作者yongb (藍海悅)
看板Linux
標題[問題] ufw.log常有IP掃過？
時間Mon Dec 7 19:07:24 2015
大家好，小弟菜b巴
有個問題想要請教
小弟雖然用了ubuntu一段時間，但是基本上都當windows再用
頂多ls一下，用cd切個目錄vim打個東西
或是cat看看文件
最近因為某種機會看了sys.log發現裏面真的非常多系統資訊
甚至 /var/log下的每個log都開出來描個幾眼
但其中有個ufw.log(防火牆日誌）
幾乎每分鐘都有
///********************///
Dec 7 19:00:54 ViewBook kernel: [ 1420.965546] [UFW BLOCK] IN=ppp0 OUT=
MAC= SRC=140.116.194.141 DST=1.165.41.33 LEN=52 TOS=0x00 PREC=0x00 TTL=119
ID=30863 DF PROTO=TCP SPT=9482 DPT=8579 WINDOW=8192 RES=0x00 SYN URGP=0
Dec 7 19:01:14 ViewBook kernel: [ 1440.771120] [UFW BLOCK] IN=ppp0 OUT=
MAC= SRC=1.168.87.155 DST=1.165.41.33 LEN=52 TOS=0x00 PREC=0x00 TTL=125
ID=19834 DF PROTO=TCP SPT=13444 DPT=8579 WINDOW=8192 RES=0x00 SYN URGP=0
Dec 7 19:01:34 ViewBook kernel: [ 1460.700527] [UFW BLOCK] IN=ppp0 OUT=
MAC= SRC=1.163.110.4 DST=1.165.41.33 LEN=52 TOS=0x00 PREC=0x00 TTL=122 ID=1193
DF PROTO=TCP SPT=11738 DPT=8579 WINDOW=8192 RES=0x00 SYN URGP=0
Dec 7 19:01:54 ViewBook kernel: [ 1481.159466] [UFW BLOCK] IN=ppp0 OUT=
MAC= SRC=110.159.8.247 DST=1.165.41.33 LEN=52 TOS=0x00 PREC=0x00 TTL=51
ID=24374 DF PROTO=TCP SPT=11346 DPT=8579 WINDOW=8192 RES=0x00 SYN URGP=0
///**************///
這樣子的訊息
小弟爬了一下，爬到的是
那些都是全世界的僵屍網路ping出來的？(居然還有116囧（成大））
這次數也太頻繁了吧......
windows的防火牆日誌也有類似的訊息嗎？
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 1.165.41.33
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Linux/M.1449486447.A.677.html
1F：→ CP64: 有曝露在公海的話應該也會有 12/07 20:42
2F：→ lantw44: 感覺是正常現象，不知道 TCP port 8579 是什麼？ 12/07 22:58
3F：→ lantw44: 平常 ssh 開著也可能看到一天有幾萬次猜密碼紀錄 12/07 23:00
netstat -tunl 了一下沒看到有 port 8579
$ telnet localhost 8579
Trying 127.0.0.1...
telnet: Unable to connect to remote host: Connection refused
沒有呢0.0
大大密碼強度一定很高......一天就猜了幾萬次的組合......好可怕
※ 編輯: yongb (114.46.94.120), 12/07/2015 23:16:58
4F：→ AndyLee76: 三位數的英文+數字全猜完就要四萬多次了吧？ 12/08 01:35
5F：→ lantw44: 其實帳號就常常猜不中了 12/08 01:41
6F：推 cerebellum: 用fail2ban還是有必要的！ 12/08 02:18
7F：→ CP64: 不過不知道為啥設定了 fail2ban 之後常常是雷到自己... 12/08 04:26
8F：→ CP64: 反而沒怎遇過有人來踹.... 12/08 04:26
9F：→ CP64: <- 目前為止至少幹過兩次遠端到別的機器再回來幫自己解 ban 12/08 04:27
10F：→ Neisseria: 我之前某台主機的 root 就被試了十萬多次 12/08 13:56
11F：→ Neisseria: 幸好我把 root 的 remote login 關了 12/08 13:56
12F：→ Neisseria: 後來乖乖裝 fail2ban 才解決 12/08 13:57
13F：→ yongb: 各位大大真是經驗豐富阿，又學到了fail2ban呢 12/08 14:09
14F：推 Debian: ssh用key登入禁止密碼登入就沒有這種困擾了。 12/09 01:32
15F：推 Bellkna: 也都用key 12/09 01:44