Bonjour à tous,
Voilà j’ai profité il y a quelques temps d’une offre OVH pour un petit serveur VKS. J’y avait installé rapidement un serveur lighttpd, mais rien configuré.
Cela fait quelques semaines maintenant que je ne m’y suis pas connecté par faute de temps. Je décide de m’y connecter il y a cinq minutes, et en essayant un petit apt-get update, je remarque cette erreur :
Et je remarque que le fichier n’est pas vide… :
Je décommentes et parvient à lancer la commande.
Je trouve ça suspect, je vais voir dans les logs, et plus particulièrement dans le auth.log:
Nov 6 11:58:59 vks18631 sshd[17385]: Failed password for root from 198.23.147.95 port 50243 ssh2
Nov 6 11:59:01 vks18631 sshd[17387]: Address 198.23.147.95 maps to host.colocrossing.com, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Nov 6 11:59:01 vks18631 sshd[17387]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=198.23.147.95 user=root
Nov 6 11:59:03 vks18631 sshd[17387]: Failed password for root from 198.23.147.95 port 50394 ssh2
Nov 6 11:59:04 vks18631 sshd[17389]: Address 198.23.147.95 maps to host.colocrossing.com, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Nov 6 11:59:04 vks18631 sshd[17389]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=198.23.147.95 user=root
Nov 6 11:59:06 vks18631 sshd[17389]: Failed password for root from 198.23.147.95 port 50593 ssh2
Nov 6 11:59:10 vks18631 sshd[17391]: Address 198.23.147.95 maps to host.colocrossing.com, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Je vois également d’autres accès root toutes les heures, réussies. Par contre XX.XX.XX.XX est mon accès:
Nov 7 07:27:01 vks18631 CRON[17780]: pam_unix(cron:session): session opened for user root by (uid=0)
Nov 7 07:27:01 vks18631 CRON[17780]: pam_unix(cron:session): session closed for user root
Nov 7 08:27:01 vks18631 CRON[17795]: pam_unix(cron:session): session opened for user root by (uid=0)
Nov 7 08:27:01 vks18631 CRON[17795]: pam_unix(cron:session): session closed for user root
Nov 7 09:27:01 vks18631 CRON[17810]: pam_unix(cron:session): session opened for user root by (uid=0)
Nov 7 09:27:01 vks18631 CRON[17810]: pam_unix(cron:session): session closed for user root
Nov 7 10:27:01 vks18631 CRON[17825]: pam_unix(cron:session): session opened for user root by (uid=0)
Nov 7 10:27:01 vks18631 CRON[17825]: pam_unix(cron:session): session closed for user root
Nov 7 10:58:33 vks18631 sshd[17834]: Accepted password for root from XX.XX.XX.XX port 31354 ssh2
Nov 7 10:58:33 vks18631 sshd[17834]: pam_unix(sshd:session): session opened for user root by (uid=0)
Il est vrai que je n’ai rien paramétré du tout sur ce serveur, j’attendais d’avoir un peu de temps pour moi, mais je crois qu’il va falloir que je le sécurise un peu… Qu’en pensez-vous?
quelques infos supplémentaires:
uname -a
Linux vks18631 2.6.32-042stab059.7 #1 SMP Tue Jul 24 19:12:01 MSK 2012 x86_64 GNU/Linux
Edit: il semblerait que ce soit cette tâche cron qui soit à l’origine de la connexion :
Nov 7 09:07:01 vks18631 -- MARK --
Nov 7 09:27:01 vks18631 -- MARK --
Nov 7 09:27:01 vks18631 /USR/SBIN/CRON[17811]: (root) CMD (cd / && run-parts --report /etc/cron.hourly)
Nov 7 09:47:01 vks18631 -- MARK --
Nov 7 10:07:02 vks18631 -- MARK --
Nov 7 10:27:01 vks18631 /USR/SBIN/CRON[17826]: (root) CMD (cd / && run-parts --report /etc/cron.hourly)
Nov 7 10:47:01 vks18631 -- MARK --
Nov 7 11:00:33 vks18631 crontab[17915]: (root) LIST (root)
Nov 7 11:18:05 vks18631 crontab[18248]: (root) LIST (root)
Nov 7 11:27:01 vks18631 /USR/SBIN/CRON[18429]: (root) CMD (cd / && run-parts --report /etc/cron.hourly)
Rien de malheureux alors?
.