linux SSH 的一些安全小技巧

TAG：System(FreeBSD)

来自:互联网

　　一, 前言
　　
　　关于 ssh 的好处, 相信不用我多说了吧?
　　
　　简而言之, 之前的 rpc command 与 telnet 都全可用 ssh 代替.
　　
　　比方如下的这些常见功能:
　　
　　- 远程登录
　　ssh [e-mail]
　　- 远程执行
　　ssh [e-mail] 'command ...'
　　- 远程粗?
　　scp [e-mail]:/remote/path /local/path
　　scp /local/path [e-mail]:/remote/path
　　- X forward
　　ssh -X [e-mail]
　　xcommand ...
　　- Tunnel / Portforward
　　ssh -L 1234:remote.machine:4321 [e-mail]
　　ssh -R 1234:local.machine:4321 [e-mail]
　　ssh -L 1234:other.machine:4321 [e-mail]
　　
　　至于详细的用法, 我这就不说了. 请读者自行研究吧.
　　
　　我这里要说的, 是针对 ssh 服务为大家介绍一些安全技巧, 希望大家用得更安心些.
　　
　　二, 实作
　　
　　(实作以 RedHat 9 为范例)
　　
　　1) 禁止 root 登录
　　
　　# vi /etc/ssh/sshd_config
　　PermitRootLogin no
　　
　　2) 废除密码登录, 强迫使用 RSA 验证(假设 ssh 账户为 user1 )
　　
　　# vi /etc/ssh/sshd_config
　　RSAAuthentication yes
　　PubkeyAuthentication yes
　　AuthorizedKeysFile　　 .ssh/authorized_keys
　　PasswordAuthentication no
　　# service sshd restart
　　# su - user1
　　$ mkdir ~/.ssh 2>/dev/null
　　$ chmod 700 ~/.ssh
　　$ touch ~/.ssh/authorized_keys
　　$ chmod 644 ~/.ssh/authorized_keys
　　
　　--------------------------------------------------
　　转往 client 端:
　　$ ssh-keygen -t rsa
　　(按三下 enter 完成﹔不需设密码，除非您会用 ssh-agent 。)
　　$ scp ~/.ssh/id_rsa.pub [e-mail]:id_rsa.pub
　　(若是 windows client, 可用 puttygen.exe 产生 public key,
　　然后复制到 server 端后修改之, 使其内容成为单一一行.)
　　---------------------------------------------------
　　
　　回到 server 端:
　　$ cat ~/id_rsa.pub >> ~/.ssh/authorized_keys
　　$ rm ~/id_rsa.pub
　　$ exit
　　
　　3) 限制 su / sudo 名单:
　　
　　# vi /etc/pam.d/su
　　auth　required　/lib/security/$ISA/pam_wheel.so use_uid
　　# visudo
　　%wheel　ALL=(ALL)　 ALL
　　# gpasswd -a user1 wheel
　　
　　4) 限制 ssh 使用者名单
　　
　　# vi /etc/pam.d/sshd
　　auth　　　 required　　 pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
　　# echo user1 >> /etc/ssh_users
　　
　　5) 封锁 ssh 联机并改用 web 控管清单
　　
　　# iptables -I INPUT -p tcp --dport 22 -j DROP
　　# mkdir /var/www/html/ssh_open
　　# cat > /var/www/html/ssh_open/.htaccess <　　AuthName "ssh_open"
　　AuthUserFile /var/www/html/ssh_open/.htpasswd
　　AuthType basic
　　require valid-user
　　END
　　# htpasswd -c /var/www/html/ssh_open/.htpasswd user1
　　
　　(最好还将 SSL 设起来, 或只限 https 联机更佳, 我这里略过 SSL 设定, 请读者自补.)
　　
　　(如需控制联机来源, 那请再补 Allow/Deny 项目, 也请读者自补.)
