|
本帖最后由 vps理论研究家 于 2022-10-9 17:20 编辑
这几天鸡鸡被爆破,难受的一批 ,网上看了一些教程,分享给各位mjj
ubuntu和debian:
ssh成功登录记录在/var/log/wtmp和/var/log/wtmp.1(两个文件轮换记录),ssh登录失败记录在/var/log/btmpy和/var/log/btmp.1(两个文件轮换记录),都是二进制文件,直接打开显示乱码。
可通过lastb命令查看:sudo lastb -f /var/log/btmp.1
centos:
登录日志记录在/var/log/secure
查看有多少条登录失败记录:
grep -o "Failed password" /var/log/secure|uniq -c
查看都有哪些ip在爆破:
grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c | sort -nr
查看都在爆破哪些用户名:
grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr
防止被暴破方法:
1.修改ssh默认端口
编辑 /etc/ssh/sshd_config
找到Port 22修改为自定义未占用端口
保存配置并重启ssh服务
2.使用Public key登录,禁用passwd登录(修改/etc/ssh/sshd_config找到password 参数改为false)
3.iptables添加ip白名单
iptables -A INPUT -s xxx.xxx.xxx.xxx -p tcp --dport 22 -j ACCEPT
4.去控制台自行添加防火墙的ip白名单访问自定义端口
5.ssh连续错误次数设置一定时间禁止登录
在/etc/pam.d/sshd 文件中添加一行
auth required pam_tally2.so deny=AAA unlock_time=BBB even_deny_USER USER_unlock_time=BBB
其中AAA为连续登录错误次数,BBB为重置错误次数时间(单位:秒),USER改为使用的用户名
在/etc/pam.d/login 文件中同样添加该行
auth required pam_tally2.so deny=AAA unlock_time=BBB even_deny_USER USER_unlock_time=BBB
其中AAA为连续登录错误次数,BBB为重置错误次数时间(单位:秒),USER改为使用的用户名
保存文件立即生效
6.安装fail2ban
具体方法见博客,网上找的https://learnku.com/server/t/36233
博客备份https://web.archive.org/web/20221009091909/https://learnku.com/server/t/36233
...........更多方法待大佬补充 |
|