为什么老有人尝试登录我的服务器?

[ahillgian]

以下是截取部分数据: IP 查到是强国南方某几个省的电信 IP. 而且最少 1 秒就有 2 次左右的尝试登录. 难道是?!!!!

Apr 6 16:27:55 instance-3 sshd[2602]: Failed password for root from 183.3.202.175 port 10606 ssh2
Apr 6 16:27:58 instance-3 sshd[2602]: Failed password for root from 183.3.202.175 port 10606 ssh2
Apr 6 16:28:00 instance-3 sshd[2602]: Failed password for root from 183.3.202.175 port 10606 ssh2
Apr 6 16:28:00 instance-3 sshd[2602]: Received disconnect from 183.3.202.175: 11: [preauth]
Apr 6 16:28:03 instance-3 sshd[2604]: Failed password for root from 183.3.202.175 port 38243 ssh2
Apr 6 16:28:05 instance-3 sshd[2604]: Failed password for root from 183.3.202.175 port 38243 ssh2
Apr 6 16:28:07 instance-3 sshd[2604]: Failed password for root from 183.3.202.175 port 38243 ssh2
Apr 6 16:28:07 instance-3 sshd[2604]: Received disconnect from 183.3.202.175: 11: [preauth]
Apr 6 16:28:10 instance-3 sshd[2606]: Failed password for root from 183.3.202.175 port 62540 ssh2
Apr 6 16:28:12 instance-3 sshd[2606]: Failed password for root from 183.3.202.175 port 62540 ssh2
Apr 6 16:28:14 instance-3 sshd[2606]: Failed password for root from 183.3.202.175 port 62540 ssh2
Apr 6 16:28:14 instance-3 sshd[2606]: Received disconnect from 183.3.202.175: 11: [preauth]
Apr 6 16:29:13 instance-3 sshd[2623]: Failed password for root from 222.186.56.107 port 2405 ssh2
Apr 6 16:29:16 instance-3 sshd[2623]: Failed password for root from 222.186.56.107 port 2405 ssh2
Apr 6 16:29:18 instance-3 sshd[2623]: Failed password for root from 222.186.56.107 port 2405 ssh2
Apr 6 16:29:21 instance-3 sshd[2623]: Failed password for root from 222.186.56.107 port 2405 ssh2
Apr 6 16:29:22 instance-3 sshd[2623]: Failed password for root from 222.186.56.107 port 2405 ssh2
Apr 6 16:29:23 instance-3 sshd[2623]: fatal: Read from socket failed: Connection reset by peer [preauth]
Apr 6 16:29:26 instance-3 sshd[2625]: Failed password for root from 222.186.56.107 port 4002 ssh2
Apr 6 16:29:28 instance-3 sshd[2625]: Failed password for root from 222.186.56.107 port 4002 ssh2

换默认的 ssh 端口可以解决吗?

[cszchen]

也许曾经这是他的服务器

[ahillgian]

@cszchen 应该不是的. 感觉是强国的防火墙在尝试破解.

[twor2]

发 ip 不打码
你吧发帖前后的登录次数对比一下，看看是否有变化

[initialdp]

在粗暴破解你的 SSH 密码。安装 fail2ban 吧，一般这些无聊的动作都可以被封锁。

[twor2]

哦 是对方 ip ，我 2 了

[imWBB]

为什么不禁用 root 和密码登录？

[raincious]

缘分啊。我的机器也在被 183.3.202 这段 IP 地址的机器扫描，而且频率非常高，感觉十分奇怪。建议各位也看看自己的服务器是不是有这个 IP 地址的访问记录。

这是 3 月份的截图：
图片太长请手动复制到地址栏://i.imgur.com/bwtJcgB.png

这是刚刚的：
图片太长请手动复制到地址栏://i.imgur.com/aQKYHid.png

`attempts` 计数低是因为程序会自动用 iptables 屏蔽 IP 地址 1.5 天时间，这期间这个 IP 就不能再访问我的服务器了。

[lhbc]

@raincious 才几百次
几万到几十万次才是正常的

[strahe]

都是这样的,都是大面积扫描和暴力破解的,我几台机器,都是这样,

[raincious]

@lhbc

几百次是因为他们访问之后就直接被屏蔽半天到 1.5 天时间，然后会被解封。

[H3x]

黑产批量扫的

[kenshinhu]

弱弱问问,在哪可以看到这个日志

[Andy1999]

扫描

我几台服务器一天吃几百万的扫描呢

[ahillgian]

@raincious 我怀疑是某防火墙暴力破解.

[BOYPT]

至少你的服务器又公网 ip 就会有这种链接，没啥大惊小怪。

[DT27]

很正常。所有服务器都这样。

[Jaylee]

反正我禁止了密码登入，改了端口

[jasontsai]

@kenshinhu sys log ？ o(´^｀)o

[H3x]

@ahillgian 这种爆破你 ssh 端口的基本都是黑产在批量扫肉鸡。这都能丢锅给某墙啊？我服

[UnisandK]

SSH 端口用默认的 22 的话基本每次登陆都能看见个几万次的尝试，换其他的端口也就稍好一点
端口扫描+协议分析+穷举弱密码的黑产一条龙，被扫多了就见怪不怪了

[jacy]

我的路由器每天都会关顾上万次

[7654]

我是直接把 SSH 关了，用网页控制 SSHD ，需要用的时候开启，不用的时候关闭

[xmoiduts]

搭车求问，登录失败请求来自 127.0.0.1 ，用户名是常用的，不存在的用户名，比如 elasticsearch ，这是被黑了还是有人扫？我没有安装 elasticsearch 等程序。

[BOYPT]

@xmoiduts 可能你服务程序里面有漏洞

[terrywang]

更改默认端口可以省去很多麻烦

[terrywang]

抱歉，我看错了，能删除自己的发言吗？

[qa52666]

我也纠结一下，阿里云天天提示有人尝试暴力破解。。。应该怎么搞？

[zyx89513]

很正常 都是扫描肉鸡

[SourceMan]

这些事，开新服务器之后，都做了吗？
http://www.ruanyifeng.com/blog/2014/03/server_setup.html

[icybee]

使用秘钥文件＋密码登录

[RqPS6rhmP3Nyn3Tm]

关闭密码登陆，只使用证书

[lxy]

开通的当天半夜就有印度 IP 来扫，第二天我换了个大端口号后，至今就一直正常

[zhanglp888]

ssh 要改端口，禁 root ，加证书

[SharkIng]

扫肉鸡不是一个很常见的事么

[badcode]

看贴出来的日志，应该还是不知道端口的吧？
不要默认的，默认加弱口令，等 s

ip 固定就限制 ip 登陆，或者如 @zhanglp888 所说

[intsilence]

换证书，改端口等方法影响自己正常使用。还是装 fail2ban 吧，一劳永逸。

[4679kun]

我用私钥登录 禁止密码登录

[rayhome1987]

改 ssh 端口，禁止 root 用户登录，禁止密码登录