]: Failed password for root from 200.74.144.245 port 35753 ssh2
Aug 30 12:51:36 vs2314 sshd[32745]: Failed password for invalid user service from 200.74.144.245 port 35851 ssh2
Aug 30 12:51:39 vs2314 sshd[355]: Failed password for root from 200.74.144.245 port 35954 ssh2
Aug 30 12:51:43 vs2314 sshd[424]: Failed password for invalid user demo from 200.74.144.245 port 36047 ssh2
Aug 30 12:51:47 vs2314 sshd[498]: Failed password for root from 200.74.144.245 port 36133 ssh2
Aug 30 12:51:50 vs2314 sshd[584]: Failed password for mysql from 200.74.144.245 port 36243 ssh2
Aug 30 12:51:53 vs2314 sshd[647]: Failed password for root from 200.74.144.245 port 36329 ssh2
Aug 30 12:51:57 vs2314 sshd[714]: Failed password for invalid user password from 200.74.144.245 port 36424 ssh2
Aug 30 12:52:00 vs2314 sshd[780]: Failed password for root from 200.74.144.245 port 36521 ssh2
Aug 30 12:52:07 vs2314 sshd[866]: Failed password for invalid user pass from 200.74.144.245 port 36623 ssh2
Aug 30 12:52:11 vs2314 sshd[1043]: Failed password for root from 200.74.144.245 port 36788 ssh2
Aug 30 12:52:14 vs2314 sshd[1110]: Failed password for invalid user system from 200.74.144.245 port 36892 ssh2
Aug 30 12:52:18 vs2314 sshd[1178]: Failed password for invalid user temp from 200.74.144.245 port 36987 ssh2
Aug 30 12:52:22 vs2314 sshd[1251]: Failed password for root from 200.74.144.245 port 37090 ssh2
Aug 30 12:52:25 vs2314 sshd[1330]: Failed password for invalid user fedora from 200.74.144.245 port 37194 ssh2
Aug 30 12:52:28 vs2314 sshd[1387]: Failed password for invalid user falcon from 200.74.144.245 port 37275 ssh2
Aug 30 12:52:32 vs2314 sshd[1458]: Failed password for root from 200.74.144.245 port 37376 ssh2
Aug 30 12:52:35 vs2314 sshd[1520]: Failed password for root from 200.74.144.245 port 37464 ssh2
Aug 30 12:52:39 vs2314 sshd[1591]: Failed password for invalid user cocolino from 200.74.144.245 port 37561 ssh2
Aug 30 12:52:43 vs2314 sshd[1658]: Failed password for invalid user server from 200.74.144.245 port 37658 ssh2
Aug 30 12:52:46 vs2314 sshd[1735]: Failed password for root from 200.74.144.245 port 37759 ssh2
Aug 30 12:52:50 vs2314 sshd[1804]: Failed password for root from 200.74.144.245 port 37853 ssh2
Aug 30 12:52:53 vs2314 sshd[1877]: Failed password for invalid user master from 200.74.144.245 port 37962 ssh2
Aug 30 12:52:57 vs2314 sshd[1952]: Failed password for root from 200.74.144.245 port 38073 ssh2
Aug 30 12:53:01 vs2314 sshd[2027]: Failed password for www-data from 200.74.144.245 port 38168 ssh2
Aug 30 12:53:05 vs2314 sshd[2168]: Failed password for root from 200.74.144.245 port 38262 ssh2
Aug 30 12:53:08 vs2314 sshd[2306]: Failed password for invalid user andrew from 200.74.144.245 port 38369 ssh2
Aug 30 12:53:12 vs2314 sshd[2391]: Failed password for root from 200.74.144.245 port 38463 ssh2
Aug 30 12:53:16 vs2314 sshd[2474]: Failed password for invalid user postmaster from 200.74.144.245 port 38564 ssh2
Aug 30 12:53:19 vs2314 sshd[2578]: Failed password for invalid user testuser from 200.74.144.245 port 38667 ssh2
Aug 30 12:53:22 vs2314 sshd[2638]: Failed password for invalid user tester from 200.74.144.245 port 38748 ssh2
Aug 30 12:53:25 vs2314 sshd[2705]: Failed password for root from 200.74.144.245 port 38858 ssh2
Aug 30 12:53:29 vs2314 sshd[2782]: Failed password for root from 200.74.144.245 port 38955 ssh2
Aug 30 12:53:32 vs2314 sshd[2855]: Failed password for root from 200.74.144.245 port 39055 ssh2
Aug 30 12:53:36 vs2314 sshd[2915]: Failed password for invalid user knoppix from 200.74.144.245 port 39138 ssh2
Aug 30 12:53:40 vs2314 sshd[2991]: Failed password for root from 200.74.144.245 port 39246 ssh2
Aug 30 12:53:43 vs2314 sshd[3067]: Failed password for invalid user design from 200.74.144.245 port 39341 ssh2
Aug 30 12:53:47 vs2314 sshd[3135]: Failed password for root from 200.74.144.245 port 39427 ssh2
Aug 30 12:53:51 vs2314 sshd[3215]: Failed password for invalid user public from 200.74.144.245 port 39529 ssh2
Aug 30 12:53:55 vs2314 sshd[3290]: Failed password for root from 200.74.144.245 port 39631 ssh2
Aug 30 12:53:59 vs2314 sshd[3385]: Failed password for root from 200.74.144.245 port 39743 ssh2
Aug 30 12:54:03 vs2314 sshd[3465]: Failed password for root from 200.74.144.245 port 39850 ssh2
Aug 30 12:54:07 vs2314 sshd[3590]: Failed password for root from 200.74.144.245 port 39955 ssh2
[ Vieeeeel geloescht]

