Mensajes

Creéis que esto relantiza mi conexión o que me pueda hacer un DoS? Es que no se, la verdad me gustaría dejarlo ahí intentando sacar la password hasta que se canse, porque os aseguro que no la sacará... Pero esque es eso, que no se hasta que punto afecta este ataque a mi ordenador. Dadme algun consejo.

¿La contraseña la cambiaste a root? ¿o tal vez era toor?

Un Saludo.

La contraseña ERA root. Por supuesto la cambié después de ver el log.

Deben ser ataques automatizados por fuerza bruta al ssh, nada por lo que preocuparte. Si vieras el log del servidor del foro 

Por supuesto, no me preocupa para nada... eso sí, me ha hecho cambiar la pass.

ahmmmm, un apunte más:

Código [Seleccionar] Expandir

dani@dani-Aspire-5720:~/Escritorio/logs$ sudo cat * |grep -c from
[sudo] password for dani:
80946
Son muchos intentos....

Entonces va haber algun nuevo comando que realize el ataque de forma automatizada, o simplemente habra que empezar a realizarlo de forma manual?

Saludos y muchas gracias!

Por dios, empezar a utilizarlo de forma manual? se supone que primero tienes que saber utilizarlo de forma manual... Pero bueno la verdad es que era un comando realmente útil para comprobar la seguridad de tu sistema. Lamentaré esta pérdida pero siempre quedará la forma manual. It's something....

Aprovecho para volver a preguntar si hay algo parecido al autopwn(db_autopwn) o como dice NaSaRiD15 si sacaran un nuevo comando. Alguien sabe algo? Es que lo tenía y actualicé msf y se esfumo el autopwn 

Os cuento, estaba yo con un colega y me preguntó por como mirar los logs en linux para saber si te han entrado en la pc, y le digo, pues tienes que filtrarlos con el grep, y al mostrarselo... me quedé a rayas, os dejo unas partes del /var/log/auth.log de mi servidor:

Primero diré que el servidor no es mas que un portátil viejo que sirve ssh, LAMP, y bueno todo tipo, ya que estudio informática y pues siempre hago mis pruebas(de ahí que tenga tantos fallos de seguridad XD). Los puertos están redireccionados desde el router al pc, así accediendo al ssh de mi ip pública accederíamos al servidor ssh de mi portátil.
Comando utilizado para ver los logs: cat /var/log/auth.log | grep from

Estas són las últimas lineas que tengo, y el que ha accedido he sido yo localmente como se puede ver pero esa ip(46.72.53.180) os aseguro que no he sido yo:

Código [Seleccionar] Expandir


Jan  5 18:02:53 dani-Aspire-5720 sshd[21367]: Failed password for root from 46.72.53.180 port 38572 ssh2
Jan  5 18:03:00 dani-Aspire-5720 sshd[21369]: Failed password for root from 46.72.53.180 port 38893 ssh2
Jan  5 18:03:09 dani-Aspire-5720 sshd[21371]: Failed password for root from 46.72.53.180 port 39195 ssh2
Jan  5 18:03:17 dani-Aspire-5720 sshd[21378]: Failed password for root from 46.72.53.180 port 39521 ssh2
Jan  5 18:03:25 dani-Aspire-5720 sshd[21380]: Failed password for root from 46.72.53.180 port 39863 ssh2
Jan  5 18:03:33 dani-Aspire-5720 sshd[21382]: Failed password for root from 46.72.53.180 port 40187 ssh2
Jan  5 18:03:42 dani-Aspire-5720 sshd[21384]: Failed password for root from 46.72.53.180 port 40508 ssh2
Jan  5 18:03:50 dani-Aspire-5720 sshd[21386]: Failed password for root from 46.72.53.180 port 40850 ssh2
Jan  5 18:03:58 dani-Aspire-5720 sshd[21388]: Failed password for root from 46.72.53.180 port 41198 ssh2
Jan  5 18:04:06 dani-Aspire-5720 sshd[21390]: Failed password for root from 46.72.53.180 port 41545 ssh2
Jan  5 18:04:15 dani-Aspire-5720 sshd[21397]: Failed password for root from 46.72.53.180 port 41935 ssh2
Jan  5 18:04:22 dani-Aspire-5720 sshd[21399]: Failed password for root from 46.72.53.180 port 42381 ssh2
Jan  5 18:04:31 dani-Aspire-5720 sshd[21401]: Failed password for root from 46.72.53.180 port 42822 ssh2
Jan  5 18:58:34 dani-Aspire-5720 sshd[21720]: Failed password for dani from 192.168.0.69 port 34017 ssh2
Jan  5 18:58:37 dani-Aspire-5720 sshd[21720]: Accepted password for dani from 192.168.0.69 port 34017 ssh2
Jan  5 19:01:07 dani-Aspire-5720 sshd[21907]: Received disconnect from 192.168.0.69: 11: disconnected by user
Jan  5 19:01:21 dani-Aspire-5720 sshd[22060]: Accepted password for root from 192.168.0.69 port 34018 ssh2


