linux服务器不得不注意的安全问题--ssh暴力破解--denyhosts

linux服务器不得不注意的安全问题--ssh暴力破解--denyhosts解决

2010-03-24 14:31:42

标签： linux系统

原创作品，允许转载，转载时请务必以超链接形式标明文章  原始出处 、作者信息和本声明。否则将追究法律责任。 http://tech110.blog.51cto.com/438717/287490

最近一直关注Linux服务器的的/var/log/secure文件，发现里面有大量的ssh失败尝试记录，如下

查看了该IP的尝试次数和时间，一直从凌晨4点到下午1点

多达 9288次的扫描，从图中可以看出正在尝试各种用户名来连接，真他妈的没事干，也不知道用什么破软件在那里无聊，幸好我的密码也够复杂，要不然嘿嘿..........

我服务器上的secure有多个，按时间进行截取的，我对其中的secure.1文件进行统计。

获取其中的ip地址和数量：

# grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}' /var/log/secure.1 | sort | uniq -c

如此之多，让我不禁冒出冷汗，真吓人，也不知道我的服务器上面有什么好东西，那么喜欢，真二！！！！当然如果是自己通过ssh成功连接，记录也会在这里面。

为了防止此类无聊之人再次光临，就得想办法不让他们进行扫描，本人在网上查找资料，得知Denyhosts软件可以达到该效果，DenyHosts是Python语言写的一个程序，它会分析sshd的日志文件（/var/log/secure），当发现重复的攻击时就会记录IP到/etc/hosts.deny文件，从而达到自动屏IP的功能。如果是手动添加的话不把人累死才怪。

DenyHosts官方网站为：http://denyhosts.sourceforge.net
 本文已附上附件，是从该网站下载的，版本为较新的2.6版。

一:检查安装要求
首选检查Sshd是否支持 Tcpwrap，只有支持Tcpwrap才可以安装Denyhost
# ldd /usr/sbin/sshd |grep wrap

libwrap.so.0 => /usr/lib/libwrap.so.0 (0x00864000) //出现此信息时表示支持

再检查 Python的版本，Python2.3以上版本可以直接安装
# python -V
Python 2.4.3

均达到要求

二:安装Denyhosts
先下载该软件，然后解压安装

进行解压再进入到源目录
# tar -xzvf  DenyHosts-2.6.tar.gz
# cd  DenyHosts-2.6
执行Python脚本进行安装，
 # python  setup.py  install
程序脚本自动安装到/usr/share/denyhosts      
库文件自动安装到/usr/lib/python2.4/site-packages/DenyHosts      
denyhosts.py安装到/usr/bin

三: 设置启动脚本
# cd  /usr/share/denyhosts/
拷贝模板文件
# cp daemon-control-dist daemon-control
设置好启动脚本的所属用户和权限
# chown  root  daemon-control
# chmod  700  daemon-control
生成Denyhost的主配置文件，（将模板文件中开头是#的过滤后再导入到Denyhost.cfg）
# grep  -v  "^#"  denyhosts.cfg-dist  > denyhosts.cfg
编辑Denyhost.cfg文件，根据自己需要进行相应的修改      
----------------denyhosts.cfg--------------------------------------     
SECURE_LOG = /var/log/secure    #ssh 日志文件，它是根据这个文件来判断的，如还有其他的只要更改名字即可，例如将secure改为secure.1等

HOSTS_DENY = /etc/hosts.deny 
#控制用户登陆的文件，将多次连接失败的IP添加到此文件，达到屏蔽的作用      
PURGE_DENY =      
#过多久后清除已经禁止的，我这里为空表示永远不解禁

BLOCK_SERVICE  = sshd
#禁止的服务名，如还要添加其他服务，只需添加逗号跟上相应的服务即可

DENY_THRESHOLD_INVALID = 1      
#允许无效用户失败的次数        
DENY_THRESHOLD_VALID = 2    
#允许有效用户登录失败的次数           
DENY_THRESHOLD_ROOT = 3      
#允许root登录失败的次数           
HOSTNAME_LOOKUP=NO      
# 是否做域名反解，这里表示不做 

ADMIN_EMAIL = 。。。。

#管理员邮件地址,它会给管理员发邮件 
DAEMON_LOG = /var/log/denyhosts 
#自己的日志文件

其他：
AGE_RESET_VALID=5d     #（h表示小时，d表示天，m表示月，w表示周，y表示年）
AGE_RESET_ROOT=25d
AGE_RESET_RESTRICTED=25d
AGE_RESET_INVALID=10d
#用户的登陆失败计数会在多长时间后重置为0
RESET_ON_SUCCESS = yes
#如果一个ip登陆成功后，失败的登陆计数是否重置为0
DAEMON_SLEEP = 30s

#当以后台方式运行时，每读一次日志文件的时间间隔。

DAEMON_PURGE = 1h 

#当以后台方式运行时，清除机制在 HOSTS_DENY 中终止旧条目的时间间隔,这个会影响PURGE_DENY的间隔。

将 Denyhost启动脚本添加到自动启动中
# echo '/usr/share/denyhosts/daemon-control start' >> /etc/rc.d/rc.local
启动Denyhost的进程
# /usr/share/denyhosts/daemon-control start
可以查看到Denyhost在运行中
# ps -ef |grep deny
在另外一台机器上使用ssh进行连接，当在连续几次输入错误的密码后，会被自动阻止掉，在一定时内不可以再连接ssh连接记录的日志文件。

