VOS防止盗打及后门的安全策略

已于 2022-05-26 19:43:48 修改
阅读量1.6k 收藏 15
点赞数 5
文章标签： linux centos iptables
于 2021-08-09 13:33:46 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43690636/article/details/119535797
版权

最近很多朋友的vos被黑客盗打了诈骗等话务，造成了很大的经济损失及社会影响，据我掌握的信息来看vos盗版的版本涉及2.1.4.0、2.1.6.0、2.1.7.x、2.1.8.0 等当前主要流行的盗版版本，正版肯定没有问题。各版本后门都不尽相同，下面是我针对所有版本的防护措施，仅限参考，本人不对其产生的后果负责。

1、准备工作：

因为阿里云更攺了对CentOs 6.x的yum地址，请手动更新yum.repo内容。
将/etc/yum.repos.d/目录下所有文件删除，再建/etc/yum.repos.d/CentOS-Base.repo文件：

# CentOS-Base.repo
#
# The mirror system uses the connecting IP address of the client and the
# update status of each mirror to pick mirrors that are updated to and
# geographically close to the client. You should use this for CentOS updates
# unless you are manually picking other mirrors.
#
# If the mirrorlist= does not work for you, as a fall back you can try the
# remarked out baseurl= line instead.
#
#

[base]
name=CentOS-$releasever - Base
baseurl=https://mirrors.tuna.tsinghua.edu.cn/centos-vault/centos/$releasever/os/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-6

#released updates
[updates]
name=CentOS-$releasever - Updates
baseurl=https://mirrors.tuna.tsinghua.edu.cn/centos-vault/centos/$releasever/updates/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-6

#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras
baseurl=https://mirrors.tuna.tsinghua.edu.cn/centos-vault/centos/$releasever/extras/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-6

#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus
baseurl=https://mirrors.tuna.tsinghua.edu.cn/centos-vault/centos/$releasever/centosplus/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-6

#contrib - packages by Centos Users
[contrib]
name=CentOS-$releasever - Contrib
baseurl=https://mirrors.tuna.tsinghua.edu.cn/centos-vault/centos/$releasever/contrib/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=contrib
gpgcheck=1
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-6

测试一下看是否可以正常yum：

yum -y install mlocate lrzsz ca-certificates openssl nss
2、准备安装VOS环境：

新建安装脚本(install.sh)：

#!/bin/bash
setenforce 0
sed -i 's/SELINUX=enforcing/SELINUX=disabled/' /etc/selinux/config
service iptables stop
yum install -y zip
yum install ntp crontabs -y
rm -rf /etc/localtime
ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
service ntpd stop
ntpdate cn.ntp.org.cn
free=$(free -m|awk '{print $2}'|tail -1)
if  [[ "$free" < "1024" ]];then
echo "making swap..."
dd if=/dev/zero of=/mnt/swapfile bs=1M count=8192
mkswap /mnt/swapfile
swapon /mnt/swapfile
echo "set chkconfig"
echo "/mnt/swapfile          /swap                   swap    defaults        0 0" >> /etc/fstab
fi
uname=$(uname -a|awk '{print $3}')
if  [ "$uname" != "2.6.32-358.el6.x86_64" ];then
        yum remove -y kernel kernel-firmware
        yum install -y kernel-2.6.32-358.el6.x86_64.rpm kernel-firmware-2.6.32-358.el6.noarch.rpm
        reboot
fi 

yum remove -y perl perl-DBI mysql mysql-* 
yum remove -y perl perl-DBI mysql mysql-*

赋权并执行安装：

chmod 777 install.sh && ./install.sh

因涉及正版内容，vos的安装在这里省略了，有感兴趣的私信里交流。
重启后查看端口是否启动：

netstat -nlp
tcp        0      0 0.0.0.0:1202                0.0.0.0:*                   LISTEN      1350/java           
tcp        0      0 0.0.0.0:1203                0.0.0.0:*                   LISTEN      1350/java           
tcp        0      0 0.0.0.0:1204                0.0.0.0:*                   LISTEN      1350/java           
tcp        0      0 0.0.0.0:1205                0.0.0.0:*                   LISTEN      1350/java 
以上端口为client连接端口
udp        0      0 0.0.0.0:5060                0.0.0.0:*                               2320/mbx3000        
udp        0      0 0.0.0.0:5060                0.0.0.0:*                               2320/mbx3000        
以上端口说明vos的sip服务起来了，授权正确.
3、更改Mysql数据库目录

停止MySQL服务：

#> /etc/init.d/mysql stop

在大的挂载磁盘创建MySQL目录并copy数据文件到该目录:

#> mkdir /home/mysql
#> cp -R /var/lib/mysql/* /home/mysql/

修改权限(mysql的运行账户为“mysql“用户)，否则MySQL启动会报错：

#> chown -R mysql.mysql /home/mysql/

修改MySQL配置文件，讲data目录修改至新分区：

#> vim /etc/my.cnf
[mysqld]
datadir = /home/mysql

启动服务：

#> /etc/init.d/mysql start
Starting MySQL. SUCCESS!

