Re: Tentative d'intrusion ssh

[Philippe Marzouk <phil-antispam@ozigo.org>]

On Tue, Aug 10, 2004 at 08:39:54PM +0200, Corwin wrote:
> Bonjour à tous,
> 
> Voilà, j'ai un petit soucis que je n'avais pas avant (ou alors, je l'avais
> mais je ne l'avais pas remarqué)
> Dans mes log, je trouve fréquement ( 5 à 10 fois par jour) ce genre de
> choses :
> 
> Aug  8 11:34:04 passerelle sshd[22508]: PAM-listfile: Refused user test for
> service ssh
> Aug  8 11:34:06 passerelle sshd[22508]: Failed password for test from
> 68.73.134.109 port 34454 ssh2
> Aug  8 11:34:24 passerelle sshd[22518]: PAM-listfile: Refused user root for
> service ssh
> Aug  8 11:34:24 passerelle PAM_unix[22518]: authentication failure;
> (uid=0) -> root for ssh service
> Aug  8 11:34:26 passerelle sshd[22518]: Failed password for root from
> 68.73.134.109 port 34991 ssh2
> Aug  8 11:34:30 passerelle sshd[22520]: PAM-listfile: Refused user root for
> service ssh
> Aug  8 11:34:30 passerelle PAM_unix[22520]: authentication failure;
> (uid=0) -> root for ssh service
> Aug  8 11:34:32 passerelle sshd[22520]: Failed password for root from
> 68.73.134.109 port 35119 ssh2
> Aug  8 11:34:35 passerelle sshd[22522]: PAM-listfile: Refused user root for
> service ssh
> Aug  8 11:34:35 passerelle PAM_unix[22522]: authentication failure;
> (uid=0) -> root for ssh service
> Aug  8 11:34:37 passerelle sshd[22522]: Failed password for root from
> 68.73.134.109 port 35257 ssh2
> Aug  8 11:34:39 passerelle sshd[22524]: PAM-listfile: Refused user test for
> service ssh
> Aug  8 11:34:39 passerelle PAM_unix[22524]: authentication failure;
> (uid=0) -> test for ssh service
> Aug  8 11:34:41 passerelle sshd[22524]: Failed password for test from
> 68.73.134.109 port 35354 ssh2
> 
> Ma question est la suivante, que cherchent-ils à faire exactement ??????
> Ils pensent pouvoir se connecter sans mot de passe avec l'utilisateur test
> ou encore en root (déjà autoriser root en ssh, faut être polio !!)
> Ou bien, c'est juste pour voir quelle version de ssh j'utilise pour
> exploiter telle ou telle faille ???
> 
> J'avoue que je ne comprends pas bien la démarche. Si quelqu'un peut
> m'eclairer ..
> 

Voici un lien qui a été donné sur debian-user qui explique un peu la
chose:

http://www.securityfocus.com/archive/75/370288/2004-07-31/2004-08-06/2

Philippe