V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
牛客网
rpxwa
V2EX  ›  信息安全

网络世界险恶,暴露在 9022 端口、九位纯数字密码的派, ssh 登不上了

  •  
  •   rpxwa · 42 天前 · 6485 次点击
    这是一个创建于 42 天前的主题,其中的信息可能已经有所发展或是发生改变。
    第 1 条附言  ·  42 天前
    九位纯数字是光速,查了下确实是弱口令
    71 条回复    2020-09-26 11:50:16 +08:00
    Osk
        1
    Osk   42 天前 via Android
    为什么不能是派坏了呢 /doge/
    liberty1900
        2
    liberty1900   42 天前 via Android
    什么派,树莓派吗
    a22271001
        3
    a22271001   42 天前 via Android
    用显示器或者 ttl 线先排除一下不是 pi 或者 tf 卡挂了……
    wtks1
        4
    wtks1   42 天前 via Android
    先回去接上显示器看看是不是 tf 卡坏了
    MeteorCat
        5
    MeteorCat   42 天前 via Android   ❤️ 5
    乐观点,说不定是树莓派过热烧坏呢
    rpxwa
        6
    rpxwa   42 天前   ❤️ 1
    @Osk
    @liberty1900
    @a22271001
    @wtks1

    是个现在距离我上千公里的香橙派…

    它的 22 端口被我用 frp 暴露在了云主机的 9022,
    如今我自己密钥登录不了,输密码反馈错误,
    在 frp 控制台还能看到派在线且有好几兆流量进出,

    应该没有别的可能了…
    nbweb
        7
    nbweb   42 天前 via Android   ❤️ 1
    最好的办法就是顺丰快递过来,检查一下重新设置
    ritaswc
        8
    ritaswc   42 天前
    说不定烧坏了,我都烧了好几张卡了。
    vibbow
        9
    vibbow   42 天前
    你需要 fail2ban
    dsgdsfh
        10
    dsgdsfh   42 天前
    所以楼主密码是 2997xxxxx
    Rehtt
        11
    Rehtt   42 天前 via Android
    暴露公网的设备要禁用密码改用密钥登陆
    fantasylidong
        12
    fantasylidong   42 天前 via Android
    公网不用 key 也太心大了
    rpxwa
        13
    rpxwa   42 天前
    @Rehtt 是该如此
    @fantasylidong 平常是用密钥,但是密码登录没关
    laminux29
        14
    laminux29   42 天前
    我现在的密码,最短的都是 70 位纯数字。懂音乐,跨专业的重要性,得以体现。
    masker
        15
    masker   42 天前 via Android
    @laminux29 闹呢? 这年头跨专业也成了优越性。
    Oceanhime
        16
    Oceanhime   42 天前 via iPad   ❤️ 3
    @laminux29 70 位纯数字,这个位数在大多数网站的账号系统里都不合法吧。登录输密码得输个一分钟,不累吗...
    wangbaiyi
        17
    wangbaiyi   42 天前 via Android
    具体是什么
    mahaonan1994
        18
    mahaonan1994   42 天前 via Android
    @laminux29 发出来看一下?
    laminux29
        19
    laminux29   42 天前
    @masker 对于高端院校来说,跨专业一直比单专业要好。
    laminux29
        20
    laminux29   42 天前
    @Oceanhime 有些系统是支持那么长的。如果你懂乐器,你会发现 70 个音符弹下来并不需要太久。
    laminux29
        21
    laminux29   42 天前
    @mahaonan1994 发出来,让社工库收录吗?
    Leon6868
        22
    Leon6868   42 天前
    @laminux29 #20 可以举几个例子观摩一下吗?:-)
    masker
        23
    masker   42 天前 via Android
    @laminux29 装逼要有个限度嗷
    masker
        24
    masker   42 天前 via Android
    @laminux29 说了那么多 也不举个例子。 啧。
    laminux29
        25
    laminux29   42 天前   ❤️ 11
    @Leon6868
    @masker
    举例子倒是没问题。

    欢乐颂:
    334554321123322---334554321123211---22312343123432125---334554321123211

    献给爱丽丝:
    323237216--1367--3571----3323237216--1367--3176----7123--5432--4321--3217

