Хакеры хозяйничают в общей папке

[GayazOFF]

Добрый день, подскажите начинающему как защититься. Были открыты SSH их закрыл, раньше в логах авторизации были SSH соединения, сейчас не разбираюсь и не могу понять откуда заходят, подозрения, что через саму SAMBA как то могут заходить через инет???

Вот в день атаки вируса CHECKMATE какие подозрительные действия в логах SAMBA

Код: [Выделить]

Aug  2 17:15:04 sysadmin smbd_audit: nobody|192.168.100.250|open|ok|r|.
Aug  2 17:15:04 sysadmin smbd_audit: message repeated 52 times: [ nobody|192.168.100.250|open|ok|r|.]
Aug  2 17:15:12 sysadmin systemd[1]: Started CUPS Scheduler.
Aug  2 17:17:01 sysadmin CRON[25540]: (root) CMD (   cd / && run-parts --report /etc/cron.hourly)
Aug  2 17:28:12 sysadmin systemd[1]: Started CUPS Scheduler.
Aug  2 17:54:13 sysadmin systemd[1]: message repeated 2 times: [ Started CUPS Scheduler.]
Aug  2 18:00:03 sysadmin systemd[1]: Starting Daily apt activities...
Aug  2 18:00:04 sysadmin systemd[1]: Started Daily apt activities.
Aug  2 18:00:04 sysadmin systemd[1]: apt-daily.timer: Adding 41min 40.832059s random time.
Aug  2 18:00:04 sysadmin systemd[1]: apt-daily.timer: Adding 10h 45min 933.345ms random time.
Aug  2 18:07:14 sysadmin systemd[1]: Started CUPS Scheduler.
Aug  2 18:17:01 sysadmin CRON[26260]: (root) CMD (   cd / && run-parts --report /etc/cron.hourly)
Aug  2 18:19:25 sysadmin smbd[26272]: [2022/08/02 18:19:25.408679,  0] ../source3/smbd/sesssetup.c:855(reply_sesssetup_and_X)
Aug  2 18:19:25 sysadmin smbd[26272]:   reply_sesssetup_and_X:  Rejecting attempt at 'normal' session setup after negotiating spnego.
Aug  2 18:20:14 sysadmin systemd[1]: Started CUPS Scheduler.
Aug  2 18:21:24 sysadmin smbd[26290]: [2022/08/02 18:21:24.795910,  0] ../source3/smbd/sesssetup.c:855(reply_sesssetup_and_X)
Aug  2 18:21:24 sysadmin smbd[26290]:   reply_sesssetup_and_X:  Rejecting attempt at 'normal' session setup after negotiating spnego.
Aug  2 18:33:15 sysadmin systemd[1]: Started CUPS Scheduler.
Aug  2 18:59:16 sysadmin systemd[1]: message repeated 2 times: [ Started CUPS Scheduler.]
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|open|ok|w|!CHECKMATE_DECRYPTION_README
Aug  2 19:03:34 sysadmin smbd_audit: message repeated 7 times: [ nobody|5.44.41.13|open|ok|w|!CHECKMATE_DECRYPTION_README]
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|pwrite|ok|Архитектор/скачка/Исполнительная Региональ/Парк.23А/!CHECKMATE_DECRYPTION_README
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|pwrite|ok|Архитектор/скачка/!CHECKMATE_DECRYPTION_README
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|pwrite|ok|Архитектор/скачка/Исполнительная Региональ/Парк.3/!CHECKMATE_DECRYPTION_README
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|pwrite|ok|Архитектор/СметаТорос/!CHECKMATE_DECRYPTION_README
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|open|ok|w|акт на скрытые работы .xls
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|open|ok|w|торг.центр1.dwg
Aug  2 19:03:34 sysadmin smbd_audit: nobody|5.44.41.13|pwrite|ok|Архитектор/скачка/Исполнительная Региональ/Лен.62А/!CHECKMATE_DECRYPTION_README

Вот в логах авторизации в этот же период времени

(Нажмите, чтобы показать/скрыть)

Код: [Выделить]

