27 odpowiedzi na ten temat

[leo15]

Witam, czy może ktoś mi pomóc ponieważ mój serwer vps pożarł aż 850 Gb transferu co jest nie możliwością zarejestrowanych jest tylko 418 użytkowników dzienna ilość osób to max 20. Jak można sprawdzić jakie ip lub domena wykorzystuje taką ilość transferu system debian 5.0.

Użytkownik nie zgadza się na otrzymywanie ofert od firm.

[N0Name]

Też miałem takie problemy, być może jakiś bot próbował tobie złamać hasło, badź zalogować się na jakiegoś dziwacznego usera który w ogóle nie istnieje, oraz dziwne porty.
Niby w walce z tym pomaga fail2ban, rownież sprawdz wszystkie logi, zobacz czy są zaspamowane.

Ten post był edytowany przez N0Name dnia: 29 styczeń 2012 - 18:18

[leo15]

Auth.log

Cytuj

Jan 29 17:03:58 tanieogladanie sshd[1116]: Failed password for root from 184.107.96.68 port 47601 ssh2
Jan 29 17:03:58 tanieogladanie sshd[1118]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:03:58 tanieogladanie sshd[1120]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:03:59 tanieogladanie sshd[1118]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:03:59 tanieogladanie sshd[1120]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:00 tanieogladanie sshd[1118]: Failed password for root from 184.107.96.68 port 48251 ssh2
Jan 29 17:04:00 tanieogladanie sshd[1120]: Failed password for root from 184.107.96.68 port 48297 ssh2
Jan 29 17:04:01 tanieogladanie sshd[1122]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:01 tanieogladanie sshd[1123]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:01 tanieogladanie sshd[1122]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:01 tanieogladanie sshd[1123]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:03 tanieogladanie sshd[1122]: Failed password for root from 184.107.96.68 port 48788 ssh2
Jan 29 17:04:03 tanieogladanie sshd[1123]: Failed password for root from 184.107.96.68 port 48810 ssh2
Jan 29 17:04:03 tanieogladanie sshd[1133]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:03 tanieogladanie sshd[1134]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:04 tanieogladanie sshd[1133]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:04 tanieogladanie sshd[1134]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:06 tanieogladanie sshd[1133]: Failed password for root from 184.107.96.68 port 49405 ssh2
Jan 29 17:04:06 tanieogladanie sshd[1134]: Failed password for root from 184.107.96.68 port 49425 ssh2
Jan 29 17:04:06 tanieogladanie sshd[1137]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:06 tanieogladanie sshd[1138]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:07 tanieogladanie sshd[1137]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:07 tanieogladanie sshd[1138]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:09 tanieogladanie sshd[1137]: Failed password for root from 184.107.96.68 port 50122 ssh2
Jan 29 17:04:09 tanieogladanie sshd[1138]: Failed password for root from 184.107.96.68 port 50143 ssh2
Jan 29 17:04:10 tanieogladanie sshd[1141]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:10 tanieogladanie sshd[1142]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:10 tanieogladanie sshd[1141]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:10 tanieogladanie sshd[1142]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:12 tanieogladanie sshd[1141]: Failed password for root from 184.107.96.68 port 51102 ssh2
Jan 29 17:04:12 tanieogladanie sshd[1142]: Failed password for root from 184.107.96.68 port 51119 ssh2
Jan 29 17:04:12 tanieogladanie sshd[1145]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:12 tanieogladanie sshd[1146]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:04:13 tanieogladanie sshd[1145]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:13 tanieogladanie sshd[1146]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=184.107.96.68 user=root
Jan 29 17:04:15 tanieogladanie sshd[1145]: Failed password for root from 184.107.96.68 port 51909 ssh2
Jan 29 17:04:15 tanieogladanie sshd[1146]: Failed password for root from 184.107.96.68 port 51922 ssh2
Jan 29 17:05:01 tanieogladanie CRON[1149]: pam_unix(cron:session): session opened for user root by (uid=0)
Jan 29 17:05:01 tanieogladanie CRON[1149]: pam_unix(cron:session): session closed for user root
Jan 29 17:09:01 tanieogladanie CRON[1185]: pam_unix(cron:session): session opened for user root by (uid=0)
Jan 29 17:09:03 tanieogladanie CRON[1185]: pam_unix(cron:session): session closed for user root
Jan 29 17:10:01 tanieogladanie CRON[1211]: pam_unix(cron:session): session opened for user root by (uid=0)
Jan 29 17:10:01 tanieogladanie CRON[1211]: pam_unix(cron:session): session closed for user root
Jan 29 17:15:01 tanieogladanie CRON[1249]: pam_unix(cron:session): session opened for user root by (uid=0)
Jan 29 17:15:01 tanieogladanie CRON[1249]: pam_unix(cron:session): session closed for user root
Jan 29 17:20:00 tanieogladanie sshd[1302]: error writing /proc/self/oom_adj: Operation not permitted
Jan 29 17:20:01 tanieogladanie CRON[1305]: pam_unix(cron:session): session opened for user root by (uid=0)
Jan 29 17:20:01 tanieogladanie CRON[1305]: pam_unix(cron:session): session closed for user root
Jan 29 17:20:09 tanieogladanie sshd[1302]: Accepted password for root from 82.160.24.12 port 64433 ssh2
Jan 29 17:20:09 tanieogladanie sshd[1302]: pam_unix(sshd:session): session opened for user root by (uid=0)