    黑人抬棺:
    6-6321-7-772176-6171716-617171

    HOP:
    616-616-7565-616-71---117117-6665-117117-6665

    卡路里:
    66-6711-1722-213-321217----66-6711-1722-213-321217

    张信哲信仰:
    356-665536553653----356-617761776176

    喜羊羊:
    355-255-355-255----355-255-355-255
    ihciah
        26
    ihciah   42 天前 via iPhone   ❤️ 2
    @laminux29 人才!
    sunziren
        27
    sunziren   42 天前   ❤️ 5
    又学会了新的装逼技巧
    ruimz
        28
    ruimz   41 天前 via iPhone
    楼上果真人才。记得泰国电影天才枪手里也是的主角也是靠乐谱的
    moln
        29
    moln   41 天前
    e 小调第九交响曲第二乐章(节选):
    355-321-23532-355-321-23211
    masker
        30
    masker   41 天前 via Android
    @laminux29 九宫格键盘对应的数字也是可以的。
    dtgxx
        31
    dtgxx   41 天前   ❤️ 1
    @laminux29 不要把你小学学的简谱,说成懂音乐,专业,懂? 70 位密码,你怕是以为你在几个行业都很牛掰,实际上样样都是个菜鸡吧。
    dtgxx
        32
    dtgxx   41 天前
    @laminux29 放心,就你这装逼的样,sg 里面少不了你的瓜皮信息。
    laminux29
        33
    laminux29   41 天前
    @dtgxx

    1.这个问题下面只是说密码,把音符简化后做成密码,我觉得很符合题意。

    2.看不起简谱么?要不你盲听二泉映月,写成简谱试试?

    3.你觉得社工库里能找到我的详细信息,试试看?

    最后,没实力才是装逼,望知悉。
    gosas
        34
    gosas   41 天前
    我是一个文件的 hash 值然后改动了一些 做密码
    gosas
        35
    gosas   41 天前
    我是一个文件的 MD5 值然后改动了一些 做密码
    masker
        36
    masker   41 天前 via Android
    @laminux29 确实是“高端院校”
    oopc
        37
    oopc   41 天前
    看完评论,晚上的饺子不用找老板要醋了🤣
    eastern
        38
    eastern   41 天前
    frp 出去就挺蛋疼,fail2ban 好像也不太行,last 显示的 IP 地址是 127.0.0.1,不知道是不是我设置的问题,我用了个笨办法,需要 ssh 的时候到主机的安全组放行端口,断开之后把安全组的放行删掉
    mostkia
        39
    mostkia   41 天前
    为什么不试试圆周率呢?想多数位就多少位 [狗头]
    PbCopy111
        40
    PbCopy111   41 天前   ❤️ 1
    我的密码取决于跟姑娘什么时候滚床单,那天的日期加上她生日和名字就是。
    如果分手了,下次就找回密码或者不要这个用户名了。
    我在这里都一年多没换用户名了,哎。。
    falcon05
        41
    falcon05   41 天前 via iPhone   ❤️ 4
    楼层那位 70 位密码的老装逼犯了🤣

    『我有个前端同事,大家都不敢惹他,我和他关系不错,他说,他小时候,很喜欢 HTML/js,后来出问题,被所谓的编程大佬喷地没办法还手。

    他一怒之下把计算机整个体系学完。

    后来编程和他对线,他直接用汇编+操作系统糊对手一脸。

    如果对手也懂汇编+操作系统,他就下降到电路层让对手怀疑人生。』

    https://www.v2ex.com/t/702183#reply170
    falcon05
        42
    falcon05   41 天前 via iPhone   ❤️ 1
    @PbCopy111 你这个逼装得比 70 位密码圆润,我是服的😂
    LokiSharp
        43
    LokiSharp   41 天前 via iPhone
    只允许局域网登录然后设了 OpenVPN 双向证书认证的路过
    realpg
        44
    realpg   41 天前   ❤️ 1
    9022 也没用
    我的所有服务器都是 62000-62999 之间的随机端口,我自己都不记,批量运维工具会自动修改成一个随机的并记录到数据库,需要访问时候直接生成 PUTTY 注册表直接连接,实际上上去服务器发现仍然端口被发现并在 24 小时破解

    可是你破解个锤子,我的系统是 ubuntu,默认就没有 root 用户登录,也没有 root 本地密码,你连我用户名都不知道就在那 24 小时破解 root 无用功……
    realpg
        45
    realpg   41 天前   ❤️ 3
    PS: 现在的破解软件超级智能
    有个客户要求租机安装 windows server 2012R2
    我给安装好,为了安全,改远程桌面端口为 6xxxx 的端口
    然后很快这个客户的 IP 地址就被扫描,不知道用什么办法找到了 6xxxx 端口并 24 小时破解密码
    最热闹的是,当他扫到了这个客户的 6xxxx 端口为远程桌面以后,额外在整个 IP 地址 C 段扫描这个端口,看看还有没有别的机器是这个端口远程桌面,超级智能……
    flynaj
        46
    flynaj   41 天前 via Android
    @realpg 是不是你电脑上装了 360
    vk42
        47
    vk42   41 天前   ❤️ 1
    @realpg 扫端口是基本操作吧,现在还有靠非常规端口来防扫的?把常见用户名禁用,改个生辟用户名不是更有效?
    mahaonan1994
        48
    mahaonan1994   41 天前 via Android
    @mostkia 知道π的太多了,不如试试 e🐶
    okjb
        49
    okjb   41 天前 via iPhone
    @laminux29 人和人的体质是不能一概而论的,一怒之下今天又吹了一个逼。上次是学完计算机,这次是专业乐谱?
    realpg
        50
    realpg   41 天前
    @vk42 #47
    并不是防破解
    互联网上的傻子 ssh 扫描病毒更多,只扫 22 和 1022 的那种,不扫其他端口,windows 下只扫 3389 不带智能扫描

