sshd服务---暴力破解应对策略
sshd服务暴力破解步骤
sshd暴力破解方法
防止暴力破解调优
1. 变更默认端口
2. 变更root用户
3. 日志监控-->防止暴力破解(fail2ban应用)
fail2ban详解
在初始化的服务器中,20种ssh服务调优方法!
技术来源于生活!!!
===============================================
第三步:运行暴力破解程序,破解密码
为了防止我们的密码被暴力破解,服务器的密码一定不要使用弱口令!!!而且在企业中,一般会要求半个月或多长时间变更一次密码(公司中运维工程师会要求的)
弱口令:简单的密码,如下:
123456
awp@host
12HLad^
强口令: ---> 密码长度大于8位(最好不少于14位),且有字母 数字 和特殊符号混合构成的高复杂度的字符串
防止暴力破解调优
安装sshd-server
查询服务是否安装:
rpm -qa | grep openssh-server
若没有安装,可使用如下命令进行安装:
yum -y install openssh* #安装所有openssh软件包
通过如下命令,查看openssh生成的文件列表:
rpm -ql openssh
1. 变更默认端口
sshd服务配置文件位于/etc/ssh目录下!
ls /etc/ssh
ssh_config ---> 客户端配置文件
sshd_config ---> 服务器端配置文件
我们修改服务器端文件(别人访问我们时,我们是sshd服务器!!!)
vim /etc/ssh/sshd_config
修改默认端口配置:
#Port 22
改为:
Port 123
保存退出,并重启sshd服务:
service sshd restart
或
/etc/init.d/sshd restart
查看监听端口是否生效:
netstat -anlpt | grep ssh
通过本机远程连接测试!(本机远程连接本机!)本机即使客户端,也是服务端
ssh 192.168.31.222 -p 123 #指定端口远程连接
------------------------------
2. 扫描某IP地址开放端口
nmap 192.168.171.120
这里我发现,当设置ssh开放端口在1000以内是扫描不出来的!!!而且若是指定到其他服务的端口上时,扫描到的服务名称就是该服务的名称!!!
这就是为什么我们要修改端口的意思!!!让别人不知道我们的哪个端口是sshd服务的端口!
------------------------------
编辑/etc/passwd文件,修改如下:
修改:root:x:0:0:root:/root:/bin/bash
为:root:x:0:0:root:/root:/bin/nologin #禁止root用户登录
修改:xg:x:500:500::/home/xg:/bin/bash
为:xg:x:0:0::/home/xg:/bin/bash #普通用户提权
远程连接测试:
root用户连接测试
xg用户连接测试:
另外，改下面内容后，xg用户也是登录不上的。只判断UID是否为0，不查看用户名的：
vim /etc/ssh/sshd_config
改：
#PermitRootLogin yes
为：
PermitRootLogin no
service sshd restart
测试：
ssh xg@192.168.31.222
xg@192.168.31.222's password:
Permission denied, please try again.
一般情况这个就可以解决了暴力破解的问题了。
到目前为止小的暴力破解已经解决了!!!
但是,虽然我们有效的降低了别人破解我们系统的可能性,但是,别人在攻击时,会造成sshd服务器系统资源占用(可能导致瘫痪!)
为有效防止系统资源无辜被占用导致系统缓慢或瘫痪,我们可以使用防火墙!!!---->一般公司不使用防火墙.
我们还可以使用fail2ban软件,实现一些规则的制定!!避免别人恶意攻击服务器造成不必要的损失!
fail2ban ---> 系统日志监控
通过匹配日志的错误信息(正则式匹配)执行相应的屏蔽动作(一般情况下是防火墙),而且可以发送e-mail通知系统管理员,很好 很实用 很强大!