　　
　　# cat > /var/www/html/ssh_open/ssh_open.php <　　　　//Set dir path for ip list
　　$dir_path=".";
　　
　　//Set filename for ip list
　　$ip_list="ssh_open.txt";
　　
　　//Get client ip
　　$user_ip=$_SERVER['REMOTE_ADDR'];
　　
　　//allow specifying ip if needed
　　if (@$_GET['myip']) {
　　$user_ip=$_GET['myip'];
　　}
　　
　　//checking IP format
　　if ($user_ip==long2ip(ip2long($user_ip))) {
　　
　　//Put client ip to a file
　　if(@!($file = fopen("$dir_path/$ip_list","w+")))
　　{
　　echo "Permission denied!!
";
　　echo "Pls Check your rights to dir $dir_path or file $ip_list";
　　}
　　else
　　{
　　fputs($file,"$user_ip");
　　fclose($file);
　　echo "client ip($user_ip) has put into $dir_path/$ip_list";
　　}
　　} else {
　　echo "Invalid IP format!!
ssh_open.txt was not changed.";
　　}
　　?>
　　END
　　# touch /var/www/html/ssh_open/ssh_open.txt
　　# chmod 640 /var/www/html/ssh_open/*
　　# chgrp apache /var/www/html/ssh_open/*
　　# chmod g+w /var/www/html/ssh_open/ssh_open.txt
　　# chmod o+t /var/www/html/ssh_open
　　# service httpd restart
　　# mkdir /etc/iptables
　　# cat > /etc/iptables/sshopen.sh <　　#!/bin/bash
　　
　　PATH=/sbin:/bin:/usr/sbin:/usr/bin
　　
　　list_dir=/var/www/html/ssh_open
　　list_file=$list_dir/ssh_open.txt
　　chain_name=ssh_rules
　　mail_to=root
　　
　　# clear chain if exits, or create chain.
　　iptables -L -n | /bin/grep -q "^Chain $chain_name" && {
　　iptables -F $chain_name
　　true
　　} || {
　　iptables -N $chain_name
　　iptables -I INPUT -p tcp --dport 22 -j $chain_name
　　}
　　
　　# clear chain when needed
　　[ "$1" = clear ] && {
　　iptables -F $chain_name
　　exit 0
　　}
　　
　　# do nothing while list is empty
　　[ -s $list_file ] || exit 1
　　
　　# add rule
　　iptables -A $chain_name -p tcp --dport 22 -s $(< $list_file) -j ACCEPT && echo "ssh opened to $(< $list_file) on $(date)" | mail -s "sshopen" $mail_to
　　END
　　# chmod +x /etc/iptables/sshopen.sh
　　# echo -e 'sshopen\t\t1234/tcp' >> /etc/services
　　# cat > /etc/xinetd.d/sshopen <　　service sshopen
　　{
　　disable = no
　　socket_type　　 = stream
　　protocol　　　　= tcp
　　wait　　　　　　= no
　　user　　　　　　= root
　　server　　　　　= /etc/iptables/sshopen.sh
　　}
　　# iptables -I INPUT -p tcp --dport 1234 -j ACCEPT
　　# cat > /etc/cron.d/sshopen <　　*/5 * * * *　　 root　　/etc/iptables/sshopen.sh clear
　　END
　　
　　---------------------------
　　转往 client 端
　　在 browser URL 输入:
　　
　　(若不指定 ?myip=1.2.3.4 则以 client 当时 IP 为准, 若没经 proxy 的话.)
　　如此, server 端的 ssh_open.txt 文件只有单一记录, 每次盖写.
　　接着:
　　$ telnet server.machine 1234
　　然后你有最多 5 分钟时间用 ssh 联机 server !
　　---------------------------
　　
　　此步骤的基本构思如下:
　　
　　5.1) 将 sshd 的 firewall 联机全部 block 掉.
