linux SSH 的一些安全小技巧

小咪咪 2022-09-18 08:00 215阅读 0赞

**一, 前言**  
　　  
　　关于 ssh 的好处, 相信不用我多说了吧?  
　　  
　　简而言之, 之前的 rpc command 与 telnet 都全可用 ssh 代替.  
　　  
　　比方如下的这些常见功能:  
　　  
　　- 远程登录  
　　ssh user@remote.machine  
　　- 远程执行  
　　ssh user@remote.machine 'command ...'  
　　- 远程粗?  
　　scp user@remote.machine:/remote/path /local/path  
　　scp /local/path user@remote.machine:/remote/path  
　　- X forward  
　　ssh -X user@remote.machine  
　　xcommand ...  
　　- Tunnel / Portforward  
　　ssh -L 1234:remote.machine:4321 user@remote.machine  
　　ssh -R 1234:local.machine:4321 user@remote.machine  
　　ssh -L 1234:other.machine:4321 user@remote.machine  
　　  
　　至于详细的用法, 我这就不说了. 请读者自行研究吧.  
　　  
　　我这里要说的, 是针对 ssh 服务为大家介绍一些安全技巧, 希望大家用得更安心些.  
　　  
　　 **二, 实作**  
　　  
　　(实作以 RedHat 9 为范例)  
　　  
　　1) 禁止 root 登录  
　　  
　　\# vi /etc/ssh/sshd\_config  
　　PermitRootLogin no  
　　  
　　2) 废除密码登录, 强迫使用 RSA 验证(假设 ssh 账户为 user1 )  
　　  
　　\# vi /etc/ssh/sshd\_config  
　　RSAAuthentication yes  
　　PubkeyAuthentication yes  
　　AuthorizedKeysFile　　 .ssh/authorized\_keys  
　　PasswordAuthentication no  
　　\# service sshd restart  
　　\# su - user1  
　　$ mkdir ~/.ssh 2>/dev/null  
　　$ chmod 700 ~/.ssh  
　　$ touch ~/.ssh/authorized\_keys  
　　$ chmod 644 ~/.ssh/authorized\_keys  
　　  
　　--------------------------------------------------  
　　转往 client 端:  
　　$ ssh-keygen -t rsa  
　　(按三下 enter 完成﹔不需设密码，除非您会用 ssh-agent 。)  
　　$ scp ~/.ssh/id\_rsa.pub user1@server.machine:id\_rsa.pub  
　　(若是 windows client, 可用 puttygen.exe 产生 public key,  
　　然后复制到 server 端后修改之, 使其内容成为单一一行.)  
　　---------------------------------------------------  
　　  
　　回到 server 端:  
　　$ cat ~/id\_rsa.pub >> ~/.ssh/authorized\_keys  
　　$ rm ~/id\_rsa.pub  
　　$ exit  
　　  
　　3) 限制 su / sudo 名单:  
　　  
　　\# vi /etc/pam.d/su  
　　auth　required　/lib/security/$ISA/pam\_wheel.so use\_uid  
　　\# visudo  
　　%wheel　ALL=(ALL)　 ALL  
　　\# gpasswd -a user1 wheel  
　　  
　　4) 限制 ssh 使用者名单  
　　  
　　\# vi /etc/pam.d/sshd  
　　auth　　　 required　　 pam\_listfile.so item=user sense=allow file=/etc/ssh\_users onerr=fail  
　　\# echo user1 >> /etc/ssh\_users  
　　  
　　5) 封锁 ssh 联机并改用 web 控管清单  
　　  
　　\# iptables -I INPUT -p tcp --dport 22 -j DROP  
　　\# mkdir /var/www/html/ssh\_open  
　　\# cat > /var/www/html/ssh\_open/.htaccess <<END  
　　AuthName "ssh\_open"  
　　AuthUserFile /var/www/html/ssh\_open/.htpasswd  
　　AuthType basic  
　　require valid-user  
　　END  
　　\# htpasswd -c /var/www/html/ssh\_open/.htpasswd user1  
　　  
　　(最好还将 SSL 设起来, 或只限 https 联机更佳, 我这里略过 SSL 设定, 请读者自补.)  
　　  
　　(如需控制联机来源, 那请再补 Allow/Deny 项目, 也请读者自补.)  
　　  
　　\# cat > /var/www/html/ssh\_open/ssh\_open.php <<END  
　　<?  