Aug  2 17:17:01 sysadmin CRON[25539]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 17:17:01 sysadmin CRON[25539]: pam_unix(cron:session): session closed for user root
Aug  2 18:17:01 sysadmin CRON[26259]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 18:17:01 sysadmin CRON[26259]: pam_unix(cron:session): session closed for user root
Aug  2 19:17:02 sysadmin CRON[26971]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 19:17:02 sysadmin CRON[26971]: pam_unix(cron:session): session closed for user root
Aug  2 20:17:01 sysadmin CRON[27676]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 20:17:01 sysadmin CRON[27676]: pam_unix(cron:session): session closed for user root
Aug  2 21:17:01 sysadmin CRON[28384]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 21:17:01 sysadmin CRON[28384]: pam_unix(cron:session): session closed for user root
Aug  2 22:17:01 sysadmin CRON[29063]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 22:17:01 sysadmin CRON[29063]: pam_unix(cron:session): session closed for user root
Aug  2 23:17:01 sysadmin CRON[30074]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 23:17:01 sysadmin CRON[30074]: pam_unix(cron:session): session closed for user root
Aug  2 23:21:01 sysadmin CRON[30135]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  2 23:21:01 sysadmin CRON[30135]: pam_unix(cron:session): session closed for user root
Aug  3 00:17:01 sysadmin CRON[30809]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  3 00:17:01 sysadmin CRON[30809]: pam_unix(cron:session): session closed for user root
Aug  3 01:17:01 sysadmin CRON[31524]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  3 01:17:01 sysadmin CRON[31524]: pam_unix(cron:session): session closed for user root
Aug  3 02:17:01 sysadmin CRON[32210]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  3 02:17:01 sysadmin CRON[32210]: pam_unix(cron:session): session closed for user root
Aug  3 03:17:01 sysadmin CRON[453]: pam_unix(cron:session): session opened for user root by (uid=0)
Aug  3 03:17:01 sysadmin CRON[453]: pam_unix(cron:session): session closed for user root


[БТР]

через саму SAMBA как то могут заходить через инет???

если SAMBA выставлена в интернет, почему нет?

[bezbo]

откуда заходят

Код: [Выделить]

sudo netstat -ntulp?

и проверить снаружи открытые порты, например https://dnschecker.org/port-scanner.php

[GayazOFF]

?

и проверить снаружи открытые порты, например https://dnschecker.org/port-scanner.php

Ответ на команду sudo netstat -ntulp

Код: [Выделить]

Активные соединения с интернетом (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State       PID/Program name
tcp        0      0 0.0.0.0:39669           0.0.0.0:*               LISTEN      4455/anydesk   
tcp        0      0 127.0.0.1:631           0.0.0.0:*               LISTEN      18956/cupsd     
tcp        0      0 0.0.0.0:9276            0.0.0.0:*               LISTEN      19363/sshd     
tcp        0      0 0.0.0.0:445             0.0.0.0:*               LISTEN      19945/smbd     
tcp        0      0 0.0.0.0:7070            0.0.0.0:*               LISTEN      4455/anydesk   
tcp        0      0 0.0.0.0:139             0.0.0.0:*               LISTEN      19945/smbd     
tcp        0      0 127.0.0.1:54321         0.0.0.0:*               LISTEN      1449/avgtcpd   
tcp        0      0 127.0.0.1:54322         0.0.0.0:*               LISTEN      1449/avgtcpd   
tcp6       0      0 ::1:631                 :::*                    LISTEN      18956/cupsd     
tcp6       0      0 :::9276                 :::*                    LISTEN      19363/sshd     
tcp6       0      0 :::445                  :::*                    LISTEN      19945/smbd     
tcp6       0      0 :::139                  :::*                    LISTEN      19945/smbd     
udp        0      0 0.0.0.0:631             0.0.0.0:*                           18957/cups-browsed
udp        0      0 192.168.100.255:137     0.0.0.0:*                           19169/nmbd     
udp        0      0 192.168.100.254:137     0.0.0.0:*                           19169/nmbd     
udp        0      0 0.0.0.0:137             0.0.0.0:*                           19169/nmbd     
udp        0      0 192.168.100.255:138     0.0.0.0:*                           19169/nmbd     
udp        0      0 192.168.100.254:138     0.0.0.0:*                           19169/nmbd     
udp        0      0 0.0.0.0:138             0.0.0.0:*                           19169/nmbd     
udp        0      0 0.0.0.0:51372           0.0.0.0:*                           25309/avahi-daemon:
udp        0      0 0.0.0.0:5353            0.0.0.0:*                           25309/avahi-daemon:
udp        0      0 0.0.0.0:50001           0.0.0.0:*                           4455/anydesk   
udp6       0      0 :::5353                 :::*                                25309/avahi-daemon:
udp6       0      0 :::60324                :::*                                25309/avahi-daemon:

Интресный сайт, не знал про него, вот результат

Код: [Выделить]

21 FTP - Timed-Out
22 SSH - Timed-Out
23 Telnet - Timed-Out
25 SMTP - Timed-Out
53 DNS - Timed-Out
80 HTTP - Timed-Out
110 POP3 - Timed-Out
115 SFTP - Timed-Out
135 RPC - Timed-Out
139 NetBIOS - Open
143 IMAP - Timed-Out
194 IRC - Timed-Out
443 SSL - Timed-Out
445 SMB - Open
1433 MSSQL - Timed-Out
3306 MySQL - Timed-Out
3389 Remote Desktop - Timed-Out
5632 PCAnywhere - Timed-Out
5900 VNC - Timed-Out
25565 Minecraft - Timed-Out

Получается 139 NetBIOS и 445 SMB открыты. Подскажите пожалуйста как их безопасно выключить при том, что данный комп расшарен общими папками и раздает инет в сеть.