Aqui las primeras veces que me atacaba XDXDXD es patético, 1 mes, dia a dia intentando entrar en mi pc :

Código [Seleccionar] Expandir


Dec  7 16:07:44 dani-Aspire-5720 sshd[21465]: Failed password for invalid user motorola from 189.111.206.136 port 38218 ssh2
Dec  7 16:07:47 dani-Aspire-5720 sshd[21467]: Invalid user motorola from 189.111.206.136
Dec  7 16:07:49 dani-Aspire-5720 sshd[21467]: Failed password for invalid user motorola from 189.111.206.136 port 39840 ssh2
Dec  7 16:07:52 dani-Aspire-5720 sshd[21469]: Invalid user aaron from 189.111.206.136
Dec  7 16:07:55 dani-Aspire-5720 sshd[21469]: Failed password for invalid user aaron from 189.111.206.136 port 40665 ssh2
Dec  7 16:07:57 dani-Aspire-5720 sshd[21471]: Invalid user abacus from 189.111.206.136
Dec  7 16:08:00 dani-Aspire-5720 sshd[21471]: Failed password for invalid user abacus from 189.111.206.136 port 41522 ssh2
Dec  7 16:08:03 dani-Aspire-5720 sshd[21473]: Invalid user abby from 189.111.206.136
Dec  7 16:08:05 dani-Aspire-5720 sshd[21473]: Failed password for invalid user abby from 189.111.206.136 port 43076 ssh2
Dec  7 16:08:08 dani-Aspire-5720 sshd[21475]: Invalid user abbycheng from 189.111.206.136
Dec  7 16:08:11 dani-Aspire-5720 sshd[21475]: Failed password for invalid user abbycheng from 189.111.206.136 port 43900 ssh2
Dec  7 16:08:13 dani-Aspire-5720 sshd[21477]: Invalid user abc from 189.111.206.136
Dec  7 16:08:16 dani-Aspire-5720 sshd[21477]: Failed password for invalid user abc from 189.111.206.136 port 44766 ssh2
Dec  7 16:08:19 dani-Aspire-5720 sshd[21479]: Invalid user abe from 189.111.206.136
Dec  7 16:08:20 dani-Aspire-5720 sshd[21479]: Failed password for invalid user abe from 189.111.206.136 port 46317 ssh2
Dec  7 16:08:23 dani-Aspire-5720 sshd[21481]: Invalid user abhinav from 189.111.206.136
Dec  7 16:08:26 dani-Aspire-5720 sshd[21481]: Failed password for invalid user abhinav from 189.111.206.136 port 47146 ssh2
Dec  7 16:08:29 dani-Aspire-5720 sshd[21483]: Invalid user abhinavgalav from 189.111.206.136


Parece que finalmente le pilló el truco y solo probaba con usuario root(si, lo tengo abierto  ) pero sin mucho éxito, también vemos que cada día utiliza una ip diferente:

Código [Seleccionar] Expandir


Jan  2 16:52:50 dani-Aspire-5720 sshd[25038]: Failed password for root from 174.139.74.114 port 45498 ssh2
Jan  2 16:52:54 dani-Aspire-5720 sshd[25040]: Failed password for root from 174.139.74.114 port 45814 ssh2
Jan  2 16:52:58 dani-Aspire-5720 sshd[25042]: Failed password for root from 174.139.74.114 port 46154 ssh2
Jan  2 16:53:02 dani-Aspire-5720 sshd[25044]: Failed password for root from 174.139.74.114 port 46523 ssh2