184.107.96.68 tego ip nie znam
reszta wydaje się być czysta.

[graftek]

Cytuj

Jan 29 17:04:00 tanieogladanie sshd[1118]: Failed password for root from 184.107.96.68 port 48251 ssh2
Jan 29 17:04:00 tanieogladanie sshd[1120]: Failed password for root from 184.107.96.68 port 48297 ssh2

Mi to wygląda po prostu na próbę ataku

Ten post był edytowany przez graftek dnia: 29 styczeń 2012 - 18:31

[leo15]

Jak można zablokować albo jakaś instrukcje instalacji fail2ban oraz konfiguracji.

Zainstalowałem według instrukcji

Cytuj

http://www.fixitpc.p...p__773#entry773

mam tylko jedno pytanko bo nie wiem czy dobrze dodałem ip
ignoreip = 127.0.0.1 82.160.24.12

tylko nie wiem co oznacza xxx.xxx.xx.x/19 xxx.xx.xxx.x/24
/19 /24

Ten post był edytowany przez leo15 dnia: 29 styczeń 2012 - 18:45

[samu]

Cytuj

tylko nie wiem co oznacza xxx.xxx.xx.x/19 xxx.xx.xxx.x/24
/19 /24

To jest maska, w fail2ban możesz użyć takiego zapisu do oznaczenia, że ma ignorować jakąś większą sieć (np. /24 do 254 adresy IP). Ty chcesz ignorować (nie banować) adresy 127.0.0.1 i 82.160.24.12, więc Twój zapis ignoreip w zupełności wystarczy.

[leo15]

ok dzięki mam nadzieje że to pomoże i nie zablokuje mi dostępu z łącza Neostrady bo czasem korzystam ale rzadko. Dzięki za pomoc może pomoże zmniejszyć pożeranie transferu.

[Kamikadze]

Po 1. fail2ban i konfiguracja na ssh, ftp, phpmyadmin (co najmniej) i duża restrykcja
Po 2. zmiana portów na jakiś np. 9922, 9921 itd.
Po 3. zmień w /etc/serviced na te co ustawiłeś w punkcie drugim aby F2B złapał

[leo15]

Kamikadze, o 29 styczeń 2012 - 19:06, powiedział:

Po 1. fail2ban i konfiguracja na ssh, ftp, phpmyadmin (co najmniej) i duża restrykcja
Po 2. zmiana portów na jakiś np. 9922, 9921 itd.
Po 3. zmień w /etc/serviced na te co ustawiłeś w punkcie drugim aby F2B złapał

1. nie posiadam ftp aktywowałem na ssh a na phpmyadmin nie wiem jak aktywować
2. zmiana zrobiona
3. /etc/serviced nie ma takiego katalogu ani pliku jest services ale tam same porty są.

[Kamikadze]

właśnie o to chodzi, bo jak zmieniłeś porty np. 22 to tam również podmień 22 na ten zmieniony to w tedy fail2ban załapie


Tu masz opisane jak to działa i co się jak ustawia / włącza
http://newbie.linux....rticle&show=546

Reszte można wyguglować

[leo15]

Ponownie problem występuje transfer wciąga:

Cytuj

Feb 2 13:28:52 tanieogladanie sshd[11700]: Failed password for root from 189.16.46.243 port 44557 ssh2
Feb 2 13:28:53 tanieogladanie sshd[11702]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:28:54 tanieogladanie sshd[11702]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:28:56 tanieogladanie sshd[11702]: Failed password for root from 189.16.46.243 port 45695 ssh2
Feb 2 13:28:56 tanieogladanie sshd[11704]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:28:58 tanieogladanie sshd[11704]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:00 tanieogladanie sshd[11704]: Failed password for root from 189.16.46.243 port 46672 ssh2
Feb 2 13:29:00 tanieogladanie sshd[11706]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:02 tanieogladanie sshd[11706]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:04 tanieogladanie sshd[11706]: Failed password for root from 189.16.46.243 port 47734 ssh2
Feb 2 13:29:04 tanieogladanie sshd[11708]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:06 tanieogladanie sshd[11708]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:07 tanieogladanie sshd[11708]: Failed password for root from 189.16.46.243 port 48834 ssh2
Feb 2 13:29:08 tanieogladanie sshd[11710]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:10 tanieogladanie sshd[11710]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:11 tanieogladanie sshd[11710]: Failed password for root from 189.16.46.243 port 49806 ssh2
Feb 2 13:29:12 tanieogladanie sshd[11712]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:13 tanieogladanie sshd[11712]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:15 tanieogladanie sshd[11712]: Failed password for root from 189.16.46.243 port 50836 ssh2
Feb 2 13:29:16 tanieogladanie sshd[11714]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:17 tanieogladanie sshd[11714]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:19 tanieogladanie sshd[11714]: Failed password for root from 189.16.46.243 port 51905 ssh2
Feb 2 13:29:20 tanieogladanie sshd[11716]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:21 tanieogladanie sshd[11716]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:24 tanieogladanie sshd[11716]: Failed password for root from 189.16.46.243 port 52953 ssh2
Feb 2 13:29:24 tanieogladanie sshd[11718]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:26 tanieogladanie sshd[11718]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:28 tanieogladanie sshd[11718]: Failed password for root from 189.16.46.243 port 54128 ssh2
Feb 2 13:29:28 tanieogladanie sshd[11720]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:30 tanieogladanie sshd[11720]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:31 tanieogladanie sshd[11720]: Failed password for root from 189.16.46.243 port 55248 ssh2
Feb 2 13:29:32 tanieogladanie sshd[11722]: error writing /proc/self/oom_adj: Operation not permitted
Feb 2 13:29:33 tanieogladanie sshd[11722]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser$
Feb 2 13:29:36 tanieogladanie sshd[11722]: Failed password for root from 189.16.46.243 port 56235 ssh2

fail2ban nie pomaga a zjadło mi już 178.08 GB transferu.

[Kamikadze]

bo żeś źle skonfigurował. Zauważ że nie banuje ci adresu IP gdyż połączeń masz kilkadziesiąt

Wklej swój config to coś poradzimy

Edit: Możesz też wycinać IP od razu ale to jest rozwiązanie krótkotrwałe bo zaraz pojawia się nowe IPki

Ten post był edytowany przez Kamikadze dnia: 02 luty 2012 - 16:06

[leo15]

Cytuj

http://tanieogladanie.pl/jail.conf

[Kamikadze]

Spróbuj sobie coś tego typu zamontować (jak potrzebujesz inne opcje zmień na true)



http://wklej.to/xKvf5

[leo15]

Kamikadze zamontowałem zobaczymy czy pomoże poczekam na kolejny atak.

[Kamikadze]

Pamiętaj aby jeszcze zrobić restart aplikacji /etc/init.d/fail2ban restart

[tym]

I że ten 'atak' zżera 180GB trafficu? Sama nazwa serwera dużo mówi - tanieogladanie - czyli raczej to normalna rzecz że traffic leci :-)
Sprawdź logi serwera www, czy coś streamujesz?

[leo15]

Kamikadze restart poleciał na cały VPS.
"tym" przelicz sobie 200 gb a dziennie jest max 10 osób korzystających jeden film ma max 300-400 MB przelicz sobie wykorzystywanie i dopiero się odzywaj.

Ten post był edytowany przez leo15 dnia: 02 luty 2012 - 17:52

[tym]

Ale ktoś puści skrypt i wyżre ci traffic... Sprawdź logi i zweryfikuj. Przelicz sobie też, ile 'waży' połączenie przez ssh... I dopiero płacz dalej Przecież to na pewno nie przez domniemany atak, a zwyczajnie ktoś ostro 'konsumuje' filmy...

Ten post był edytowany przez tym dnia: 02 luty 2012 - 18:30

[Kamikadze]

tym, o 02 luty 2012 - 18:29, powiedział:

Ale ktoś puści skrypt i wyżre ci traffic... Sprawdź logi i zweryfikuj. Przelicz sobie też, ile 'waży' połączenie przez ssh... I dopiero płacz dalej Przecież to na pewno nie przez domniemany atak, a zwyczajnie ktoś ostro 'konsumuje' filmy...

Zależy ile jeszcze tych połączeń ma i czy tylko po ssh

Edit: jak ma nie zabezpieczony i "coś" mu się odpaliło żrące łącze to wszystko możliwe

Ten post był edytowany przez Kamikadze dnia: 02 luty 2012 - 18:32