SSH

The Register报道，在过去两个月中，垃圾邮件呈现了爆炸性的增长，一些机构得到的数据是，垃圾邮件的数量增加了4.5倍。作者并推测，这种现象与近来流行的新型攻击方式——botnet有关。

当然，绝对不仅仅是botnet。近来，垃圾邮件的发送者也改进了他们的发送技术。通过摘取邮件列表内的信息加以随机混合拼装，并透过可变的图片背景色来掩盖真实的图片，垃圾邮件发送者已经能够有效地绕过反垃圾邮件的Bayesian分析等新兴(2002年左右开始大量投入应用)技术了。

说说这周发生的事情。

这周初步解决了困扰很久的ssh密码扫描蠕虫的问题。习惯上我是上来就禁止口令登录的，所以这种扫描(据蜘蛛说，这是一种叫做scanssh的虫子，不过我手头没有蜜罐资源，所以也就没有捕捉样本)没什么用，不过这种虫子讨厌的地方在于它能够花费几个小时的时间去穷举你的口令，而且是不同的帐号，这会产生几百KB的日志。

之前一直有些头疼的ssh虫问题，很令人吃惊地找到了一个解决方法。在扫描感染IP的TCP特征之后，发现这些机器的共同特征——他们都用的是Linux。

很幸运地，我不使用Linux，FreeBSD附带的pf提供了一项非常有意思的强大能力(这项能力源于OpenBSD的pf)，即按操作系统来控制访问。其它用法还包括例如，禁止没有打补丁的Windows访问，让不同用的操作系统访问得到不同的内容等等。

考虑到Linux如此容易感染ssh蠕虫，我决定采用下述pf策略：

block in quick proto tcp from any os “Linux” to any port ssh

决定reboot之前彻底封禁来自这些机器的IP包。

58.181.2.72
60.31.211.5
60.248.202.210
61.154.12.95
67.15.164.194
67.15.197.26
202.8.85.116
202.111.128.231
210.13.41.1
210.29.163.57
210.117.6.185
210.221.221.57
211.95.160.46
211.99.194.3
211.147.224.41
211.150.123.229
218.1.65.233
218.23.49.228
218.31.157.27
218.55.227.175
218.188.0.56
218.249.15.254

传统上，SCM系统的用户登录有两种方式，一种是通过启动自己对应的服务，如cvs的cvs pserver或svn的svnserve、Apache DAV等等，而另一种方式是ssh，即不启动服务，而使用ssh来完成身份认证工作，如果通过，则通过ssh远程启动对应的服务，如cvs server和svnserve。

看看用的都是一些什么不上档次的用户名。。。

今天又上了一课，其实还是那句话——安全总是从最薄弱的环节突破的，操作系统能帮你解决的都是它必须解决的问题(当然，那种每季度都能出内核缓冲区溢出的除外，比如Linux)，而此后真正的安全性则取决于用户对安全到底有多少了解。

我们今天发布了 FreeBSD SA-06:09.sshd，这是一个针对 sshd 的 DoS 攻击。如果您使用的是 FreeBSD 5.3、5.4或5.5-PRERELEASE(到昨天之前的版本)，请立即升级到最新的安全分支。

The F5 gateway has became incredibly errornous after they migrated from FreeBSD to Linux, so I call this a bad move.

In the Good Old Time(TM), they run FreeBSD on their boxes, and I have never encounted a single problem when doing everyday work. After they migrate to Linux, they start to inject error packets into your connection and therefore, SSH is broken. This is critical for development, IMHO, and prevented us from being able to work.

今天有人跟我說他裝的sshd2莫名其妙地起了100多進程，登上去一看果然如此，十分吊詭。用OpenSSH就一點事都沒有，於是開始建議所有人改回OpenSSH(過去OpenSSH確實有過一些安全上的不良記錄，不過在OpenBSD一群人的努力之下已經兩年沒有出過安全問題了，所以我認爲可以重新開始信任這一軟体)