Jan  3 00:40:50 dani-Aspire-5720 sshd[27786]: Failed password for root from 182.48.42.63 port 48164 ssh2
Jan  3 00:40:56 dani-Aspire-5720 sshd[27788]: Failed password for root from 182.48.42.63 port 48519 ssh2
Jan  3 00:41:01 dani-Aspire-5720 sshd[27790]: Failed password for root from 182.48.42.63 port 48893 ssh2
Jan  3 00:41:05 dani-Aspire-5720 sshd[27797]: Failed password for root from 182.48.42.63 port 49261 ssh2
Jan  3 00:41:09 dani-Aspire-5720 sshd[27799]: Failed password for root from 182.48.42.63 port 49614 ssh2
Jan  3 00:41:15 dani-Aspire-5720 sshd[27801]: Failed password for root from 182.48.42.63 port 49946 ssh2


Alguna vez me sale esto (he cogido tres lineas aleatorias) que indica que está usando proxy, realmente esto esto es lo que mas me sorprende de este lammer, que use un proxy:

Código [Seleccionar] Expandir


an  2 10:39:36 dani-Aspire-5720 sshd[22808]: Bad protocol version identification 'GET http://www.hardjob.net/proxyheader.php HTTP/1.1' from 58.218.199.147
Jan  1 11:10:12 dani-Aspire-5720 sshd[14300]: Bad protocol version identification 'GET http://financeande.com/feed/feed.php HTTP/1.1' from 58.218.199.147
Dec 11 00:25:44 dani-Aspire-5720 sshd[31775]: Bad protocol version identification 'GET http://www.travelimgusa.com/ip.php HTTP/1.1' from 58.218.199.147


Supongo que hace falta decir que tengo miles de lineas como estas, desde el día 7 de diciembre hasta hoy día 5 de enero. El muy lammer lleva un mes atacandome y aún no ha entrado.

Ya está, yo me he echado unas risas, además os contaré un secreto, la contraseña de root era root  patético tanto para mí como para él.

 

Sé algo de php, y he pensado que con php se podría hacer, me vino a la cabeza:

Código [Seleccionar] Expandir

<?php
header("Location: http://www.google.com/"); 
?>
Pero claro, esto lo que hace es redirigir a google y eso no me interesa, pero sabía que tenía que ser algo por el estilo, que habría alguna función para lograrlo.

Entonces encontré esto, y funciona... a medias, ya que no me muestra las imágenes, y bueno el multimedia en general, tanto streaming como javascript...

Código [Seleccionar] Expandir

<?php
$homepage = file_get_contents('http://www.google.com/');
echo $homepage;
?>
Bueno con esto lo único que hago es coger la cadena de texto además no deja navegar por la página, tampoco me vale.

Mirad este programa, es la leche! Quiero hacer algo como esto aunque más sencillo claro. Intentaré entender el código pero puede que me lleve un tiempo.
http://sourceforge.net/projects/php-proxy/

Seguiré posteando para informar como me va por supuesto estoy abierto a cualquier tipo de ideas o ayudas.

Gracias a ambos, hoy mismo empezaré con el http tunneling, no se como no se me había ocurrido antes.
el-brujo, es todo un honor recibir una respuesta tuya, uso linux y pensaba en utilizar la opcion -C en el cliente ssh nativo pero probaré el putty solo porque tu me lo has dicho jeje

Bueno ya os he hecho la pelota, jaja lo pruebo y comento resultados.


tú si que vales XD

Mirad este año en clase nos pusieron un proxy y bueno, lo primero que pensé para saltármelo fue hacer un túnel ssh hacia mi casa y punto, pero tuve el problema de hacer pasar el ssh por el proxy(fail) y bueno al final descubrí el corkscrew que estaba dedicado para mi caso ya que lo que hacía era pasar el tunel ssh por el proxy. Bien, he logrado que me funcione y además con una velocidad muy buena, y nada aver si consigo comprimir de alguna forma estos datos para conseguir mayor velocidad.

Vale perfecto conseguí saltarme el proxy, pero quiero ir mas allá, quiero saltármelo de otra manera. Me gustaría hacer una pagina web al estilo http://proxyweb.com.es/ pero como funciona esta web? como lo hacen? por php? tor? no se... alguna idea?