查看我的/etc/hosts.deny文件发现里面已经有135条记录。

# cat /etc/hosts.deny | wc -l
135

启动时出现了错误，可以使用下面方式解决
./daemon-control start
starting DenyHosts: /usr/bin/env python /usr/bin/denyhosts.py --daemon --config=/usr/share/denyhosts/denyhosts.cfg
Can't read: /private/var/log/system.log
[Errno 2] No such file or directory: '/private/var/log/system.log'
Error deleting DenyHosts lock file: /var/lock/subsys/denyhosts
[Errno 2] No such file or directory: '/var/lock/subsys/denyhosts'
使用：

mkdir -p /private/var/log/
mkdir -p /var/lock/subsys/
./daemon-control start
starting DenyHosts: /usr/bin/env python /usr/bin/denyhosts.py --daemon --config=/usr/share/denyhosts/denyhosts.cfg
Can't read: /private/var/log/system.log
[Errno 2] No such file or directory: '/private/var/log/system.log'
Error deleting DenyHosts lock file: /var/lock/subsys/denyhosts
[Errno 2] No such file or directory: '/var/lock/subsys/denyhosts'
使用：

touch /private/var/log/system.log
touch /var/lock/subsys/denyhosts

./daemon-control start
出现：
starting DenyHosts: /usr/bin/env python /usr/bin/denyhosts.py --daemon --config=/usr/share/denyhosts/denyhosts.cfg
DenyHosts could not obtain lock (pid: )
[Errno 17] File exists: '/var/lock/subsys/denyhosts'
使用：
rm -f /var/lock/subsys/denyhosts
./daemon-control start
starting DenyHosts: /usr/bin/env python /usr/bin/denyhosts.py –daemon –config=/usr/share/denyhosts/denyhosts.cfg
OK！
启动完成啦。
你可以使用
service denyhosts status来查看运行状态
DenyHosts is running with pid = 25874 表示已经启动起来了。
接下来就可以使用
cat /etc/hosts.deny来查看记录了

#service denyhost start
starting DenyHosts:   /usr/bin/env python /usr/bin/denyhosts.py --daemon --config=/usr/share/denyhosts/denyhosts.cfg
python: can't open file '/usr/bin/denyhosts.py': [Errno 2] No such file or directory
经过查找发现denyhosts.py在目录/usr/local/bin/目录下，于是修改daemon-control文件
#vi daemon-control
DENYHOSTS_BIN   = "/usr/bin/denyhosts.py"
DENYHOSTS_LOCK  = "/var/lock/subsys/denyhosts"
DENYHOSTS_CFG   = "/usr/share/denyhosts/denyhosts.cfg"
 
将第一行修改为DENYHOSTS_BIN   = "/usr/local/bin/denyhosts.py"

在运行还会提示错误：导入Python版本错误的提示。如：
Traceback (most recent call last):
File "/usr/local/bin/denyhosts.py", line 5, in 
import DenyHosts.python_version
ImportError: No module named DenyHosts.python_version
到这里错误很明了了，经过查询发现版本不对会导致这个问题。

 分析后发现原因在此：以前本机已经有一个python2.4的版本，使用rpm安装的，默认的路径是/usr/lib/python2.4，因为要升级python到2.5，也没有对卸载这个2.4的版本，使用编译安装的python2.5，安装路径并没有配置，这默认安装到/usr/local/lib/python2.5这个路径，而目前激活的python环境是2.5的，可能因为denyhosts安装时会根据环境查找安装，因此会在/usr/local/lib/python2.5/site-packages路径下安装Denyhosts这个文件夹。当运行denyhosts时，脚本会指定使用的是/usr/lib/python*这个路径的python里（暂时没找到脚本哪个地方指定），因此它无法定位python的版本，会出现这个错误。

最快速的解决方法是把/usr/local/lib/python2.5/site-packages路径下的Denyhosts文件夹整个拷贝到2.4的安装目录下即可。

进入/usr/local/lib/python2.5/site-packages/目录#cd /usr/local/lib/python2.5/site-packages/

#cp –rp Denyhosts /usr/lib/python2.4/ site-packages/

 

这样之后便可以启动Denyhosts了。

 

 

关于错误
Traceback (most recent call last): 
  File "/usr/local/python-2.4/bin/denyhosts.py", line 5, in ? 
    import DenyHosts.python_version 
ImportError: No module named DenyHosts.python_version 
需要修改下面的部分：
1、/usr/share/denyhosts/daemon-control 
PYTHON_BIN      = "/usr/bin/env python" 
改为 
PYTHON_BIN     = "/usr/local/python-2.4/bin/python" 
#!/usr/bin/env python 
改为
#!/usr/local/python-2.4/bin/python 
DENYHOSTS_BIN   = "/usr/bin/denyhosts.py" 
改为
DENYHOSTS_BIN   = "/usr/local/python-2.4/bin/denyhosts.py" 
2.
cp -rp /usr/local/python-2.4/lib/python2.4/site-packages/DenyHosts/  /usr/local/python-2.4/lib/python2.4/