[AnrDaemon]

Правильно настроить Самбу.

Код: [Выделить]

[global]
interfaces = 192.168.100.0/24


[GayazOFF]

[global]
interfaces = 192.168.100.0/2

А данный код проканает ли если к примеру у меня есть подсеть еще 192.168.0... роутер раздает wifi иногда кто подключен к нему тоже по сети в папку обращаются, у меня сейчас стоят такие настройки конфига:

Код: [Выделить]

[global]
#nt pipe support = no
netbios name = sysadmin
dns proxy = no
hosts allow = 192.168.100., 192.168.0., 192.168.1.
hosts denny 192.168.100.111
interfaces = enp3s0
auto services = global
os level = 20
map to guest = bad user
server string = sysadmin
security = user
workgroup = RJS
guest account = nobody
name resolve order = bcast host
wins support = no
syslog = 1
log file = /var/log/samba/log.%|
max log size = 5000
max log size = 1000
syslog only = no
dos charset = cp866
unix charset = UTF-8

в данном коде hosts allow = 192.168.100., 192.168.0., 192.168.1. вообще как будто никак не работает, то есть я специально с ноута по wifi пробовал заходить по ip адресу шары когда в это строчке была только подсеть hosts allow = 192.168.100. я все таки мог без проблем заходить с подсети 192.168.0...

[AnrDaemon]

hosts denny 192.168.100.111

Запустите

Код: [Выделить]

samba-tool --testparm --suppress-promptУдивитесь.

[GayazOFF]

hosts denny 192.168.100.111

Запустите

Код: [Выделить]

samba-tool --testparm --suppress-promptУдивитесь.

А что дает эта команда? Вот ее результат:

Код: [Выделить]

samba-tool --testparm --suppress-prompt
Usage: samba-tool <subcommand>

samba-tool: error: no such option: --testparm


[Usermaster]

Там не надо --

Код: [Выделить]

samba-tool --help

Код: [Выделить]

samba-tool testparm
И они вроде как не комбинируются, по отдельности надо

Код: [Выделить]

samba-tool processes

[AnrDaemon]

samba-tool testparm

Сорри.

[GayazOFF]

samba-tool testparm

он написал это

Код: [Выделить]

Unknown parameter encountered: "hosts denny"
Ignoring unknown parameter "hosts denny"
You have some share names that are longer than 12 characters. These may not be accessible to some older clients. (Eg. Windows9x, WindowsMe, and not listed in smbclient in Samba 3.0.)
Press enter to see a dump of your service definitions
и вывел мне мой конфиг, что это значит?
я так понял он не знает параметр hosts denny и просто игнорит его? не суть, это исключение уже не актуально и давно, мне бы закрыть порты 139 NetBIOS и 445 SMB, при этом чтобы продолжалась раздача инета в сеть и шара работала

[AnrDaemon]

Я уже с казал, что сделать.

[GayazOFF]

Я уже с казал, что сделать.

пропишу вот это в конфиге

Код: [Выделить]

interfaces = 192.168.100.0/24а на сам сервак никто не залезет по портам 139 NetBIOS и 445 SMB?

и еще, могу ли я прописать чтобы работало:

Код: [Выделить]

interfaces = 192.168.100.0/24, 192.168.0.0/24 ? то есть мне еще подсеть нужна или просто прописать друг под другом?

Код: [Выделить]

interfaces = 192.168.100.100/24
interfaces = 192.168.100.0/24просто друг под другом не работало в случае с hosts allow вообще никого не пускало

[AnrDaemon]

А сообразить, что для решения вашей задачи нужно немного больше информации - никак?

Код: [Выделить]

ip addr показывайте.

[GayazOFF]

А сообразить, что для решения вашей задачи нужно немного больше информации - никак?

Код: [Выделить]

ip addr показывайте.

Код: [Выделить]

ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: enp3s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 1000
    link/ether 00:80:48:1a:61:13 brd ff:ff:ff:ff:ff:ff
    inet 192.168.100.254/24 brd 192.168.100.255 scope global enp3s0
       valid_lft forever preferred_lft forever
    inet6 fe80::280:48ff:fe1a:6113/64 scope link
       valid_lft forever preferred_lft forever
3: enp2s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 00:24:1d:85:4b:a6 brd ff:ff:ff:ff:ff:ff
    inet 88.56.133.30/24 brd 88.56.133.255 scope global enp2s0
       valid_lft forever preferred_lft forever
    inet6 fe80::224:1dff:fe85:4ba6/64 scope link
       valid_lft forever preferred_lft forever
4: wlp3s1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc pfifo_fast state DOWN group default qlen 1000
    link/ether 00:06:4f:5a:5c:14 brd ff:ff:ff:ff:ff:ff
айпишники я изменил из выдачи