Aug 30 12:57:19 vs2314 sshd[6779]: Failed password for root from 200.74.144.245 port 45189 ssh2
Aug 30 12:57:22 vs2314 sshd[6820]: Failed password for root from 200.74.144.245 port 45285 ssh2
Aug 30 12:57:26 vs2314 sshd[6848]: Failed password for root from 200.74.144.245 port 45374 ssh2
Aug 30 12:57:29 vs2314 sshd[6878]: Failed password for invalid user guset from 200.74.144.245 port 45473 ssh2
Aug 30 12:57:33 vs2314 sshd[6910]: Failed password for root from 200.74.144.245 port 45569 ssh2
Aug 30 12:57:36 vs2314 sshd[6943]: Failed password for root from 200.74.144.245 port 45667 ssh2
Aug 30 12:57:39 vs2314 sshd[6976]: Failed password for root from 200.74.144.245 port 45756 ssh2
Aug 30 12:57:42 vs2314 sshd[7005]: Failed password for root from 200.74.144.245 port 45839 ssh2
Aug 30 12:57:46 vs2314 sshd[7035]: Failed password for root from 200.74.144.245 port 45916 ssh2
Aug 30 12:57:49 vs2314 sshd[7066]: Failed password for root from 200.74.144.245 port 46002 ssh2
[ Vieeeeel geloescht]
Aug 30 13:00:35 vs2314 sshd[8436]: Failed password for root from 200.74.144.245 port 50511 ssh2
Aug 30 13:00:38 vs2314 sshd[8449]: Failed password for root from 200.74.144.245 port 50614 ssh2
Aug 30 13:00:42 vs2314 sshd[8459]: Failed password for root from 200.74.144.245 port 50707 ssh2
Aug 30 13:00:46 vs2314 sshd[8475]: Failed password for root from 200.74.144.245 port 50814 ssh2
Aug 30 13:00:50 vs2314 sshd[8487]: Failed password for root from 200.74.144.245 port 50918 ssh2
Aug 30 13:00:54 vs2314 sshd[8501]: Failed password for invalid user test from 200.74.144.245 port 51015 ssh2
Aug 30 13:00:58 vs2314 sshd[8517]: Failed password for invalid user test from 200.74.144.245 port 51123 ssh2
Aug 30 13:01:01 vs2314 sshd[8531]: Failed password for invalid user test from 200.74.144.245 port 51219 ssh2
Aug 30 13:01:05 vs2314 sshd[8567]: Failed password for invalid user test from 200.74.144.245 port 51310 ssh2
Aug 30 13:01:09 vs2314 sshd[8605]: Failed password for invalid user guest from 200.74.144.245 port 51420 ssh2
Aug 30 13:01:12 vs2314 sshd[8623]: Failed password for invalid user guest from 200.74.144.245 port 51519 ssh2
Aug 30 13:01:16 vs2314 sshd[8635]: Failed password for invalid user admin from 200.74.144.245 port 51609 ssh2
Aug 30 13:01:20 vs2314 sshd[8648]: Failed password for invalid user admin from 200.74.144.245 port 51710 ssh2
Aug 30 13:01:24 vs2314 sshd[8661]: Failed password for invalid user user from 200.74.144.245 port 51808 ssh2
Aug 30 13:01:28 vs2314 sshd[8678]: Failed password for invalid user user from 200.74.144.245 port 51910 ssh2
Aug 30 13:01:31 vs2314 sshd[8702]: Failed password for invalid user cyrus from 200.74.144.245 port 52011 ssh2
Aug 30 13:01:35 vs2314 sshd[8717]: Failed password for mysql from 200.74.144.245 port 52099 ssh2
Aug 30 13:01:39 vs2314 sshd[8733]: Failed password for invalid user emily from 200.74.144.245 port 52205 ssh2

