[plamo:12744] Re: SSH-1.0-SSH_Version_Mapper (scanssh)

[早間義博]

> 
> MOUE＠雨は小降りになったが、風がすごい、暴風雨注意報がでてるです。
> 

家では青空も見え穏やかです。

> うちでは、ssh の 22 番だけ開けてあるのですが、最近 syslog に
> こんなのが出てきました。
> 

私のところは22 と 80 番を開けているのですが２２日から２３日にかけ
て（自宅ですが ADSLで２４時間接続しています）
 202.157.132.129 5653 回 （何故こんな回数なのか判りません）
 64.226.255.66     29 回
の22番ポートへのアクセスがありました（他にもありますが１〜２回）。

> sshd[2880]: scanned from 24.132.216.229 with SSH-1.0-SSH_Version_Mapper.  
>             Don't panic.
> sshd[2879]: Did not receive identification string from 24.132.216.229.
> sshd[4739]: Did not receive identification string from 216.234.34.180.
>

sshd[496]: connection from "202.157.132.129"
sshd[12348]: Local disconnected: Connection closed by remote host.
sshd[12348]: connection lost: 'Connection closed by remote host.'

と言う形式です。私は ssh 3.0.1 を使用しているのでメッセージが違う
のかも知れません。

現在は 22 と80 に対する「好ましからざるアクセス」と認めた相手に対
して nmap によるチェックを掛けています。

Interesting ports on  (202.157.132.129):
(The 1515 ports scanned but not shown below are in state: closed)
Port       State       Service
23/tcp     open        telnet                  
25/tcp     open        smtp                    
98/tcp     open        linuxconf               
110/tcp    open        pop-3                   
513/tcp    open        login                   
514/tcp    open        shell                   
515/tcp    open        printer                 
901/tcp    open        samba-swat              

Remote operating system guess: Linux 2.1.122 - 2.2.14

また、この IP はシンガポールに割り当てられています。
また、64.226.255.66 は逆引き可能で ftp.russianlondon.com
と言うホスト名で web もアクセス可能ですが文字化け（キリル文字？）
のようで読めません。

> The SSH-1.0-SSH_Version_Mapper is from a scanning tool called scanssh.
> You can find it at http://www.monkey.org/~provos/scanssh/

これを持ってきて試してみようと思います。