Регистрация Войти
Рейтинг:3
avatar Server

Неожиданные записи в author_keys — мой сервер скомпрометирован?

флаг cn
waffl

Недавно я развернул новый облачный сервер и установил докку. Я установил два простых приложения: PHP и Vue/статическое приложение, а также плагин для letsencrypt.

Все было хорошо, но через два дня я заметил три необычные записи в авторизованные_ключи файл для пользователя dokku. Мне интересно, был ли мой сервер каким-то образом скомпрометирован или я слишком остро реагирую:

Ключи были отредактированы:

command="FINGERPRINT=SHA256:<отредактировано> NAME=\"admin1\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",без-агент-переадресации,без-пользователя-управления,без-X11-переадресации,нет -port-forwarding ssh-rsa <отредактированный публичный ключ>
command="FINGERPRINT=SHA256:<отредактировано> NAME=\"web-admin1\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",без-агент-переадресации,без-пользователя-управления,без-X11-переадресации ,no-port-forwarding ssh-rsa <отредактированный публичный ключ>
command="FINGERPRINT=SHA256:<отредактировано> NAME=\"web-admin2\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",без-агент-переадресации,без-пользователя-rc,без-X11-переадресации ,no-port-forwarding ssh-rsa <отредактированный ключ публикации> jondo@debian

У Докку есть команда ssh особенность (соединять) но я никогда не использовал его.

Смотря на прошлой и .bash_history не обнаруживает ничего необычного и /var/log/auth.log показывает бесконечные попытки грубой силы, с которыми, я думаю, сталкиваются все общедоступные серверы, но никаких необычных входов в систему.

111
1 + 4
флаг pl
Moshe Katz
В документации dokku говорится: «Предупреждение: если вы не завершите настройку через веб-установщик (даже если вы настроили ключи SSH и виртуальные хосты иным образом), ваша установка Dokku останется уязвимой для любого, кто найдет страницу установки и вставит свой ключ. "Может быть это ваша проблема?
2
Ответить
A.B avatar
флаг cl
A.B
Итак, каково текущее содержимое `~dokku/.sshcommand`?
0
Ответить
флаг cn
waffl
@MosheKatz - вы совершенно правы, именно в этом была проблема - после установки я просто пошел дальше и сделал все через командную строку и не смог закрыть процесс веб-установки. Это действительно упоминается в документации (предоставленной ниже), и можно проверить, работает ли установщик, через `ps auxf | grep dokku-installer` - Возможно, вы хотите отправить это как ответ, и я могу пометить его как решенный. @A.B не было файла `.sshcommand`.
1
Ответить
A.B avatar
флаг cl
A.B
@waffl мог быть один, который был стерт.Вы должны проконсультироваться с этим Q / A о скомпрометированных системах: https://serverfault.com/questions/218005/how-do-i-deal-with-a-compromised-server
0
Ответить
Рейтинг:2
avatar Server
флаг pl
Moshe Katz

докку документация говорит:

Предупреждение: если вы не завершите настройку через веб-установщик (даже если вы настроили ключи SSH и виртуальные хосты иным образом), ваша установка Dokku останется уязвимой для любого, кто найдет страницу установки и вставит свой ключ.

Если вы этого не сделали, кто-то (вероятно, с помощью автоматического сканера) нашел эту ссылку и вставил свои ключи.

К сожалению, я недостаточно знаю о dokku, чтобы сказать вам, действительно ли это означает, что ваша система скомпрометирована, но я определенно очень подозреваю, что это так.

0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.