/var/log/auth.log공개 웹 서버 중 하나를 감사하는 동안 다음을 발견했습니다.

Jan 10 03:38:11 Bucksnort sshd[3571]: pam_unix(sshd:auth): authentication failure;
    logname= uid=0 euid=0 tty=ssh ruser= rhost=61.19.255.53  user=bin
Jan 10 03:38:13 Bucksnort sshd[3571]: Failed password for bin from 61.19.255.53
    port 50647 ssh2

처음에는 홍당무로, 이는 ssh임의의 해커로부터의 전형적인 로그인 스팸 처럼 보입니다 . 그러나 자세히 살펴보면 다른 것을 발견했습니다. 대부분의 실패한 /var/log/auth.log항목은 invalid user다음과 같이 말합니다 .

Jan  9 10:45:23 Bucksnort sshd[3006]: Failed password for invalid user sales
    from 123.212.43.5 port 10552 ssh2

에 대한 그 실패 로그인 메시지에 대한 불안 것은 bin그것이라는 것이다 유효한 사용자 에 /etc/passwd심지어이 로그인 쉘은 :

[mpenning@Bucksnort ~]$ grep ^bin /etc/passwd
bin:x:2:2:bin:/bin:/bin/sh

나는 비활성화 할 때 원격으로 로그인 할 수있는 모든 기본 사용자 이름을 다룬 것으로 생각 PermitRootLogin했습니다 /etc/ssh/sshd_config. 이 항목을 발견하면 편집증적인 마음에 새로운 가능성이 열렸습니다. 어떻게 든 서비스가에서 실행되면 bin원격으로 누군가가 bin상자에서 실행중인 서비스에서 사용자의 디렉토리에 ssh 키를 삽입 할 수 있으므로 가능한 경우 사용자의 로그인을 완전히 비활성화하고 싶습니다 bin.

질문

• 이 서버는 원격이며 수정 비용이 많이 듭니다 (즉, KVM을 연결하기 위해 원격 손을 지불하고 KVM 임대료를 지불합니다). 다음과 같이 /etc/passwd항목을 변경하면 내가 깰 수있는 것을 파악하려고합니다 bin.

  bin:x:2:2:bin:/bin:/bin/false

• 다음 명령을 실행하여 bin필요한 내용을 파악하려고 시도했습니다 . 그러나 이러한 명령은 파일이 없었으며 소유 한 프로세스를 찾을 수 없습니다 bin. bin어쨌든 사용자는 무엇을 합니까?

  $ sudo find / -group bin

  $ sudo find / -user bin

• 로그인 쉘을 설정해야하는 다른 사용자가 /bin/false있습니까? 참고로, 나는이 이미 한 /bin/false에 www-data.

• 내가 너무 편집증입니까?

중요한 경우 데비안을 실행하고 있습니다.

답변