为什么有来自江苏的 IP 在连接我的 22 端口，

This topic created in 4348 days ago, the information mentioned may be changed or developed.

无意中发现一个江苏电信的IP在连接我的22端口

ubuntu@ip-******:~$ netstat -tan
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address Foreign Address State
-- omit --
tcp 0 0 172.31.31.236:22 222.186.15.138:6000 SYN_RECV
-- omit --

还有另外一个IP没有记录，也是江苏电信的。

他的端口是6000，这么小，肯定不是一个“人”在尝试连接我的服务器，很大可能是一个扫描程序在扫描。

大家有碰到过这样的情况吗？

我用的是 AWS EC2

端口

omit

ubuntu@ip

17 replies • 2014-07-15 14:43:29 +08:00

vibbow

Jul 14, 2014

我服务器一天要被连几千次，淡定了。

vibbow

Jul 14, 2014

要是你淡定不了的话，就换端口。

vimutt

Jul 14, 2014

“身正不怕影子斜” 尽力做好安全工作爱连便连。不懂这些人对着一个vps起什么劲儿练手还是处于什么目的呢

vimutt

Jul 14, 2014

我常用端口都改成w+以上的愿意扫就扫吧

a2z

Jul 14, 2014

连个端口又没什么，我蜜罐每天被登进去放马放远控几百次

mongodb

Jul 14, 2014

别想太多。不被扫描才不正常。
如果你被扫描了不是你吸引了别人，以现在的扫描程序的速度和收集的网段来看，公网的IP不被扫描才显得奇怪，被扫描了就跟你走在大街上被人看了没两样。

love4taylor

PRO

Jul 14, 2014

我擦，和我同城的。。

hellojinjie

Jul 14, 2014

@vibbow
@vimutt
@a2z
@mongodb
@Love4Taylor Thank you 各位，那我就放心了，本来想开放几个端口的，现在还是算了吧，网络这么凶险。

话说上次我在360的网站卫士注册了一下，第二天就发现nginx log里全是各种的漏洞扫描，直接把我的网站给搞趴下了。

eslizn

Jul 14, 2014

扫描狗太厉害了,所以换端口+证书认证

66450146

Jul 14, 2014

配置好之后就把 22 从防火墙上面去掉吧，只开放用到了的端口

kmvan

Jul 14, 2014 via Android

好正常

hellojinjie

Jul 14, 2014

@eslizn 对的，所以我现在都不敢用密码登陆，直接禁用密码登陆功能，都用证书登陆

20150517

Jul 14, 2014 via Android

我的web服务器每天被一个ip扫上百遍类似于 index.php../etc/passwd这个文档，我想说，我的服务不是php好吗？

hellojinjie

Jul 14, 2014

@20150517 晕，笑死我了。

eslizn

Jul 15, 2014

@20150517 是那个nginx正则配置的漏洞吗?

20150517

Jul 15, 2014 via Android

@eslizn 不懂这是哪个漏洞，不过我是nginx

eslizn

Jul 15, 2014

@20150517 看错了...这个应该是webserver路径解析的漏洞