/ var / log / secure中的“可能的闯入尝试！”-这是什么意思？

我有一个在VPS平台上运行的CentOS 5.x盒子。我的VPS主机误解了我对连接的支持查询，并有效地刷新了一些iptables规则。这导致ssh在标准端口上侦听并确认端口连接测试。烦死了

好消息是我需要SSH授权密钥。据我所知，我认为没有成功的突破。我仍然非常担心在/ var / log / secure中看到的内容：

Apr 10 06:39:27 echo sshd[22297]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:27 echo sshd[22298]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:31 echo sshd[22324]: Invalid user edu1 from 222.237.78.139
Apr 10 06:39:31 echo sshd[22324]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:31 echo sshd[22330]: input_userauth_request: invalid user edu1
Apr 10 13:39:31 echo sshd[22330]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:35 echo sshd[22336]: Invalid user test1 from 222.237.78.139
Apr 10 06:39:35 echo sshd[22336]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:35 echo sshd[22338]: input_userauth_request: invalid user test1
Apr 10 13:39:35 echo sshd[22338]: Received disconnect from 222.237.78.139: 11: Bye Bye
Apr 10 06:39:39 echo sshd[22377]: Invalid user test from 222.237.78.139
Apr 10 06:39:39 echo sshd[22377]: reverse mapping checking getaddrinfo for 222-237-78-139.tongkni.co.kr failed - POSSIBLE BREAK-IN ATTEMPT!
Apr 10 13:39:39 echo sshd[22378]: input_userauth_request: invalid user test
Apr 10 13:39:39 echo sshd[22378]: Received disconnect from 222.237.78.139: 11: Bye Bye

“可能的闯入尝试”到底是什么意思？那成功了吗？还是它不喜欢请求来自的IP？

不幸的是，这在现在非常普遍。这是对SSH的自动攻击，它使用“通用”用户名尝试侵入您的系统。该消息的含义与所讲的完全相同，并不意味着您已被黑客入侵，只是有人尝试过。

“可能的闯入尝试”部分特别与“反向映射检查getaddrinfo失败”部分有关。这意味着连接的人没有正确配置正向和反向DNS。这是很常见的，尤其是对于ISP连接而言，这正是“攻击”的来源。

该人与“可能的闯入尝试”消息无关，实际上是在尝试使用常用的用户名和密码来闯入。请勿对SSH使用简单密码；实际上，最好是完全禁用密码并仅使用SSH密钥。

““可能的闯入尝试”到底是什么意思？”

这意味着netblock所有者未更新其范围内的静态IP的PTR记录，并且该PTR记录已过时，或者 ISP未为其动态IP客户设置适当的反向记录。即使对于大型ISP，这也很常见。

您最终会在日志中收到味精，因为某人来自具有错误PTR记录的IP（由于上述原因之一）试图使用通用用户名将SSH尝试进入您的服务器（可能是蛮力攻击，或者是一个诚实的错误） ）。

要禁用这些警报，您有两种选择：

1）如果您具有静态IP，则将反向映射添加到/ etc / hosts文件中（在此处查看更多信息）：

10.10.10.10 server.remotehost.com

2）如果您具有动态IP，并且真的想使那些警报消失，请在/ etc / ssh / sshd_config文件中将“ GSSAPIAuthentication yes”注释掉。

通过关闭 sshd_config中的反向查询（UseDNS no），可以使日志更易于阅读和检查。这将防止sshd记录包含“可能的闯入尝试”的“噪声”行，而使您专注于包含“来自IPADDRESS的无效用户USER”的稍微有趣的行。

成功登录并不一定要成功，但是它说的是“可能的”和“尝试的”。

一些坏男孩或脚本小子正在向您发送带有错误来源IP的精心制作的流量。

您可以将原始IP限制添加到SSH密钥，然后尝试使用fail2ban之类的方法。