/var/log/auth.log공개 웹 서버 중 하나를 감사하는 동안 다음을 발견했습니다.
Jan 10 03:38:11 Bucksnort sshd[3571]: pam_unix(sshd:auth): authentication failure;
logname= uid=0 euid=0 tty=ssh ruser= rhost=61.19.255.53 user=bin
Jan 10 03:38:13 Bucksnort sshd[3571]: Failed password for bin from 61.19.255.53
port 50647 ssh2
처음에는 홍당무로, 이는 ssh임의의 해커로부터의 전형적인 로그인 스팸 처럼 보입니다 . 그러나 자세히 살펴보면 다른 것을 발견했습니다. 대부분의 실패한 /var/log/auth.log항목은 invalid user다음과 같이 말합니다 .
Jan 9 10:45:23 Bucksnort sshd[3006]: Failed password for invalid user sales
from 123.212.43.5 port 10552 ssh2
에 대한 그 실패 로그인 메시지에 대한 불안 것은 bin그것이라는 것이다 유효한 사용자 에 /etc/passwd심지어이 로그인 쉘은 :
[mpenning@Bucksnort ~]$ grep ^bin /etc/passwd
bin:x:2:2:bin:/bin:/bin/sh
나는 비활성화 할 때 원격으로 로그인 할 수있는 모든 기본 사용자 이름을 다룬 것으로 생각 PermitRootLogin했습니다 /etc/ssh/sshd_config. 이 항목을 발견하면 편집증적인 마음에 새로운 가능성이 열렸습니다. 어떻게 든 서비스가에서 실행되면 bin원격으로 누군가가 bin상자에서 실행중인 서비스에서 사용자의 디렉토리에 ssh 키를 삽입 할 수 있으므로 가능한 경우 사용자의 로그인을 완전히 비활성화하고 싶습니다 bin.
질문
이 서버는 원격이며 수정 비용이 많이 듭니다 (즉, KVM을 연결하기 위해 원격 손을 지불하고 KVM 임대료를 지불합니다). 다음과 같이
/etc/passwd항목을 변경하면 내가 깰 수있는 것을 파악하려고합니다bin.bin:x:2:2:bin:/bin:/bin/false다음 명령을 실행하여
bin필요한 내용을 파악하려고 시도했습니다 . 그러나 이러한 명령은 파일이 없었으며 소유 한 프로세스를 찾을 수 없습니다bin.bin어쨌든 사용자는 무엇을 합니까?$ sudo find / -group bin$ sudo find / -user bin로그인 쉘을 설정해야하는 다른 사용자가
/bin/false있습니까? 참고로, 나는이 이미 한/bin/false에www-data.내가 너무 편집증입니까?
중요한 경우 데비안을 실행하고 있습니다.