当前位置: > 安全防御 > 系统安全防御 >

CentOS下SSH 的一些安全小技巧

时间:2015-03-08 12:27来源:sebug.net 作者:sebug.net 举报 点击:

前言

关于 ssh 的好处, 相信不用我多说了吧? 簡而言之, 之前的 rpc command 于 telnet 都全可用 ssh 代替. 比方如下的這些常見功能:


  1. - 远程登录
  2. ssh user@remote.machine
  3. - 远程执行
  4. ssh user@remote.machine 'command ...'
  5. - 远程复制
  6. scp user@remote.machine:/remote/path /local/path
  7. scp /local/path user@remote.machine:/remote/path
  8. - X forward
  9. ssh -X user@remote.machine
  10. xcommand ...
  11. - Tunnel / Portforward
  12. ssh -L 1234:remote.machine:4321 user@remote.machine
  13. ssh -R 1234:local.machine:4321 user@remote.machine
  14. ssh -L 1234:other.machine:4321 user@remote.machine

至於详细的用法, 我這就不說了. 请读者自行研究吧.

我这里要说的, 是针对 ssh 服务为大家介绍一些安全技巧, 希望大家用得更安心些

实例

(以 RedHat 9 为例)


  1. 轉往 client 端:
  2. $ ssh-keygen -t rsa
  3. * 按三下 enter 完成﹔不需設密碼,除非您會用 ssh-agent .
  4. $ scp ~/.ssh/id_rsa.pub user1@server.machine:id_rsa.pub
  5. * 若是 windows client, 可用 puttygen.exe 產生 public key,
  6. 然後複制到 server 端後修改之, 使其內容成為單一一行.
  7. * 如果 server 端已經禁止密碼登入, 那請用其它放法復製 publick key.

登入 server 端:

  • 禁止 root 登錄

    
    		
    1. # vi /etc/ssh/sshd_config
    2. PermitRootLogin no
  • 廢除密碼登錄, 強迫使用 RSA 驗證(假設 ssh 帳戶為 user1 )

    
    		
    1. # vi /etc/ssh/sshd_config
    2. RSAAuthentication yes
    3. PubkeyAuthentication yes
    4. AuthorizedKeysFile .ssh/authorized_keys
    5. PasswordAuthentication no
    6. # service sshd restart
    7. # su - user1
    8. $ mkdir ~/.ssh 2>/dev/null
    9. $ chmod 700 ~/.ssh
    10. $ touch ~/.ssh/authorized_keys
    11. $ chmod 644 ~/.ssh/authorized_keys
    12. $ cat ~/id_rsa.pub >> ~/.ssh/authorized_keys
    13. $ rm ~/id_rsa.pub
    14. $ exit
  • 限制 su / sudo 名單:

    
    		
    1. # vi /etc/pam.d/su
    2. auth required /lib/security/$ISA/pam_wheel.so use_uid
    3. # visudo
    4. %wheel ALL=(ALL) ALL
    5. # gpasswd -a user1 wheel
  • 限制 ssh 使用者名單

    
    		
    1. # vi /etc/pam.d/sshd
    2. auth required pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
    3. # echo user1 >> /etc/ssh_users
  • 封鎖 ssh 連線並改用 web 控管清單

    
    		
    1. # iptables -I INPUT -p tcp --dport 22 -j DROP
    2. # mkdir /var/www/html/ssh_open
    3. # cat > /var/www/html/ssh_open/.htaccess <<END
    4. AuthName "ssh_open"
    5. AuthUserFile /var/www/html/ssh_open/.htpasswd
    6. AuthType basic
    7. require valid-user
    8. END
    9. # htpasswd -c /var/www/html/ssh_open/.htpasswd user1

(最好還將 SSL 設起來, 或只限 https 連線更佳, 我這裡略過 SSL 設定, 請讀者自補.) (如需控制連線來源, 那請再補 Allow/Deny 項目, 也請讀者自補.)