　　
　　5.2) 然后在 httpd 那设一个 directory, 可设 ssl+htpasswd+allow/deny control,
　　
　　然后在目录内写一个 php 将 browser ip 记录于一份 .txt 文字文件里.
　　
　　视你的转写能力, 你可自动抓取 browser 端的 IP, 也可让 browser 端传入参数来指定.
　　
　　文字文件只有单一记录, 每次盖写.
　　
　　5.3) 修改 /etc/services , 增加一个新项目(如 xxx), 并指定一个新 port(如 1234)
　　
　　5.4) 再用 xinetd 监听该 port , 并启动令一只 script, 设定 iptables , 从 step2 的清单里取得 IP, 为之打开 ssh 联机.
　　
　　5.5) 设 crontab 每数分中清理 iptables 关于 ssh 联机的规则. 这并不影响既有联机, 若逾时再连, 则重复上述.
　　
　　6) 要是上一步骤没设定, 你或许会担心过多的人来 try 你的 ssh 服务的话:
　　
　　# cat > /etc/iptables/sshblock.sh <　　#!/bin/bash
　　
　　PATH=/sbin:/bin:/usr/sbin:/usr/bin
　　
　　LOG_FILE=/var/log/secure
　　KEY_WORD="Illegal user"
　　KEY_WORD1="Failed password for root"
　　PERM_LIST=/etc/firewall/bad.list.perm
　　LIMIT=5
　　MAIL_TO=root
　　IPT_SAV="$(iptables-save)"
　　bad_list=$(egrep "$KEY_WORD" $LOG_FILE | awk '{print $NF}' | xargs)
　　bad_list1=$(egrep "$KEY_WORD1" $LOG_FILE | awk '{print $11}' | xargs)
　　bad_list="$bad_list $bad_list1"
　　
　　for i in $(echo -e "${bad_list// /\n}" | sort -u)
　　do
　　hit=$(echo $bad_list | egrep -o "$i" | wc -l)
　　[ "$hit" -ge "$LIMIT" ] && {
　　echo "$IPT_SAV" | grep -q "$i .*-j DROP" || {
　　echo -e "\n$i was dropped on $(date)\n" | mail -s "DROP by ${0##*/}: $i" $MAIL_TO
　　iptables -I INPUT -s $i -j DROP
　　}
　　egrep -q "^$i$" $PERM_LIST || echo $i >> $PERM_LIST
　　}
　　done
　　END
　　# chmod +x /etc/firewall/sshblock.sh
　　# cat >> /etc/hosts.allow <　　sshd: ALL: spawn ( /etc/firewall/sshblock.sh )& : ALLOW
　　END
　　
　　这样, 那些乱 try SSH 的家伙, 顶多能试 5 次(LIMIT 可调整), 然后就给 BLOCK 掉了.
　　此外, 在 PERM_LIST 的 ip, 也可提供给 iptables 的初始 script , 来个永久性封闭:
　　for i in $(< $PERM_LIST)
　　do
　　/sbin/iptables -I INPUT -s $i -j DROP
　　done
　　
　　7) 还有, 你想知道有哪些人对你做 full range port scan 的话:
　　
　　# iptables -I INPUT -p tcp --dport 79 -j ACCEPT
　　cat > /etc/xinetd.d/finger <　　service finger
　　{
　　socket_type　　 = stream
　　wait　　　　　　= no
　　user　　　　　　= nobody
　　server　　　　　= /usr/sbin/in.fingerd
　　disable　　　　 = no
　　}
　　END
　　# cat >> /etc/hosts.allow <　　in.fingerd: ALL : spawn ( echo -e "\nWARNING %a was trying finger.\n$(date)" | mail -s "finger from %a" root ) & : DENY
　　END
　　
　　这里, 我只是设为发信给 root.
　　
　　事实上, 你可修改为起动 firewall 将 %a 这个传回值给 ban 掉也行.
　　
　　不过, 对方要是有选择性的做 port scan , 没扫到 finger 的话, 那当然就没用了...