#ban （bæn）禁令
简单来说其功能就是防止暴力破解。工作的原理是通过分析一定时间内的相关服务日志，将满足动作的相关IP利用iptables加入到dorp列表一定时间。
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name ROUTER-SSH --update --seconds 1800 --hitcount 5 -j DROP
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name ROUTER-SSH --set -j ACCEPT
两种安装方式
Way 1. yum安装
rpm -Uvh http://dl.fedoraproject.org/pub/epel/6/x86_64/epel-release-6-8.noarch.rpm
yum -y install fail2ban
Way 2. 源码安装
下载地址:
http://www.fail2ban.org
尽量使用稳定版本(推荐0.8.14或0.9.4)
下载下来后,怎么安装呢?!
第一步:上传压缩包到虚拟机,并解压
tar -zxf fail2ban-0.8.14.tar.gz -C /usr/src
第二步:查看解压目录下的配置文档
vim /usr/src/fail2ban-0.8.14/README.md
17 Installation:
18 -------------
19
20 **It is possible that Fail2ban is already packaged for your distribution. In
21 this case, you should use it instead.**
22
23 Required:
24 - [Python >= 2.4](http://www.python.org)
25
26 Optional:
27 - [pyinotify >= 0.8.3](https://github.com/seb-m/pyinotify)
28 - Linux >= 2.6.13
29 - [gamin >= 0.0.21](http://www.gnome.org/~veillard/gamin)
30
31 To install, just do:
32
33 tar xvfj fail2ban-0.8.12.tar.bz2
34 cd fail2ban-0.8.12
35 python setup.py install
由配置文档得知,安装本源码程序需要
1. Python版本为2.4或以上
2. pyinotify版本为0.8.3或以上
3. gamin版本为0.0.21或以上
4. Linux内核版本在2.6.13或以上
查看依赖关系已满足条件!
切换到源码文档目录,进行安装,执行如下命令:
python setup.py install
安装完成后,为了便于后期的管理操作,以及添加开机启动等,我们需要将fail2ban启动脚本复制到/etc/init.d目录下. 根据/etc/init.d目录下的文件特点,他们都存在chkconfig配置项,在源码目录中通过grep查找
grep chkconfig ./* -R --color #在当前目录下,查找所有文件中,存在chkconfig字段的文件
cp files/redhat-initd /etc/init.d/fail2ban #拷贝启动脚本到目标位置
chkconfig --add fail2ban #添加开机启动项fail2ban
chkconfig --list fail2ban #查看
------------------------------
2)
echo -e “this is a world \n nest line” |grep word
3)打印除包含 math_pattern 行之外的所有的行
grep -v match_pattern file
4)统计文件或文本中包含匹配字符串的行数：
grep -c “test” filename
5)忽略大小写
echo ”hello world” |grep -I ”HELLO”
------------------------------
/etc/fail2ban/fail2ban.conf #定义了fai2ban日志级别、日志位置及sock文件位置
/etc/fail2ban/filter.d #条件文件夹，内含默认文件。过滤日志关键内容设置
/etc/fail2ban/jail.conf #主要配置文件，模块化。主要设置启用ban动作的服务及动作阀值
# jail [dʒeɪl] 监狱
/etc/rc.d/init.d/fail2ban #启动脚本文件
ignoreip = ipaddress/prefix #忽略监控ip
ignoreip = 127.0.0.1/8 10.10.10.0/24 #忽略的IP列表,不受设置限制 如果有二组以上用空白做为间隔
ignorecommand = #忽略命令
bantime = 600 #屏蔽时间，单位：秒（设置IP被封锁的时间）
findtime = 600 #这个时间段内超过规定次数会被ban掉（设定多长时间内达到最大次数就解锁。）
maxretry = 3 #在被ban之前,发生错误的最大次数
backend = auto #日志修改检测机制（pyinotify、gamin、polling和auto这三种）
usedns = warn #yes/warn/no 处理方式
===================================================
[] #剩下的配置信息是模块设置,发送信息等
格式如下:
[ssh-iptables] #ssh配置设置 #单个服务检查设置，如设置bantime、findtime、maxretry和全局冲突，服务优先级大于全局设置。
enabled = false #是否启用该模块
filter = sshd #监控字符串 过滤规则filter的名字，对应filter.d目录下的sshd.conf
action = iptables[name=SSH, port=ssh, protocol=tcp] #事件
#动作的相关参数，对应action.d/iptables.conf文件 SSH服务名称 ssh端口好 protocol协议
logpath = /var/log/sshd.log #日志文件路径,检测的系统的登陆日志文件。
# 这里要写sshd服务日志文件。
# 默认为logpath = /var/log/sshd.log ,可在/etc/rsyslog.conf文件中查看
# ----- /etc/ssh/sshd_config -----
# 36 #SyslogFacility AUTH
# 37 SyslogFacility AUTHPRIV
# ----- /etc/rsyslog.conf -----
# 44 # The authpriv file has restricted access.
# 45 authpriv.* /var/log/secure
maxretry = 5 #最大错误次数
#5分钟内3次密码验证失败，禁止用户IP访问主机1小时。 配置如下
bantime = 3600 #禁止用户IP访问主机1小时
findtime = 300 #在5分钟内内出现规定次数就开始工作
maxretry = 3 #3次密码验证失败
保存退出后,重启fail2ban服务
/etc/init.d/fail2ban restart #重启服务
ssh远程连接,测试是否生效
ssh 192.168.31.222 -p 123 #故意三次输错密码后,重新连接!
[root@xiaogan120 ~]# ssh 192.168.31.222 -p 123
ssh: connect to host 192.168.31.222 port 123: Connection refused
1. 查看防火墙规则:
iptables -L |tail -4
2. 查看fail2ban状态:
fail2ban-client status
3. 查看fail2ban详情:
fail2ban-client status sshd
4. 查看fail2ban日志文件:
tail /var/log/fail2ban.log
[root@xiaogan120 ~]# iptables -L |tail -4
Chain fail2ban-SSHD (1 references)
target prot opt source destination
REJECT all -- 192.168.31.222 anywhere reject-with icmp-port-unreachable
RETURN all -- anywhere anywhere
[root@xiaogan120 ~]# fail2ban-client status
Status
|- Number of jail: 1
`- Jail list: sshd
[root@xiaogan120 ~]# fail2ban-client status sshd
Status for the jail: sshd
|- filter
| |- File list: /var/log/secure
| |- Currently failed: 0
| `- Total failed: 3
`- action
|- Currently banned: 1
| `- IP list: 192.168.31.222
`- Total banned: 1
[root@xiaogan120 ~]# tail /var/log/fail2ban.log
2016-09-19 18:12:51,624 fail2ban.server [1629]: INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.14
2016-09-19 18:12:51,624 fail2ban.jail [1629]: INFO Creating new jail 'sshd'
2016-09-19 18:12:51,624 fail2ban.jail [1629]: INFO Jail 'sshd' uses poller
2016-09-19 18:12:51,636 fail2ban.jail [1629]: INFO Initiated 'polling' backend
2016-09-19 18:12:51,637 fail2ban.filter [1629]: INFO Added logfile = /var/log/secure
2016-09-19 18:12:51,637 fail2ban.filter [1629]: INFO Set maxRetry = 3
2016-09-19 18:12:51,638 fail2ban.filter [1629]: INFO Set findtime = 300
2016-09-19 18:12:51,639 fail2ban.actions[1629]: INFO Set banTime = 600
2016-09-19 18:12:51,724 fail2ban.jail [1629]: INFO Jail 'sshd' started
2016-09-19 18:12:52,756 fail2ban.actions[1629]: WARNING [sshd] Ban 192.168.31.222
[root@xiaogan120 ~]#
2. 等待超过时间限制
拓展配置文件:
0.9.4配置文件
ls /etc/fail2ban/
[root@xiaogan121 fail2ban-0.9.4]# ls /etc/fail2ban/
action.d filter.d paths-common.conf paths-freebsd.conf
fail2ban.conf jail.conf paths-debian.conf paths-opensuse.conf
fail2ban.d jail.d paths-fedora.conf paths-osx.conf
[DEFAULT]
bantime = 3600 禁止此用户IP访问主机1小时
findtime = 300在5分钟内内出现规定次数就实施动作，默认时间单位：秒
maxretry = 3密码验证失败次数最大值为3
filter = sshd
protocol = tcp协议为TCP
action = iptables[name=SSH, port=ssh, protocol=tcp] 所采用的工作，按照名字可在action.d目录下找到
[sshd]
port = ssh
logpath = /var/log/secure 检测的系统的登陆日志文件，这里要写sshd服务日志文件的路径
最后保存设置
第二步:上传公有密钥到服务器
ssh-copy-id -i /root/.ssh/id_rsa.pub 192.168.171.121
第三步:尝试远程连接服务器
ssh 192.168.171.121
看到了么?没有输入密码,就直接登录了!!!
