linux服务器防范ssh暴力破解

最近一直关注Linux服务器的的/var/log/secure文件，发现里面有大量的ssh失败尝试记录，如下


[img]http://dl.iteye.com/upload/attachment/267725/ffb7bd5f-763c-33f6-bea4-216a5af657de.jpg[/img]


[color=red]查看了该IP的尝试次数和时间，一直从凌晨4点到下午1点[/color]



[img]http://dl.iteye.com/upload/attachment/267727/1b84dffc-e635-3628-9204-9c6ab50c553b.jpg[/img]


多达9288次的扫描，从图中可以看出正在尝试各种用户名来连接，真他妈的没事干，也不知道用什么破软件在那里无聊，幸好我的密码也够复杂，要不然嘿嘿..........
我服务器上的secure有多个，按时间进行截取的，我对其中的secure.1文件进行统计。
获取其中的ip地址和数量：
[color=green]# grep -o '[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}' /var/log/secure.1 | sort | uniq -c[/color]


[img]http://dl.iteye.com/upload/attachment/267729/7764a36a-8566-3d80-83a6-4786cf2dad48.jpg[/img]


如此之多，让我不禁冒出冷汗，真吓人，也不知道我的服务器上面有什么好东西，那么喜欢，真二！！！！当然如果是自己通过ssh成功连接，记录也会在这里面。
为了防止此类无聊之人再次光临，就得想办法不让他们进行扫描，本人在网上查找资料，得知Denyhosts软件可以达到该效果，DenyHosts是Python语言写的一个程序，它会分析sshd的日志文件（/var/log/secure），当发现重复的攻击时就会记录IP到/etc/hosts.deny文件，从而达到自动屏IP的功能。如果是手动添加的话不把人累死才怪。
DenyHosts官方网站为：[url]http://denyhosts.sourceforge.net[/url]
本文已附上附件，是从该网站下载的，版本为较新的2.6版。

一:检查安装要求
首选检查Sshd是否支持 Tcpwrap，只有支持Tcpwrap才可以安装Denyhost
[color=green]# ldd /usr/sbin/sshd |grep wrap
libwrap.so.0 => /usr/lib/libwrap.so.0 (0x00864000) //出现此信息时表示支持
再检查 Python的版本，Python2.3以上版本可以直接安装
# python -V
Python 2.4.3[/color]
均达到要求

二:安装Denyhosts
先下载该软件，然后解压安装
进行解压再进入到源目录
[color=green]# tar -xzvf DenyHosts-2.6.tar.gz
# cd DenyHosts-2.6[/color]
执行Python脚本进行安装，
# python setup.py install
程序脚本自动安装到/usr/share /denyhosts
库文件自动安装到/usr/lib/python2.4/site-packages /DenyHosts
denyhosts.py安装到/usr/bin

三: 设置启动脚本
[color=green]# cd /usr/share/denyhosts/[/color]
拷贝模板文件
[color=green]# cp daemon-control-dist daemon-control[/color]
设置好启动脚本的所属用户和权限
[color=green]# chown root daemon-control
# chmod 700 daemon-control[/color]
生成Denyhost的主配置文件，（将模板文件中开头是#的过滤后再导入到Denyhost.cfg）
[color=green]# grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg[/color]
编辑Denyhost.cfg文件，根据自己需要进行相应的修改

----------------[color=green]denyhosts.cfg[/color]--------------------------------------
SECURE_LOG = /var/log/secure #ssh 日志文件，它是根据这个文件来判断的，如还有其他的只要更改名字即可，例如将secure改为secure.1等
[color=green]HOSTS_DENY = /etc/hosts.deny[/color]

#控制用户登陆的文件，将多次连接失败的IP添加到此文件，达到屏蔽的作用
[color=green]PURGE_DENY = [/color]
#过多久后清除已经禁止的，我这里为空表示永远不解禁
[color=green]BLOCK_SERVICE = sshd[/color]
#禁止的服务名，如还要添加其他服务，只需添加逗号跟上相应的服务即可
[color=green]DENY_THRESHOLD_INVALID = 1 [/color]
#允许无效用户失败的次数
[color=green]DENY_THRESHOLD_VALID = 2 [/color]
#允许有效用户登录失败的次数
[color=green]DENY_THRESHOLD_ROOT = 3 [/color]
#允许root登录失败的次数
[color=green]HOSTNAME_LOOKUP=NO [/color]
# 是否做域名反解，这里表示不做
[color=green]ADMIN_EMAIL = 。。。。
[/color]
#管理员邮件地址,它会给管理员发邮件
[color=green]DAEMON_LOG = /var/log/denyhosts [/color]
#自己的日志文件

其他：
AGE_RESET_VALID=5d #（h表示小时，d表示天，m表示月，w表示周，y表示年）
AGE_RESET_ROOT=25d
AGE_RESET_RESTRICTED=25d
AGE_RESET_INVALID=10d
#用户的登陆失败计数会在多长时间后重置为0
RESET_ON_SUCCESS = yes
#如果一个ip登陆成功后，失败的登陆计数是否重置为0
DAEMON_SLEEP = 30s
#当以后台方式运行时，每读一次日志文件的时间间隔。
DAEMON_PURGE = 1h
#当以后台方式运行时，清除机制在 HOSTS_DENY 中终止旧条目的时间间隔,这个会影响PURGE_DENY的间隔。
将 Denyhost启动脚本添加到自动启动中
# echo '/usr/share/denyhosts/daemon-control start' >> /etc/rc.d/rc.local
启动Denyhost的进程
# /usr/share/denyhosts/daemon-control start
可以查看到Denyhost在运行中
# ps -ef |grep deny
在另外一台机器上使用ssh进行连接，当在连续几次输入错误的密码后，会被自动阻止掉，在一定时内不可以再连接ssh连接记录的日志文件。
查看我的/etc/hosts.deny文件发现里面已经有135条记录。
# cat /etc/hosts.deny | wc -l
135



[img]http://dl.iteye.com/upload/attachment/267730/4f5f6cfb-cca7-3b4e-8d3f-df56cbd18d38.jpg[/img]


原文链接：[url]http://www.hackline.net/a/special/linux/safe/2010/0620/4544.html[/url]