[ Vieeeeel geloescht]
Aug 30 13:09:11 vs2314 sshd[10976]: Failed password for invalid user anthony from 200.74.144.245 port 35673 ssh2
Aug 30 13:09:14 vs2314 sshd[10982]: Failed password for invalid user cameron from 200.74.144.245 port 35765 ssh2
Aug 30 13:09:18 vs2314 sshd[10988]: Failed password for invalid user james from 200.74.144.245 port 35837 ssh2
Aug 30 13:09:21 vs2314 sshd[10999]: Failed password for invalid user austin from 200.74.144.245 port 35919 ssh2
Aug 30 13:09:25 vs2314 sshd[11005]: Failed password for invalid user jackson from 200.74.144.245 port 36010 ssh2
Aug 30 13:09:28 vs2314 sshd[11019]: Failed password for invalid user justin from 200.74.144.245 port 36091 ssh2
Aug 30 13:09:32 vs2314 sshd[11025]: Failed password for invalid user brandon from 200.74.144.245 port 36173 ssh2
Aug 30 13:09:35 vs2314 sshd[11031]: Failed password for invalid user john from 200.74.144.245 port 36265 ssh2
Aug 30 22:40:58 vs2314 sshd[31240]: Failed password for invalid user staff from 213.80.73.6 port 46346 ssh2

Zwischendrin sind nochmal ein paar andere Infos wie z.B.:

Code:

Aug 29 10:26:14 sshd[8660]: Address 208.60.67.19 maps to allen-hp-19.allenuniversity.com, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!

Aug 29 13:33:58 sshd[30240]: (pam_unix) authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=61.132.5.70  user=root

Aug 29 22:46:32 sshd[30069]: Did not receive identification string from 210.13.193.66
Aug 30 03:07:27 sshd[10967]: Did not receive identification string from 83.103.31.16
Aug 30 03:32:04 sshd[18780]: Did not receive identification string from 211.143.119.205
Aug 30 04:47:41 sshd[30981]: Did not receive identification string from 200.74.144.245

Ist das eigentlich normal und dann so gehaeuft?

Wem die IP´s gehoeren erfaehrt man hier bei der ct: http://www.heise.de/netze/tools/whois-abfrage

HTML:

200.74.144.245 - address:     00 - Bogota - DC
211.143.119.205 - address:      No.136,Dongfeng Road,Shijiazhuang City,hebei,050021, P.R.C.
83.103.31.16 - address:      20155 Milano MI
210.13.193.66 - address:      Beijing,100031,P.R.China

Anbei nochmals das ganze gegrepte Logfile.

Augen zu und durch oder gibt es da noch ein paar sinnvolle Tips?
Wie kann man erfahren welche Passwoerter versucht worden sind? Kann man das auch mitprotokollieren?

voipd.

betateilchen · 31 Aug 2007

oder gibt es da noch ein paar sinnvolle Tips?

Root Login in SSH deaktivieren
Paßwort Login in SSH verbieten
Zugang via SSH nur noch über Zertifikat/Signatur erlauben

sago · 31 Aug 2007

Rechner sichern. Noch heute!

http://board.star-hosting.de/wbb/index.php?page=Thread&postID=9498#post9498

Besorgte Grüße, Stefan

voipd · 31 Aug 2007

Danke fuer die Antworten.

Das mit dem Umzug habe ich an andere Stelle schon staunend zu Kenntnis genommen. Das war auch einer der Gruende warum ich mir die Buechse heute genauer angesehen habe ;-)

Die Tips von dir, betateilchen, werde ich mir entsprechend ansehen, obwohl ich noch nicht weiss wie man das genau umsetzen kann.

Mit dem Posting wollte ich auch andere erreichen, die das auch "erlebt" haben, da ich davon ausgehen, dass die vServer IP technischt nebeneinander liegen.