-2 强制scp命令使用协议ssh2
-4 强制scp命令只使用IPv4寻址
-6 强制scp命令只使用IPv6寻址
-B 使用批处理模式（传输过程中不询问传输口令或短语）
-C 允许压缩。（将-C标志传递给ssh，从而打开压缩功能）
-p 保留原文件的修改时间，访问时间和访问权限。
-q 不显示传输进度条。
-r 递归复制整个目录。
-v 详细方式显示输出。scp和ssh(1)会显示出整个过程的调试信息。这些信息用于调试连接，验证和配置问题。
-c cipher 以cipher将数据传输进行加密，这个选项将直接传递给ssh。
-F ssh_config 指定一个替代的ssh配置文件，此参数直接传递给ssh。
-i identity_file 从指定文件中读取传输时使用的密钥文件，此参数直接传递给ssh。
-l limit 限定用户所能使用的带宽，以Kbit/s为单位。
-o ssh_option 如果习惯于使用ssh_config(5)中的参数传递方式，
-P port 注意是大写的P, port是指定数据传输用到的端口号
-S program 指定加密传输时所使用的程序。此程序必须能够理解ssh(1)的选项。
4．使用实例：
scp命令的实际应用概述：
从本地服务器复制到远程服务器：
(1) 复制文件：
命令格式：
1). scp local_file remote_username@remote_ip:remote_folder
或者
2). scp local_file remote_username@remote_ip:remote_file
或者
3). scp local_file remote_ip:remote_folder
或者
4). scp local_file remote_ip:remote_file
第1,2个指定了用户名，命令执行后需要输入用户密码，第1个仅指定了远程的目录，文件名字不变，第2个指定了文件名
第3,4个没有指定用户名，命令执行后需要输入用户名和密码，第3个仅指定了远程的目录，文件名字不变，第4个指定了文件名
(2) 复制目录：
命令格式：
1). scp -r local_folder remote_username@remote_ip:remote_folder
或者
2). scp -r local_folder remote_ip:remote_folder
第1个指定了用户名，命令执行后需要输入用户密码；
第2个没有指定用户名，命令执行后需要输入用户名和密码；硬盘I/O非常高，而scp基本不影响系统正常使用。
从远程服务器复制到本地服务器：
从远程复制到本地的scp命令与上面的命令雷同，只要将从本地复制到远程的命令后面2个参数互换顺序就行了。
实例:
scp root@192.168.171.121:/root/fail2ban-0.9.4.tar.gz /root
#已root用户身份,从192.168.171.121拷贝/root/fail2ban-0.9.4.tar.gz文件到/root目录下!
scp /root/sshd_config 192.168.171.121:/root
#拷贝/root/sshd_config文件到192.168.171.121地址/root目录下
#############################################
20种调优方式--->刚建好的服务器?!
