sshit - защита от подбора паролей ssh/ftp

Автор: lissyara.

    Решил порыться в портах на тему связанную с подбором паролей по ssh. Тема это частенько возникает на форуме, посему решил посмотреть, что есть кроме моих самописных скриптов. Поиск в портах принёс кучу всего, посему ставить начал с конца - чтоб проще :) Поехали:


/usr/home/lissyara/>cd /usr/ports/security/sshit /usr/ports/security/sshit/>make install clean ........... skipped ..... ===> CONFIGURATION NOTE: Configuration of sshit is done via main configuration file located at /usr/local/etc/sshit.conf To run the script, add a line in /etc/syslog.conf: auth.info;authpriv.info |exec /usr/local/sbin/sshit and restart syslogd. If you want to use pf as the firewall, you should add a table and the corresponding deny rule. For example, (In /etc/pf.conf) table <badhosts> persist block on $extdev from <badhosts> to any and reload the pf rules. If you want to use ipfw2 (with table) as the firewall, you should add a table and the corresponding deny rule. For example, # ipfw add deny ip from table(0) to any

   В конце инсталляции лезет краткая инструкция - чё надо сделать чтоб оно заработало (люблю грамотно составленные порты). Ей и следуем - добавляем строку в /etc/syslog.conf (показан вместе с предыдущей)


auth.info;authpriv.info /var/log/auth.log auth.info;authpriv.info |exec /usr/local/sbin/sshit

   После чего перезапускаем syslogd:


/root/>/etc/rc.d/syslogd restart Stopping syslogd. Waiting for PIDS: 814. Starting syslogd. /root/>

   И пробуем залогинится левым пользователем:


Jul 1 11:19:44 lissyara sshd[31058]: error: PAM: authentication error for root from 192.168.254.193 Jul 1 11:19:45 lissyara last message repeated 2 times Jul 1 11:19:53 lissyara sshd[31066]: error: PAM: authentication error for root from 192.168.254.193 Jul 1 11:19:54 lissyara last message repeated 2 times Jul 1 11:20:10 lissyara sshd[32186]: Invalid user ddd from 192.168.254.193 Jul 1 11:20:11 lissyara sshd[32186]: error: PAM: authentication error for illegal user ddd from 192.168.254.193 Jul 1 11:20:11 lissyara sshd[32186]: Failed keyboard-interactive/pam for invalid user ddd from 192.168.254.193 port 61558 ssh2 Jul 1 11:20:11 lissyara sshd[32186]: error: PAM: authentication error for illegal user ddd from 192.168.254.193 Jul 1 11:20:11 lissyara sshd[32186]: Failed keyboard-interactive/pam for invalid user ddd from 192.168.254.193 port 61558 ssh2 Jul 1 11:20:11 lissyara sshit: BLOCKING 192.168.254.193 with pf Jul 1 11:20:11 lissyara sshd[32186]: error: PAM: authentication error for illegal user ddd from 192.168.254.193 Jul 1 11:20:11 lissyara sshd[32186]: Failed keyboard-interactive/pam for invalid user ddd from 192.168.254.193 port 61558 ssh2 Jul 1 11:20:11 lissyara sshit: block for 192.168.254.193 not working!

   Ага. По дефолту стоит pf, но - я использую ipfw. Лезем править конфиг. От дефолтового, я изменил тока две строчки, их и привожу:


MAX_COUNT = 5 FIREWALL_TYPE = ipfw2

   Собственно, конфиг не комментирую - там всё понятно по названию опций. Пока ковырялся, в логах нарисовалась ещё одна интересная запись:


Jul 1 11:25:17 lissyara sshit: janitor removed block rule for 192.168.254.193 (reset time of 300 seconds reached)

   Оно ещё и само удаляет записи, по прошествии определённого времени. Хорошо, а то вдруг сам с попойки ошибёшься сервером :)) Далее, необходимо добавить правило для таблицы в файрволл - на этой машине они у меня не используются, поэтому я оставил дефолтовый номер самой таблицы - ноль.


${FwCMD} -f table 0 flush # rulezz for sshit table ${FwCMD} add deny not icmp from "table(0)" to me

   Для тех, кто не догадался сам, правило добавляется вторым, сразу после разрешения всего по петлевому интерфейсу. Почему такое? Ну - пусть попингуют - ничё страшного :)
   Также, было обнаружено что если пользователь существует, то на ошибки при вводе его пароля скрипт никак не реагирует. Причина нашлась быстро - регулярное выражение было составлено для старых версий sshd - если я правильно помню как оно ругалось раньше. Соостветственно было подправлено - патч для порта можно найти по тут (в порты отправил - будем надеятся закоммитят и не надо будет накладывать его руками).

2007-07-02: Патч закоммичен в порты - так что можно их обновлять и ставить ничё не патчив.


размещено: 2007-07-01,
последнее обновление: 2008-01-03,
автор: lissyara

  Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
  Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

© lissyara 2006-10-24 08:47 MSK