Danke erstmal.

voipd.

deepquest · 31 Aug 2007

Kann ich bestätigen.
Aber nicht erst seit gestern.
Vorgestern war mein * samt Apache einfach weg.
Nach reboot, ging wieder alles.
Nach Durchsicht des Teils ist wohl auch nix passiert.
Die IPs sind dieselben wie bei Dir.
Glaube aber nicht, dass die das tatsächlich sind. Vorgestern hatte ich z.B. auch eine US Uni dabei. Tippe auf ein Botnet.
Scheint ne' Art Brute Force zu sein, denn auch bei mir werden systematisch Duden und co. durchprobiert.
Solange es dabei bleibt, ist's zwar schade um den Traffic, aber fündig werden sie zumindest in meinem Fall damit nicht.
Viele Grüße
Frank

betateilchen · 31 Aug 2007

voipd schrieb:
Die Tips von dir, betateilchen, werde ich mir entsprechend ansehen, obwohl ich noch nicht weiss wie man das genau umsetzen kann.

Code:

man 5 sshd_config

Die Datei auf die sich die manpage bezieht, findest Du in /etc/ssh
Achte auf den richtigen Dateinamen - es gibt dort auch noch eine ssh_config

Anleitungen für ssh mit RSA:

http://mailman.sil.at/pipermail/cd/2002-January/000056.html
http://www.fz-juelich.de/zam/docs/tki/tki_html/t0348/kap03.htm

Allgemein zur Sicherheit von Linux Servern mit SSH:

http://www.uni-koeln.de/rrzk/kompass/106/k10613.html

sven@mainz · 31 Aug 2007

Ich weiß aus einem anderen Forum, daß dort ein Teil der Forensoftware gehackt wurde, mit dem man Wettkämpfe untereinander (vwar) erstellen kann. Es scheinen im Moment massiv Versuche zu laufen, Server unter Kontrolle zu bekommen um Botnetze aufzubauen.
Ich habe gerade gesehen, der Teamspeak-Server im Forum ist auch per Abruf nicht zu erreichen, es gab auch im Teamspeak Sicherheitslücken und Hackversuche.

Clemens · 31 Aug 2007

sven@mainz schrieb:
.. der Teamspeak-Server im Forum ist auch per Abruf nicht zu erreichen, es gab auch im Teamspeak Sicherheitslücken und Hackversuche.

Bei uns nicht - TS ist seit längerem aus Performance-Gründen deaktiviert

SSH-Login auf einen Server - kann auch nur empfehlen wie schon geschrieben:

- Port verlegen
- Nur User Login
- Nur mit KeyFile

Betateilchen und sago haben dir ja schon ein paar Links gegeben - ich habs damals nach dieser Anleitung gemacht: HowTo: SSH Zugang absichern

voipd · 2 Sep 2007

Hallo zusammen.

Zuerstmal danke fuer die konstruktiven Tipps! Habe sie auch genutzt!

Also vom 2.9.2007 14:11h bis1 14:57h, das sind 46 Minuten, wurden 884 Passworthackversuche unternommen.
Das sind 19 pro Minute oder alle 3 Sekunden. Alle von "89.145.247.130". Alles auf Standarduseraccounts (root/ftp/mysql).

Vorher hatte ich noch 4 Versuche von einer anderen IP mit "Human-User-Names".

Das ist doch Irrsinn. Obwohl ich es noch nicht wollte habe ich den Port verlegt. Irgendwie fuehlt man sich auch nicht richtig damit wohl. Ich habe zwar den Klingelknopf verlegt, aber die Haustuer ist immer noch da. :gruebel:

Nochmals meine Frage: Ist das eigendlich normal?

voipd.

betateilchen · 2 Sep 2007

"normal" ist das nicht, aber heutzutage leider nicht mehr außergewöhnlich. Das Ganze funktioniert übrigens vollautomatisch. Da werden skriptgesteuert einfach IPs, ports und schlecht gesicherte Zugänge gesucht. Man muß einfach damit leben.

RalfFriedl · 2 Sep 2007

Bei mir hat jemand vor einigen Wochen versucht, das mysql Paßwort herauszufinden, über etliche Stunden. Es hat also schon seinen Grund, daß empfohlen wird, gute Paßwörter zu verwenden.

Im Gegensatz zu der von Dir genannten IP, die wohl zu einer Einwählverbindung gehört, kam das bei mir von einem Hosting-Server. Ich habe dort Bescheid gesagt, und die haben das dann abgestellt. Vermutlich war der Server nicht gut gesichert und jemand hat den dann als Ausgangspunkt verwendet, um nach weiteren Server zu suchen. Vermutlich habe die das nicht nur bei mir versucht, sondern auch noch bei etlichen anderen.

