网络世界险恶，暴露在 9022 端口、九位纯数字密码的派， ssh 登不上了

[rpxwa]

九位纯数字是光速，查了下确实是弱口令

[Osk]

为什么不能是派坏了呢 /doge/

[35aZ4P8mT576683q]

什么派，树莓派吗

[a22271001]

用显示器或者 ttl 线先排除一下不是 pi 或者 tf 卡挂了……

[wtks1]

先回去接上显示器看看是不是 tf 卡坏了

[MeteorCat]

乐观点，说不定是树莓派过热烧坏呢

[rpxwa]

@Osk
@liberty1900
@a22271001
@wtks1

是个现在距离我上千公里的香橙派…

它的 22 端口被我用 frp 暴露在了云主机的 9022，
如今我自己密钥登录不了，输密码反馈错误，
在 frp 控制台还能看到派在线且有好几兆流量进出，

应该没有别的可能了…

[nbweb]

最好的办法就是顺丰快递过来，检查一下重新设置

[ritaswc]

说不定烧坏了，我都烧了好几张卡了。

[vibbow]

你需要 fail2ban

[18xlX5iTe9mdoau0]

所以楼主密码是 2997xxxxx

[Rehtt]

暴露公网的设备要禁用密码改用密钥登陆

[fantasylidong]

公网不用 key 也太心大了

[rpxwa]

@Rehtt 是该如此
@fantasylidong 平常是用密钥，但是密码登录没关

[laminux29]

我现在的密码，最短的都是 70 位纯数字。懂音乐，跨专业的重要性，得以体现。

[masker]

@laminux29 闹呢？ 这年头跨专业也成了优越性。

[Oceanhime]

@laminux29 70 位纯数字，这个位数在大多数网站的账号系统里都不合法吧。登录输密码得输个一分钟，不累吗...

[wangbaiyi]

具体是什么

[mahaonan1994]

@laminux29 发出来看一下？

[laminux29]

@masker 对于高端院校来说，跨专业一直比单专业要好。

[laminux29]

@Oceanhime 有些系统是支持那么长的。如果你懂乐器，你会发现 70 个音符弹下来并不需要太久。

[laminux29]

@mahaonan1994 发出来，让社工库收录吗？

[Leon6868]

@laminux29 #20 可以举几个例子观摩一下吗？:-)

[masker]

@laminux29 装逼要有个限度嗷

[masker]

@laminux29 说了那么多 也不举个例子。 啧。

[laminux29]

@Leon6868
@masker
举例子倒是没问题。

欢乐颂：
334554321123322---334554321123211---22312343123432125---334554321123211

献给爱丽丝：
323237216--1367--3571----3323237216--1367--3176----7123--5432--4321--3217

黑人抬棺：
6-6321-7-772176-6171716-617171

HOP:
616-616-7565-616-71---117117-6665-117117-6665

卡路里：
66-6711-1722-213-321217----66-6711-1722-213-321217

张信哲信仰：
356-665536553653----356-617761776176

喜羊羊：
355-255-355-255----355-255-355-255

[ihciah]

@laminux29 人才！

[sunziren]

又学会了新的装逼技巧

[fbcskpebfr]

楼上果真人才。记得泰国电影天才枪手里也是的主角也是靠乐谱的

[moln]

e 小调第九交响曲第二乐章（节选）：
355-321-23532-355-321-23211

[masker]

@laminux29 九宫格键盘对应的数字也是可以的。

[dtgxx]

@laminux29 不要把你小学学的简谱，说成懂音乐，专业，懂？ 70 位密码，你怕是以为你在几个行业都很牛掰，实际上样样都是个菜鸡吧。

[dtgxx]

@laminux29 放心，就你这装逼的样，sg 里面少不了你的瓜皮信息。

[laminux29]

@dtgxx

1.这个问题下面只是说密码，把音符简化后做成密码，我觉得很符合题意。

2.看不起简谱么？要不你盲听二泉映月，写成简谱试试？

3.你觉得社工库里能找到我的详细信息，试试看？

最后，没实力才是装逼，望知悉。

[gosas]

我是一个文件的 hash 值然后改动了一些 做密码

[gosas]

我是一个文件的 MD5 值然后改动了一些 做密码

[masker]

@laminux29 确实是“高端院校”

[oopc]

看完评论，晚上的饺子不用找老板要醋了🤣

[eastern]

frp 出去就挺蛋疼，fail2ban 好像也不太行，last 显示的 IP 地址是 127.0.0.1，不知道是不是我设置的问题，我用了个笨办法，需要 ssh 的时候到主机的安全组放行端口，断开之后把安全组的放行删掉

[mostkia]

为什么不试试圆周率呢？想多数位就多少位 [狗头]

[PbCopy111]

我的密码取决于跟姑娘什么时候滚床单，那天的日期加上她生日和名字就是。
如果分手了，下次就找回密码或者不要这个用户名了。
我在这里都一年多没换用户名了，哎。。

[GG668v26Fd55CP5W]

楼层那位 70 位密码的老装逼犯了🤣

『我有个前端同事，大家都不敢惹他，我和他关系不错，他说，他小时候，很喜欢 HTML/js，后来出问题，被所谓的编程大佬喷地没办法还手。

他一怒之下把计算机整个体系学完。

后来编程和他对线，他直接用汇编+操作系统糊对手一脸。

如果对手也懂汇编+操作系统，他就下降到电路层让对手怀疑人生。』

https://www.v2ex.com/t/702183#reply170

[GG668v26Fd55CP5W]

