Newsgroup: it.news.net-abuse
Titolo: Fllod di tentativi ssh, specie mysql...

Ho una mezza dozzina di firewall su ADSL telecom, e non ho mai
'spostato' di porta ssh ma solo limitato le connessioni ssh con
iptables e con gli strumenti propri di sshd_config.
Normalmente ricevo una mezza dozzina di tentativi la settimana, ogni
tanto qualche IP insiste e se non è cinese lo segnalo all'abuse. ;)
Solo che da sabato la cosa sta aumentando in maniera preoccupante. Due
pattern, uno che prevede una serie di accessi con root da un ip solo,
un altro che sembra quasi un attacco distribuito, ovvero una serie di
tentativi da IP diversi ma tutti verso l'utente mysql.
L'accesso a root è disabilitato, mysql non esiste, ma mi chiedo se è
qualcosa di nuovo che avrà vita breve (un nuovo worm?) o se mi tocca
mettermi ad implementare portknoking o altre menate simili... ;(((
-- 
  I politici dovrebbero leggere fantascienza,
  non western o storie di polizia. 		(Arthur C. Clarke)

 tentativi da IP diversi ma tutti verso l'utente mysql.
succede anche da me
in media - senza protezioni - ricevo circa 15000 tentativi di accesso, tutti
ovviamente falliti

 ha scritto nel messaggio 
news:ffk71o$osb$1...@aioe.org...


 una cosa _molto_ buona...
Ho affittato qualche giorno fa un server virtualizzato con sarge per 
vedere come mi ci trovo e, dopo 15 minuti (forse meno) che era 
installato, non sono riuscito a reagire prima, magari ero al gabinetto, 
mi sono ritrovato l'access.log di Apache gia' pieno con tutta la 
tiritera. Tralasciamo il fatto che questi te lo consegnano con quel 
servizio gia' su (e non solo quello, e con phpmyadmin gia' installato), 
mi chiedo quanti si prendano la briga di controllare. Da notare, ho 
salvato i log prima di scassare tutto, un bel po' di tentativi di 
passare da root sulla 22 da parte di un certo numero di server 
virtualizzati (presso un altro provider). Il tutto nell'arco di mezz'ora.
-- 
Prove it... just the facts... the confidential
This case, this case, this case that i...
i've been workin' on so long...
/* JOE CHIP Alpha Ralpha Boulevard */

 IMHO una cosa molto buona...
si però io non capisco tanto
cercare "a caso" applicazioni vulnerabili è un conto
pensare di indovinare a forza bruta una coppia di userid e password mi
sembra molto meno fattibile.
root non è accessibile (ovviamente), gli utenti di sistema non hanno
password, gli utenti hanno userid lunghe e strane (da me). La probabilità
di riuscita sembra talmente bassa che viene da chiedersi se ne valga la
pena.

 pena.
Considerando che tutti i tentativi di accesso ssh che vedi provengono da
macchine che son già state accedute tramite quello stesso metodo,
parrebbe che il metodo in qualche misura funzioni...

 pena.
Probabilmente *da te* no, ma il bot non puo' saperlo a priori ;-)
Fabio

 mettermi ad implementare portknoking o altre menate simili... ;(((
Non vedo perche' complicarsi la vita: se "root e' disabilitato e 
mysql non esiste" non sara' certo un incremento del numero delle
scansioni a metterti in pericolo :-)
Fabio

 Probabilmente *da te* no, ma il bot non puo' saperlo a priori ;-)
E le statistiche sono a favore del bot.
La dimostrazione scientifica l'ha gia' data skull: il bot esiste,
vuol dire che macchine con utente mysql, con password mysql ne ha
gia' trovate a sufficienza.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

pena.
Fattibilissimo invece. Molti lasciano la password standart (quando 
addirittura non la mettono, ho trovato molti clienti così, no comment 
please), che in confronto alla pwd del mio lapdog (welcome) è ihmo molto più 
sicura...
Da me il login root è disabilitato, non ci sono password, uso certificati 
RSA e DSA creati mensilmente da me per loggarmi, e poi su -. Però tutto 
questo comporta lavoro, il lavoro comporta fatica, e come si dice "La mamma 
degli idioti e del nullafacenti è sempre incinta..."


 parrebbe che il metodo in qualche misura funzioni...
chiaro, non era mia intenzione sembrare così coglione
è solo che - almeno da me - il grosso dei tentativi non riguarda gli utenti
di sistema. Si tratta di userid di utenti che non esistono (credo per
evitare che i bot siano rapidamente banditi).
A questo punto, non si tratta di trovare *una* password corrispondente ad
una userid nota ma di azzeccare una coppia di userid *ed* una password.
In termini statistici, sembra una cinquina al lotto. 
... il ragionamento era questo, grossomodo.