主页 / 问题 / 1273756
Accepted
Andrei Khotko
Asked:2022-04-23 15:45:11 +0000 UTC2022-04-23 15:45:11 +0000 UTC

谁可以通过 TCP/IP 发送这个数据包，为什么？

  • 772

有一个我写的部署服务（通过域名公开可用），它接受 TCP/IP 连接并处理某种格式的数据包。今天，一个奇怪的客户端连接到这个服务，它以大约 2 分 50 秒的时间间隔发送了包含以下内容的数据包：

SSH-2.0-libssh2_1.8.0

我的服务自然会丢弃此类数据包并引发错误。

问：可能是什么？试图通过 SSH 连接到机器？你需要做些什么吗？

在浏览器中访问这个“奇怪客户端”的 IP 地址会打开默认页面Apache2 Debian Default Page。

безопасность

1 个回答

  1. Best Answer

    为了至少有一些答案，我将给出一个小的模拟。

    我启动了netcat进程在端口 2222 上侦听（编号是任意选择的），并尝试使用 libssh2 库通过 ssh 协议连接到此端口（此名称出现在问题中）。

    在debian gnu/linux 中，这个库包含在一个包中libssh2-1（版本只是1.8.0在发行版的当前稳定版本中），很多东西都依赖于它（有 php 和 python 绑定），但我最终得到了只安装了一个绑定 - 用于程序，它包含在 r-packagegit2r中（使用 git 存储库的实现）。

    所以我开始，可以说是克隆了一个存储库，可以说是位于该地址localhost:2222（我的“服务器”已经在监听 - netcat程序）。这里的主要内容是尝试通过 ssh 协议完全连接并仅使用libssh2库：

    $ r -e "git2r::clone('ssh://fake@localhost:2222/fake','.')"
cloning into '.'...

    在同一时刻，netcat收到了一个与您的服务器收到的字符串相同的字符串：

    $ nc -l -p 2222
SSH-2.0-libssh2_1.8.0

    为了完整起见，引用相应的 rfc：

    4.2.  Protocol Version Exchange

   When the connection has been established, both sides MUST send an
   identification string.  This identification string MUST be

      SSH-protoversion-softwareversion SP comments CR LF

    结论：很可能，某些程序/脚本正在尝试连接到您的服务器（使用 ssh 协议），或者真正使用libssh2，或者模仿使用这个库。

    • 3

相关问题