@PbCopy111 你这个逼装得比 70 位密码圆润，我是服的😂

[LokiSharp]

只允许局域网登录然后设了 OpenVPN 双向证书认证的路过

[realpg]

9022 也没用
我的所有服务器都是 62000-62999 之间的随机端口，我自己都不记，批量运维工具会自动修改成一个随机的并记录到数据库，需要访问时候直接生成 PUTTY 注册表直接连接，实际上上去服务器发现仍然端口被发现并在 24 小时破解

可是你破解个锤子，我的系统是 ubuntu，默认就没有 root 用户登录，也没有 root 本地密码，你连我用户名都不知道就在那 24 小时破解 root 无用功……

[realpg]

PS： 现在的破解软件超级智能
有个客户要求租机安装 windows server 2012R2
我给安装好，为了安全，改远程桌面端口为 6xxxx 的端口
然后很快这个客户的 IP 地址就被扫描，不知道用什么办法找到了 6xxxx 端口并 24 小时破解密码
最热闹的是，当他扫到了这个客户的 6xxxx 端口为远程桌面以后，额外在整个 IP 地址 C 段扫描这个端口，看看还有没有别的机器是这个端口远程桌面，超级智能……

[flynaj]

@realpg 是不是你电脑上装了 360

[vk42]

@realpg 扫端口是基本操作吧，现在还有靠非常规端口来防扫的？把常见用户名禁用，改个生辟用户名不是更有效？

[mahaonan1994]

@mostkia 知道π的太多了，不如试试 e🐶

[okjb]

@laminux29 人和人的体质是不能一概而论的，一怒之下今天又吹了一个逼。上次是学完计算机，这次是专业乐谱？

[realpg]

@vk42 #47
并不是防破解
互联网上的傻子 ssh 扫描病毒更多，只扫 22 和 1022 的那种，不扫其他端口，windows 下只扫 3389 不带智能扫描

你要是把端口放默认 22 上，而且服务器存在时间长，上面也没有运营商级外网 ssh 、3389 不正常阻断的 IPS 规则的话，就这么智障扫描器积累多了，24 小时占用服务器带宽数量都非常客观

而数据中心的话，IPS 显示就这些弱智扫描器占用的总带宽（以境外 IP 长连接或者反复连接 22 3389 持续产生流量计），就能到 300Mbps+，而且是非突发波形，是持续波形，在 95 计费体系下，一个月产生两三千块钱的带宽费额外成本

修改掉默认后，少了太多弱智级别扫描器，有效降低成本

[AnotiaWang]

@laminux29 #14 草

[AnotiaWang]

我一个名不见经传的小站长，每天都有几万次 ssh 登录请求……想到有这么多人试图 NTR 我的服务器就很无语

[wtks1]

@AnotiaWang 不来个 fail2ban 挡一下吗？把允许失败设为 1，扫描时间 10 秒一次，封禁时间十年....

[darknoll]

这不中毒了么

[qanniu]

@PbCopy111 万一今年这密码泄漏了，你又没新妹子怎么办？

[AnotiaWang]

@wtks1 #53 我试试，感谢

[xinyana]

只要是数字，不管几倍光速都不行

[PbCopy111]

@qanniu #55 那就只能退而求其次，最近一个拉过手的了。

[wslzy007]

不暴露在公网不就完了吗

[wty]

今天看了下我的 Windows 登陆记录，发现有人一直在扫我的 rdp 。。。。都换了端口居然还是被扫到了。。。

[milkpuff]

我的 vnc 被人疯狂扫描。隔三岔五就登不上。

[webshe11]

所以用几十位密码的，为啥不用公钥，然后禁止密码登录呢
（再加上 fail2ban 效果更好

[qanniu]

@PbCopy111 新技能 get ！
吹个牛逼，照兄弟的办法，我要每月换次密码.
只好勉为其难，尽量少去修车

[realpg]

@webshe11 #62
即使用了公钥，也很难禁止密码登录
总有些时候，你会遇到在外没有自己设备，网络设备需要维护的情况
没有自己设备，就么有内置私钥的快速连接方法
等把私钥折腾完，SLA 都降低了多少个百分点了

[1if5ty3]

吓得我赶紧登了家里的派。纯英文，至今没问题

[webshe11]

@realpg 这种可以考虑在手机上搞个 SSH 客户端，比如 Android 的 JuiceSSH，Termux 也行，提前配置好
如果条件不允许，那没办法，凉拌（逃

[realpg]

@webshe11 #66
手机上都有 juicessh 证书配置好的
总有一些客户办公室之类的 手机信号不行的时候 但是可以方便的借到临时电脑

[webshe11]

@realpg 那咋办嘛

[realpg]

@webshe11 #68
有个密码登录方式就行了啊
很多时候 只是不方便来回折腾密钥，或者没有时间折腾

[Leon6868]

@laminux29 请问有哪些网站支持那么长的密码？

[laminux29]

@Leon6868 对于不支持这么长的接口，可以自己加一层中间映射。