　　//Set dir path for ip list  
　　$dir\_path=".";  
　　  
　　//Set filename for ip list  
　　$ip\_list="ssh\_open.txt";  
　　  
　　//Get client ip  
　　$user\_ip=$\_SERVER\['REMOTE\_ADDR'\];  
　　  
　　//allow specifying ip if needed  
　　if (@$\_GET\['myip'\]) \{  
　　$user\_ip=$\_GET\['myip'\];  
　　\}  
　　  
　　//checking IP format  
　　if ($user\_ip==long2ip(ip2long($user\_ip))) \{  
　　  
　　//Put client ip to a file  
　　if(@!($file = fopen("$dir\_path/$ip\_list","w+")))  
　　\{  
　　echo "Permission denied!!<br>";  
　　echo "Pls Check your rights to dir $dir\_path or file $ip\_list";  
　　\}  
　　else  
　　\{  
　　fputs($file,"$user\_ip");  
　　fclose($file);  
　　echo "client ip($user\_ip) has put into $dir\_path/$ip\_list";  
　　\}  
　　\} else \{  
　　echo "Invalid IP format!!<br>ssh\_open.txt was not changed.";  
　　\}  
　　?>  
　　END  
　　\# touch /var/www/html/ssh\_open/ssh\_open.txt  
　　\# chmod 640 /var/www/html/ssh\_open/\*  
　　\# chgrp apache /var/www/html/ssh\_open/\*  
　　\# chmod g+w /var/www/html/ssh\_open/ssh\_open.txt  
　　\# chmod o+t /var/www/html/ssh\_open  
　　\# service httpd restart  
　　\# mkdir /etc/iptables  
　　\# cat > /etc/iptables/sshopen.sh <<END  
　　\#!/bin/bash  
　　  
　　PATH=/sbin:/bin:/usr/sbin:/usr/bin  
　　  
　　list\_dir=/var/www/html/ssh\_open  
　　list\_file=$list\_dir/ssh\_open.txt  
　　chain\_name=ssh\_rules  
　　mail\_to=root  
　　  
　　\# clear chain if exits, or create chain.  
　　iptables -L -n | /bin/grep -q "^Chain $chain\_name" && \{  
　　iptables -F $chain\_name  
　　true  
　　\} || \{  
　　iptables -N $chain\_name  
　　iptables -I INPUT -p tcp --dport 22 -j $chain\_name  
　　\}  
　　  
　　\# clear chain when needed  
　　\[ "$1" = clear \] && \{  
　　iptables -F $chain\_name  
　　exit 0  
　　\}  
　　  
　　\# do nothing while list is empty  
　　\[ -s $list\_file \] || exit 1  
　　  
　　\# add rule  
　　iptables -A $chain\_name -p tcp --dport 22 -s $(< $list\_file) -j ACCEPT && echo "ssh opened to $(< $list\_file) on $(date)" | mail -s "sshopen" $mail\_to  
　　END  
　　\# chmod +x /etc/iptables/sshopen.sh  
　　\# echo -e 'sshopen/t/t1234/tcp' >> /etc/services  
　　\# cat > /etc/xinetd.d/sshopen <<END  
　　service sshopen  
　　\{  
　　disable = no  
　　socket\_type　　 = stream  
　　protocol　　　　= tcp  
　　wait　　　　　　= no  
　　user　　　　　　= root  
　　server　　　　　= /etc/iptables/sshopen.sh  
　　\}  
　　\# iptables -I INPUT -p tcp --dport 1234 -j ACCEPT  
　　\# cat > /etc/cron.d/sshopen <<END  
　　\*/5 \* \* \* \*　　 root　　/etc/iptables/sshopen.sh clear  
　　END  
　　  
　　---------------------------  
　　转往 client 端  
　　在 browser URL 输入:  
　　http://server.machine/ssh\_open/ssh\_open.php?myip=1.2.3.4  
　　(若不指定 ?myip=1.2.3.4 则以 client 当时 IP 为准, 若没经 proxy 的话.)  
　　如此, server 端的 ssh\_open.txt 文件只有单一记录, 每次盖写.  
　　接着:  
　　$ telnet server.machine 1234  
　　然后你有最多 5 分钟时间用 ssh 联机 server !  
　　---------------------------  
　　  
　　此步骤的基本构思如下:  
　　  
　　5.1) 将 sshd 的 firewall 联机全部 block 掉.  