    你要是把端口放默认 22 上,而且服务器存在时间长,上面也没有运营商级外网 ssh 、3389 不正常阻断的 IPS 规则的话,就这么智障扫描器积累多了,24 小时占用服务器带宽数量都非常客观

    而数据中心的话,IPS 显示就这些弱智扫描器占用的总带宽(以境外 IP 长连接或者反复连接 22 3389 持续产生流量计),就能到 300Mbps+,而且是非突发波形,是持续波形,在 95 计费体系下,一个月产生两三千块钱的带宽费额外成本

    修改掉默认后,少了太多弱智级别扫描器,有效降低成本
    AnotiaWang
        51
    AnotiaWang   41 天前 via Android
    @laminux29 #14 草
    AnotiaWang
        52
    AnotiaWang   41 天前 via Android
    我一个名不见经传的小站长,每天都有几万次 ssh 登录请求……想到有这么多人试图 NTR 我的服务器就很无语
    wtks1
        53
    wtks1   41 天前 via Android
    @AnotiaWang 不来个 fail2ban 挡一下吗?把允许失败设为 1,扫描时间 10 秒一次,封禁时间十年....
    darknoll
        54
    darknoll   41 天前
    这不中毒了么
    qanniu
        55
    qanniu   41 天前 via iPad
    @PbCopy111 万一今年这密码泄漏了,你又没新妹子怎么办?
    AnotiaWang
        56
    AnotiaWang   41 天前 via Android
    @wtks1 #53 我试试,感谢
    xinyana
        57
    xinyana   41 天前 via Android
    只要是数字,不管几倍光速都不行
    PbCopy111
        58
    PbCopy111   41 天前
    @qanniu #55 那就只能退而求其次,最近一个拉过手的了。
    wslzy007
        59
    wslzy007   41 天前
    不暴露在公网不就完了吗
    wty
        60
    wty   40 天前 via Android
    今天看了下我的 Windows 登陆记录,发现有人一直在扫我的 rdp 。。。。都换了端口居然还是被扫到了。。。
    milkpuff
        61
    milkpuff   40 天前
    我的 vnc 被人疯狂扫描。隔三岔五就登不上。
    webshe11
        62
    webshe11   40 天前
    所以用几十位密码的,为啥不用公钥,然后禁止密码登录呢
    (再加上 fail2ban 效果更好
    qanniu
        63
    qanniu   40 天前 via iPhone
    @PbCopy111 新技能 get !
    吹个牛逼,照兄弟的办法,我要每月换次密码.
    只好勉为其难,尽量少去修车
    realpg
        64
    realpg   40 天前   ❤️ 1
    @webshe11 #62
    即使用了公钥,也很难禁止密码登录
    总有些时候,你会遇到在外没有自己设备,网络设备需要维护的情况
    没有自己设备,就么有内置私钥的快速连接方法
    等把私钥折腾完,SLA 都降低了多少个百分点了
    1if5ty3
        65
    1if5ty3   40 天前
    吓得我赶紧登了家里的派。纯英文,至今没问题
    webshe11
        66
    webshe11   39 天前
    @realpg 这种可以考虑在手机上搞个 SSH 客户端,比如 Android 的 JuiceSSH,Termux 也行,提前配置好
    如果条件不允许,那没办法,凉拌(逃
    realpg
        67
    realpg   39 天前
    @webshe11 #66
    手机上都有 juicessh 证书配置好的
    总有一些客户办公室之类的 手机信号不行的时候 但是可以方便的借到临时电脑
    webshe11
        68
    webshe11   38 天前
    @realpg 那咋办嘛
    realpg
        69
    realpg   38 天前
    @webshe11 #68
    有个密码登录方式就行了啊
    很多时候 只是不方便来回折腾密钥,或者没有时间折腾
    Leon6868
        70
    Leon6868   35 天前 via Android
    @laminux29 请问有哪些网站支持那么长的密码?
    laminux29
        71
    laminux29   35 天前
    @Leon6868 对于不支持这么长的接口,可以自己加一层中间映射。
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2765 人在线   最高记录 5168   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 26ms · UTC 08:35 · PVG 16:35 · LAX 01:35 · JFK 04:35
    ♥ Do have faith in what you're doing.