  1. # cat > /var/www/html/ssh_open/ssh_open.php <<END
  2. <?
  3. //Set dir path for ip list
  4. $dir_path=".";
  5.  
  6. //Set filename for ip list
  7. $ip_list="ssh_open.txt";
  8.  
  9. //Get client ip
  10. $user_ip=$_SERVER['REMOTE_ADDR'];
  11.  
  12. //allow specifying ip if needed
  13. if (@$_GET['myip']) {
  14. $user_ip=$_GET['myip'];
  15. }
  16.  
  17. //checking IP format
  18. if ($user_ip==long2ip(ip2long($user_ip))) {
  19.  
  20. //Put client ip to a file
  21. if(@!($file = fopen("$dir_path/$ip_list","w+")))
  22. {
  23. echo "Permission denied!!<br>";
  24. echo "Pls Check your rights to dir $dir_path or file $ip_list";
  25. }
  26. else
  27. {
  28. fputs($file,"$user_ip");
  29. fclose($file);
  30. echo "client ip($user_ip) has put into $dir_path/$ip_list";
  31. }
  32. } else {
  33. echo "Invalid IP format!!<br>ssh_open.txt was not changed.";
  34. }
  35. ?>
  36.  
  37.  
  38. END
  39. # touch /var/www/html/ssh_open/ssh_open.txt
  40. # chmod 640 /var/www/html/ssh_open/*
  41. # chgrp apache /var/www/html/ssh_open/*
  42. # chmod g+w /var/www/html/ssh_open/ssh_open.txt
  43. # chmod o+t /var/www/html/ssh_open
  44. # service httpd restart
  45. # mkdir /etc/iptables
  46. # cat > /etc/iptables/sshopen.sh <<END
  47. #!/bin/bash
  48.  
  49. PATH=/sbin:/bin:/usr/sbin:/usr/bin
  50.  
  51. list_dir=/var/www/html/ssh_open
  52. list_file=$list_dir/allow_ssh.txt
  53. bad_list=$list_dir/bad_ip.txt
  54. auth_log=$list_dir/xinetd.log
  55. trusted_ip="127.0.0.1 4.3.2.1"
  56. chain_name=ssh_rules
  57.  
  58. mail_to=root
  59.  
  60. # clear chain if exits, or create chain.
  61. iptables -L -n | /bin/grep -q "^Chain $chain_name" && {
  62. iptables -F $chain_name
  63. true
  64. } || {
  65. iptables -N $chain_name
  66. iptables -I INPUT -p tcp --dport 22 -j $chain_name
  67. }
  68.  
  69. # clear chain on demand
  70. [ "$1" = clear ] && {
  71. iptables -F $chain_name
  72. cat /dev/null > $list_file
  73. exit 0
  74. }
  75.  
  76. # do nothing while list is empty
  77. [ -s $list_file ] || exit 1
  78.  
  79. # deny connection if host dosn't math to list
  80. host_ip=$(grep 'myssh from=' $auth_log | tail -1 | awk -F'=' '{print $NF}')
  81. list_ip=$(cat $list_file)
  82. if [ -n "$host_ip" -a "$host_ip" != "$list_ip" ]; then
  83. echo -e "${trusted_ip/ /\n}" | grep -q "$host_ip" || {
  84. /sbin/iptables-save | grep -q "INPUT -s $host_IP -j DROP$" || {
  85. /sbin/iptables -I INPUT -s $host_ip -j DROP
  86. echo $host_ip >> $bad_list
  87. echo "$host_ip is blocked by $0 on $(date)" | mail -s "block
  88. ip" $mail_to
  89. }
  90. }
  91. exit 2
  92. fi
  93.  
  94. # add rule
  95. iptables -A $chain_name -p tcp --dport 22 -s $(< $list_file) -j ACCEPT && \
  96. echo "ssh opened to $(< $list_file) on $(date)" | \
  97. mail -s "sshopen" $mail_to
  98. exit 0
  99. END
  100. # chmod +x /etc/iptables/sshopen.sh
  101. # echo -e 'sshopen\t\t1234/tcp' >> /etc/services
  102. # cat > /etc/xinetd.d/sshopen <<END
  103. service sshopen
  104. {
  105. log_type = FILE /studyarea/www/phorum/xinetd.log
  106. log_on_success = HOST
  107. log_on_failure = HOST
  108. disable = no
  109. socket_type = stream
  110. protocol = tcp
  111. wait = no
  112. user = root
  113. server = /etc/iptables/sshopen.sh
  114. }
  115. # iptables -I INPUT -p tcp --dport 1234 -j ACCEPT
  116. # cat > /etc/cron.d/sshopen <<END
  117. */5 * * * * root /etc/iptables/sshopen.sh clear
  118. END
  119.  
  120.  
  121.  
  122. 轉往 client
  123. browser URL 輸入:
  124. http://server.machine/ssh_open/ssh_open.php?myip=1.2.3.4
  125. (若不指定 ?myip=1.2.3.4 則以 client 當時 IP 為準, 若沒經 proxy 的話.)
  126. 如此, server 端的 ssh_open.txt 只有單一記錄, 每次蓋寫.
  127. 接著:
  128. $ telnet server.machine 1234
  129. 然後你有最多 5 分鐘時間用 ssh 連線 server !