Ich kann mich also betateilchen nur anschließen. Wenn man irgendwo einen Rechner ins Internet stellt, muß man mit solchen Versuchen rechnen.
Und zwar unabhängig davon, ob es sich um einen Server bei einem Provider handelt, ein normaler PC oder ein Router am DSL/ISDN.

voipd · 2 Sep 2007

Danke fuer das Feedback,

was mich aber noch interessieren wuerde, was fuer Passworter die verwenden. Kann (koennte) man den sshd so einstellen, dass er auch die Passwoerter mit ins Logfile schreibt?
Normalerweise macht er das ja nicht, damit man aus dem Vertipper eines Users nicht auf sein Passowrt schliessen kann, aber in diesen Faellen wuerde mich das schon interessieren.

voipd.

betateilchen · 2 Sep 2007

Du solltest vielleicht mal im Internet recherchieren, was hinter solchen "Einbruchsversuchen" eigentlich genau steckt und wie da gearbeitet wird

Selbst wenn Du die Paßwörter mitloggen würdest, würde Dich das prinzipiell keinen Schritt weiterbringen. Was nützt Dir denn eine Liste, in der (nach Deiner Statistik) 3 falsche Paßwörter pro Sekunde nachwachsen?

Es gibt Algorithmen zur Erzeugung von (beliebig starken) Paßwörtern, und diese werden vollautomatisch bei diesen Versuchen "abgearbeitet"

RalfFriedl · 2 Sep 2007

Ich hätte es schon auch interessant gefunden, zu sehen, welche Paßwörter da probiert werden. Es ging aber nicht so weit, daß ich etwas derartiges auch implementiert hätte, zumal bei mysql die Paßwörter verschlüsselt ankommen und vermutlich der Server nicht feststellen kann, um welches Paßwort es sich handelt, sondern nur ob es richtig ist oder nicht. Beim sshd wäre es wohl prinzipiell möglich.

Ich glaube nicht, daß bei diesen Versuchen alle "starken" Paßwörter durchprobiert werden, einfach weil es davon zu viele gibt. Großbuchstaben, Kleinbuchstaben und Ziffern macht schon 62 mögliche Zeichen, bei 8 Zeichen sind das über 2E14 mögliche Paßwörter. Bei einem Versuch pro Sekunde könnte man die nächsten paar Millionen Jahre damit verbringen, alle möglichen Paßwörter zu raten.

Daher vermute ich eher, daß hier einfachere Paßwörter durchprobiert werden, weil da zumindest noch eine Chance besteht. Eine Liste mit einer Million Einträgen bekommt man dann in etwa 12 Tagen durch.

TinTin · 2 Sep 2007

Zusätzlich zu den bereits genannten Maßnahmen kann ich Denyhosts wärmstens empfehlen, nach x Fehlversuchen einfach die IP des Angreifers automatisch blocken lassen, dann rennen sie gegen eine Wand.

betateilchen · 2 Sep 2007

:rock:

Sowas hab ich schon lange gesucht, um nicht die Hosts immer manuell in die Sperrliste eintragen zu müssen.

:groesste:

sago · 3 Sep 2007

Geil!

Das wird mein logfile dramatisch verkürzen.

Stefan

sterkel · 3 Sep 2007

Ich habe sshdfilter im Einsatz. Ich bin sehr zufrieden damit.

ezbyiv · 3 Sep 2007

bei eBay gibt es eine 16MB große Liste mit ein paar Millionen der meistgewählten Passwörter

Edit: Nicht bei eBay, beim Esel

Chimbo2004 · 12 Okt 2007

Gibt es irgendwo eine brauchbare Anleitung fuer die Absicherung des Servers
(zweiter Benutzername,keys erstellen)
Ich habe es mit der Anleitung aus dem Star-Hosting-Forum versucht,was
aber nicht klappte.Nach dem Einloggen als root habe ich mittels adduser
einen weiteren Benutzer angelegt,das neue Password vergeben,welches
aber beim Einloggen nicht akzeptiert wird.

Einbruchsversucht auf Star-Hosting vServer

IPPF-Promi

Anhänge

Grandstream-Guru

Neuer User

IPPF-Promi

Neuer User

Grandstream-Guru

sven@mainz

Guest

Aktives Mitglied

IPPF-Promi

Grandstream-Guru

IPPF-Urgestein

IPPF-Promi

Grandstream-Guru

IPPF-Urgestein

Aktives Mitglied

Grandstream-Guru

Neuer User

Mitglied

Neuer User

Mitglied

Statistik des Forums