　　  
　　5.2) 然后在 httpd 那设一个 directory, 可设 ssl+htpasswd+allow/deny control,  
　　  
　　然后在目录内写一个 php 将 browser ip 记录于一份 .txt 文字文件里.  
　　  
　　视你的转写能力, 你可自动抓取 browser 端的 IP, 也可让 browser 端传入参数来指定.  
　　  
　　文字文件只有单一记录, 每次盖写.  
　　  
　　5.3) 修改 /etc/services , 增加一个新项目(如 xxx), 并指定一个新 port(如 1234)  
　　  
　　5.4) 再用 xinetd 监听该 port , 并启动令一只 script, 设定 iptables , 从 step2 的清单里取得 IP, 为之打开 ssh 联机.  
　　  
　　5.5) 设 crontab 每数分中清理 iptables 关于 ssh 联机的规则. 这并不影响既有联机, 若逾时再连, 则重复上述.  
　　  
　　6) 要是上一步骤没设定, 你或许会担心过多的人来 try 你的 ssh 服务的话:  
　　  
　　\# cat > /etc/iptables/sshblock.sh <<END  
　　\#!/bin/bash  
　　  
　　PATH=/sbin:/bin:/usr/sbin:/usr/bin  
　　  
　　LOG\_FILE=/var/log/secure  
　　KEY\_WORD="Illegal user"  
　　KEY\_WORD1="Failed password for root"  
　　PERM\_LIST=/etc/firewall/bad.list.perm  
　　LIMIT=5  
　　MAIL\_TO=root  
　　IPT\_SAV="$(iptables-save)"  
　　bad\_list=$(egrep "$KEY\_WORD" $LOG\_FILE | awk '\{print $NF\}' | xargs)  
　　bad\_list1=$(egrep "$KEY\_WORD1" $LOG\_FILE | awk '\{print $11\}' | xargs)  
　　bad\_list="$bad\_list $bad\_list1"  
　　  
　　for i in $(echo -e "$\{bad\_list// //n\}" | sort -u)  
　　do  
　　hit=$(echo $bad\_list | egrep -o "$i" | wc -l)  
　　\[ "$hit" -ge "$LIMIT" \] && \{  
　　echo "$IPT\_SAV" | grep -q "$i .\*-j DROP" || \{  
　　echo -e "/n$i was dropped on $(date)/n" | mail -s "DROP by $\{0\#\#\*/\}: $i" $MAIL\_TO  
　　iptables -I INPUT -s $i -j DROP  
　　\}  
　　egrep -q "^$i$" $PERM\_LIST || echo $i >> $PERM\_LIST  
　　\}  
　　done  
　　END  
　　\# chmod +x /etc/firewall/sshblock.sh  
　　\# cat >> /etc/hosts.allow <<END  
　　sshd: ALL: spawn ( /etc/firewall/sshblock.sh )& : ALLOW  
　　END  
　　  
　　这样, 那些乱 try SSH 的家伙, 顶多能试 5 次(LIMIT 可调整), 然后就给 BLOCK 掉了.  
　　此外, 在 PERM\_LIST 的 ip, 也可提供给 iptables 的初始 script , 来个永久性封闭:  
　　for i in $(< $PERM\_LIST)  
　　do  
　　/sbin/iptables -I INPUT -s $i -j DROP  
　　done  
　　  
　　7) 还有, 你想知道有哪些人对你做 full range port scan 的话:  
　　  
　　\# iptables -I INPUT -p tcp --dport 79 -j ACCEPT  
　　cat > /etc/xinetd.d/finger <<END  
　　service finger  
　　\{  
　　socket\_type　　 = stream  
　　wait　　　　　　= no  
　　user　　　　　　= nobody  
　　server　　　　　= /usr/sbin/in.fingerd  
　　disable　　　　 = no  
　　\}  
　　END  
　　\# cat >> /etc/hosts.allow <<END  
　　in.fingerd: ALL : spawn ( echo -e "/nWARNING %a was trying finger./n$(date)" | mail -s "finger from %a" root ) & : DENY  
　　END  
　　  
　　这里, 我只是设为发信给 root.  
　　  
　　事实上, 你可修改为起动 firewall 将 %a 这个传回值给 ban 掉也行.  
　　  
　　不过, 对方要是有选择性的做 port scan , 没扫到 finger 的话, 那当然就没用了...