For ikke længe siden forklarede jeg hvordan man ved, hvilke IP'er der er forbundet med SSH, men... hvad hvis brugernavnet eller adgangskoden var forkert, og de ikke oprettede forbindelse?
Jeg mener, hvis nogen forsøger at finde ud af, hvordan man SSH ind i vores computer eller server, har vi virkelig brug for at vide det, ikke?
Til det vil vi gøre den samme procedure som i det forrige indlæg, vi vil filtrere godkendelsesloggen, men denne gang med et andet filter:
cat /var/log/auth* | grep Failed
Jeg efterlader dig et skærmbillede af, hvordan det ser ud:
Som du kan se, viser den mig måneden, dagen og klokkeslættet for hvert mislykket forsøg, samt den bruger, de forsøgte at logge ind med, og den IP-adresse, som de forsøgte at logge ind fra.
Men dette kan arrangeres lidt mere, vi bruger akavet for at forbedre resultatet en smule:
cat /var/log/auth* | grep Failed | awk '{print $2 "-" $1 " " $3 "\t USUARIO: " $9 "\t DESDE: " $11}'
Her ser vi, hvordan det vil se ud:
Denne linje, som jeg lige har vist, skal du ikke lære det hele udenad, du kan lave en alias for hende er resultatet dog det samme som med den første linje, kun lidt mere organiseret.
Jeg ved, at dette ikke vil være nyttigt for mange, men for dem af os, der administrerer servere, ved jeg, at det vil vise os nogle interessante data hehe.
hilsen
Rigtig god brug af rør
hilsen
Tak
Fremragende de 2 indlæg
Jeg brugte altid den første, for jeg ved ikke awk, men jeg bliver nødt til at lære det
kat /var/log/auth* | grep mislykkedes
Her hvor jeg arbejder, på det matematiske databehandlingsfakultet på Univ de Oriente i Cuba, har vi en fabrik af "hackere", som konstant opfinder ting, som de ikke burde, og jeg skal være med 8 øjne. ssh-problemet er et af dem. Tak for tippet fyr.
Et spørgsmål: hvis man har en server, der vender mod internettet, men i iptables åbner man kun ssh-porten for visse interne MAC-adresser (f.eks. fra et kontor), vil adgangsforsøg fra resten af de interne adresser nå godkendelsesloggen og/eller ekstern ? For jeg har mine tvivl.
I loggen er det kun de anmodninger, der er tilladt af firewallen, men afvist eller godkendt af systemet som sådan (jeg mener login).
Hvis firewallen ikke tillader SSH-anmodninger at passere, vil der ikke blive logget noget.
Jeg har ikke prøvet det her, men kom nu... jeg synes det skal være sådan 😀
grep -i mislykkedes /var/log/auth.log | awk '{print $2 «-» $1 » » $3 «\t BRUGER: » $9 «\t FRA: » $11}'
rgrep -i mislykkedes /var/log/(logroterer mapper) | awk '{print $2 «-» $1 » » $3 «\t BRUGER: » $9 «\t FRA: » $11}'
i centos-redhat…..osv……
/ Var / log / sikker