[klamkaodokna]

siema, kupilem sobie taniego VPSa bo chce sobie postawic na nim kilka skryptow etc, a przy okazji do nauki obslugi takich rzeczy. Postawilem sobie na nim postgresql i moja uwage przykulo to, ze wylacza sie po jakims czasie nieaktywnosci. Za pomoca chata gpt ustalilismy, ze w te kilka dni zostal moj serwer zarazony malwarem kinsing (to moj pierwszy serwer i minelo troche dni zanim ogarnalem, ze bylem n----------y brute forcem na ssh - gdzie mialem dosyc slownikowe haslo - i dowiedzialem sie o istnieniu czegos takiego jak fail2ban).
Pora przejsc do pytan do bardziej doswiadczonych:

1. koniecznie teraz powinienem reinstalowac system? troche mi sie nie chce bo na razie nic super waznego tam nie bedzie ale domyslam sie, ze moze byc tam tez jakis backdoor/c2, ktorego jako zielony uzytkownik linuxa nie znajde, dobrze rozumuje?
2. czy jesli mialem zainstalowane tam praktycznie tylko postgresql (na ktorym przez pewien czas mialem odblokowane nasluchiwanie oraz remote access z kazdego IP) to i tak na >99% wektorem ataku bylo ssh skoro mialem tam proste haslo?
3. czy ta stronka https://www.passwordmonster.com/ jest dobrym wskaznikiem sily hasla?
4. czy gdybym stawial w przyszlosci na tym vpsie web apke to realnie bezpieczniej jest to robic z oddzielnego konta niz z roota czy to takie porady-pic na wode?

#security #vps #it #cyberbezpieczenstwo #cybersecurity #informatyka #malware #linux

[betime200]

@klamkaodokna: najlepiej wyłącz logowanie ssh hasłem (logowanie po ssh tylko kluczami), jeśli masz stałe IP to firewall, który zezwala tylko na to jedno IP. No i tak - reinstall systemu - jesli ktoś Ci wbił na roota to sam raczej nie ogarniesz co dokładnie mógł nabroić (choć prawdopodobnie backdoora nie ma, ale lepiej być pewnym).
Ad 4 no wiadomo, żę najbezpieczniej mieć róznych userów, którzy mają dostęp tylko do tego,

[balrog84]

@klamkaodokna: Odnośnie hasła, to ustal po prostu hasło na kilkanaście znaków, które nie jest słownikowe, np. jakieś zdanie bez sensu, przeplecione znakiem cyfrą, coś takiego, nie musisz sprawdzać w żadnym serwisie czy jest dostatecznie trudne do złamania, to bez sensu. Nie musi być też trudne w zapamiętaniu czy składać się z krzaczków. Wystarczy, że jest dłuższe niż powiedzmy 12 znaków.

Jeśli stosujesz hasło, daj tam innego użytkownika, którego wpuszczasz, ale

[emitar]

@klamkaodokna wiem, że tak i tak skanują porty, ale dobrze jest zmienić domyślny port 22 na jakiś inny

[BreathDeath]

@klamkaodokna: 1. Tak, reinstalacja.
2. Wektorem ataku mogl być także postgres.
3. Nie wiem, nie używaj haseł w ssh, loguj się kluczami.
4. No tak, wszystko powinno mieć jak najniższe uprawnienia.

[klamkaodokna]

dzięki za odpowiedzi,

Wektorem ataku mogl być także postgres.

@BreathDeath: mógłbyś napisać mniej więcej w jaki sposób? pierwszy raz w życiu mam bliższy kontakt z tymi bazami

[BreathDeath]

@klamkaodokna: Masz chociażby RCE jak masz podatną wersję: https://book.hacktricks.xyz/network-services-pentesting/pentesting-postgresql
W psql możesz mieć dane, które pozwalają Ci wbić na serwer innymi drogami, np. klucze ssh, hasła, loginy, etc.

[kpv15]

@klamkaodokna:
1. reinstall jest mocno zalecany
2. kto to wie, mógł być również postgresql jeżeli jest dostępna jakaś luka
3. nie kojarzę, ale do ssh nie używał bym i tak hasła
4. jezeli miałes postawiony postgresql jako root to spokojnie to mógł być gwóźdź do trumny. Jako root stawiasz minimum bo root może wszystko.
Ogólnie widzę, że jesteś świeżak więc

[klamkaodokna]

Jeżeli nie masz aplikacji która musi z niej korzystać to ukryj sobie ją za firewallem

@kpv15: thx, a jesli bym stawial kiedys jakas web apke, ktora by z niej korzystala to bezpieczniej jest obslugiwac baze poprzez serwer express na innym porcie niz webapka, czy to nic nie zmienia?

[kpv15]

@klamkaodokna jak dla mnie nic nie zmienia. Grunt żebyś bazy nie wystawiał na zewnątrz. Jak bardziej chciał byś się zabezpieczyć to zainteresuje się konteneryzacją i dockerem bo to jest prawdziwy game changer

[COVID-21]

@klamkaodokna: Jesli baze i webapke masz na tej samej maszynie to dalej dajesz dostep do niej tylko lokalnie. Jak na roznych to juz zalezy od sytuacji gdzie to trzymasz vlan/vrack albo spinasz vpsy swoim vpnem.