☰

SSH 공격, 사용자 이름이 어떻게 auth.log에 들어가나요? (비밀번호 인증 비활성화됨)

tag-icon • tag-icon ssh iptables public-key
SSH 공격, 사용자 이름이 어떻게 auth.log에 들어가나요? (비밀번호 인증 비활성화됨)

따라서 이 컴퓨터는 포트 22를 통해(어디서나) 접속할 수 있습니다.
실패한 로그인 시도를 나타내는 메시지(root, cgi, bash, Production...와 같은 사용자 이름)가 /var/log/auth.log에 넘쳐나기 때문에 외부 IP에서 비밀번호 인증을 비활성화했습니다(공개 키 인증만 사용).
그리고 이것은 작동합니다. 외부 IP(키 없이)에서 해당 컴퓨터에 SSH를 시도할 때 사용자 이름 프롬프트도 표시되지 않습니다.

권한이 거부되었습니다(공개키).

그렇다면 어떻게 그 모든 가짜 사용자 이름이 여전히 auth.log에 남게 될까요?

  1 Aug  4 17:02:48 host sshd[17190]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=217.116.204.99  user=root
  2 Aug  4 17:02:48 host sshd[17190]: pam_winbind(sshd:auth): getting password (0x00000388)  
  3 Aug  4 17:02:48 host sshd[17190]: pam_winbind(sshd:auth): pam_get_item returned a password  
  4 Aug  4 17:02:48 host sshd[17190]: pam_winbind(sshd:auth): request wbcLogonUser failed: WBC_ERR_AUTH_ERROR, PAM error:

PAM_USER_UNKNOWN (10), NTSTATUS: NT_STATUS_NO_SUCH_USER, 오류 메시지 4 연령: 해당 사용자 없음 5 8월 4일 17:02:50 호스트 sshd[17190]: 217.116.204.99 포트 40054 ssh2 6 8월 4일 17:02
에서 루트에 대한 비밀번호 실패 :
50 호스트 sshd[17190]: 217.116.204.99에서 연결 끊김 수신: 11: 안녕 안녕 [preauth]
...
513322 4월 7일 19:45:40 호스트 sshd[15986]: input_userauth_request: 잘못된 사용자 cgi [preauth]
...

http://paste.debian.net/92403/

답변1

사용자 이름을 입력하지 않는 동안 linux/osx/bsd 워크스테이션에서 연결하는 경우 사용자 이름은 암시적입니다(기본값은 로그인한 사용자 이름입니다). Windows가 있고 putty를 사용하는 경우 설정하지 않고 연결을 시도하십시오. 자동 로그인 사용자 이름을 입력하고 키를 제시하면 쌍을 일치시키려면 사용자 이름을 묻는 메시지가 표시됩니다.

키는 비밀번호만 대체하며 각 비밀번호는 사용자(및 사용자 이름)와 연결되어 있으므로 authorized_keys에서 파일을 찾을 수 있습니다 ~/.ssh/.

아마도 여러분이 보고 있는 것은 공격자가 ssh bash@<your.server.ip>. 서버는 사용자 이름을 확인하지만 키를 제시하지 않으므로 액세스가 거부됩니다.

관련 정보