此步驟的基本構思如下:

  • 將 sshd 的 firewall 連線全部 block 掉.

    • 然後在 httpd 那設一個 directory, 可設 ssl+htpasswd+allow/deny control, 然後在目錄內寫一個 php 將 browser ip 記錄於一份 .txt 文字檔裡. 視你的轉寫能力, 你可自動抓取 browser 端的 IP, 也可讓 browser 端傳入參數來指定. 文字檔只有單一記錄, 每次蓋寫, 定期清空.
    • 修改 /etc/services , 增加一個新項目(如 xxx), 並指定一個新 port(如 1234)
    • 再用 xinetd 監聽該 port , 並啟動令一隻 script, 設定 iptables , 從 step2 的清單裡取得 IP, 為之打開 ssh 連線.
    • 設 crontab 每數分中清理 iptables 關於 ssh 連線的規則及清空記錄.這並不影響既有連線, 若逾時再連, 則重複上述.
  • 要是上一步驟沒設定, 你或許會擔心過多的人來 try 你的 ssh 服務的話:

    
    		
    1. # cat > /etc/iptables/sshblock.sh <<END
    2. #!/bin/bash
    3.  
    4. PATH=/sbin:/bin:/usr/sbin:/usr/bin
    5.  
    6. LOG_FILE=/var/log/secure
    7. KEY_WORD="Illegal user"
    8. KEY_WORD1="Failed password for root"
    9. PERM_LIST=/etc/firewall/bad.list.perm
    10. LIMIT=5
    11. MAIL_TO=root
    12. IPT_SAV="$(iptables-save)"
    13. bad_list=$(egrep "$KEY_WORD" $LOG_FILE | awk '{print $NF}' | xargs)
    14. bad_list1=$(egrep "$KEY_WORD1" $LOG_FILE | awk '{print $11}' | xargs)
    15. bad_list="$bad_list $bad_list1"
    16.  
    17. for i in $(echo -e "${bad_list// /\n}" | sort -u)
    18. do
    19. hit=$(echo $bad_list | egrep -o "$i" | wc -l)
    20. [ "$hit" -ge "$LIMIT" ] && {
    21. echo "$IPT_SAV" | grep -q "$i .*-j DROP" || {
    22. echo -e "\n$i was dropped on $(date)\n" | mail -s "DROP by ${0##*/}: $i" $MAIL_TO
    23. iptables -I INPUT -s $i -j DROP
    24. }
    25. egrep -q "^$i$" $PERM_LIST || echo $i >> $PERM_LIST
    26. }
    27. done
    28. END
    29. # chmod +x /etc/firewall/sshblock.sh
    30. # cat >> /etc/hosts.allow <<END
    31. sshd: ALL: spawn ( /etc/firewall/sshblock.sh )& : ALLOW
    32. END

這樣, 那些亂 try SSH 的家夥, 頂多能試 5 次(LIMIT 可調整), 然後就給 BLOCK 掉了. 此外, 在 PERM_LIST 的 ip, 也可提供給 iptables 的初始 script , 來個永久性封閉:


  1. for i in $(< $PERM_LIST)
  2. do
  3. /sbin/iptables -I INPUT -s $i -j DROP
  4. done
  • 還有, 你想知道有哪些人對你做 full range port scan 的話:

    
    		
    1. # iptables -I INPUT -p tcp --dport 79 -j ACCEPT
    2. cat > /etc/xinetd.d/finger <<END
    3. service finger
    4. {
    5. socket_type = stream
    6. wait = no
    7. user = nobody
    8. server = /usr/sbin/in.fingerd
    9. disable = no
    10. }
    11. END
    12. # cat >> /etc/hosts.allow <<END
    13. in.fingerd: ALL : spawn ( echo -e "\nWARNING %a was trying finger.\n$(date)" | mail -s "finger from %a" root ) & : DENY
    14. END

這裡, 我只是設為發信給 root.

事實上, 你可修改為起動 firewall 將 %a 這個傳回值給 ban 掉也行.

不過, 對方要是有選擇性的做 port scan , 沒掃到 finger 的話, 那當然就沒用了...

------分隔线----------------------------
发表评论
为了和诣的生活,我关闭了评论页面,请大家到QQ群里交流吧:348944156,也欢迎关注本站微信公众号:centoscn