测试是否成功：

##将旧的数据目录(data)改名：
#> mv /var/lib/mysql /var/lib/mysql_
#> /etc/init.d/mysql restart
Shutting down MySQL... SUCCESS! 
Starting MySQL. SUCCESS!
4、系统防护：

以上完成后开始做防护，安装tripwir（该软件监控linux 文件系统的改动）:

yum install epel-release
yum -y install tripwire
如不能安装tripwir，请更改epel源：
[epel]
name=Extra Packages for Enterprise Linux 6 - $basearch
baseurl=http://archives.fedoraproject.org/pub/archive/epel/6/$basearch
failovermethod=priority
enabled=1
gpgcheck=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-6
 
[epel-debuginfo]
name=Extra Packages for Enterprise Linux 6 - $basearch - Debug
baseurl=https://archives.fedoraproject.org/pub/archive/epel/6/$basearch/debug
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-6
gpgcheck=0
 
[epel-source]
name=Extra Packages for Enterprise Linux 6 - $basearch - Source
baseurl=https://archives.fedoraproject.org/pub/archive/epel/6/SRPMS
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-6
gpgcheck=0


cd /etc/tripwire/ && tripwire-setup-keyfiles

全部选择 “Yes”，需要输密码的地方输一样的密码，调用tripwire需要用到。

初始化tripwire:
tripwire --init

生成无用文件明细：

sh -c "tripwire --check" | grep Filename > /etc/tripwire/no-directory.txt

使用以下 bash进行去除无用文件检查：

#!/bin/bash
for f in $(grep "Filename:" /etc/tripwire/no-directory.txt | cut -f2 -d:); do
 sed -i "s|\($f\) |#\\1|g" /etc/tripwire/twpol.txt 
done

再次生成文件列表：

twadmin -m P /etc/tripwire/twpol.txt

再次初始化：

tripwire --init

检查：

tripwire --check

可以看到没有错误了：

No violations.
===============================================================================
Error Report: 
===============================================================================
No Errors

当系统有文件进行了改动，通过 tripwire --check进行检查可以看到。

修攺阿里云的安全组策略（只修改公网入方向）：

拒绝	1	全部 ICMP(IPv4)	目的: -1/-1 源: 0.0.0.0/0       拒ping
//如果不代理媒体，不加这条：允许	1	自定义 UDP	目的: 20000/40000源: 0.0.0.0/0  放行RTP的UDP端口
允许	1	自定义 TCP	目的: 22/22源: 0.0.0.0/0        开放功能端口
允许	1	自定义 TCP	目的: 8088/8088源: 0.0.0.0/0    开放功能端口
允许	1	自定义 TCP	目的: 1202/1210源: 0.0.0.0/0    开放功能端口
拒绝	100	自定义 TCP	目的: 1/65535源: 0.0.0.0/0      最低级别禁所有TCP入
拒绝	100	自定义 UDP	目的: 1/65535源: 0.0.0.0/0      最低级别禁所有UDP入

随后添加落地网关和对接网关时在里面添加对方的IP：

允许	1	自定义 UDP	目的: 5060/5060源: 123.123.123.123/32    放开(客户1)SIP端口

修改服务器的iptables（/etc/sysconfig/iptables文件内容）:

通过服务器的iptables防火墙，封闭所有对外端口和向外访问的端口，只开放ssh和web服务端口，如果只是做话务的对接，那么RTP的端口也一并关掉，这样能最大化的防护攻击及vos盗版软件里安放的后门。并且还要定期使用tripwire --check检查系统文件是否有被篡改，这样才能最大的保障您的资产安全。

安装ipset 对中国IP地址以外进行拦截
yum install ipset

写个执行角本用来定期更新国内IP段( ipset_up.sh)：

#!/bin/bash
 ipset create china hash:net hashsize 10000 maxelem 1000000
rm -f cn.zone
wget http://www.ipdeny.com/ipblocks/data/countries/cn.zone
#批量增加中国IP到ipset的china表
for i in `cat cn.zone`
do
    ipset add china $i 
done
service ipset save  
chkconfig ipset on

chmod 777 ipset_up.sh
./ipset_up.sh

# Generated by iptables-save v1.4.7 on Wed Aug  4 20:54:04 2021
# 禁止input/output所有通讯
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
-A INPUT -i lo -j ACCEPT 
# 放开常用端口，禁止访问外网：
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m udp --dport 5060 -j ACCEPT
# 如果只是信令交互不代理媒体的话禁掉10000-49999的UDP端口更安全。如果需要开放打开下面是限制国内IP才可以走媒体
#-A INPUT -m set --match-set china src -p udp -m udp --dport 10000:49999 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --sport 22 -j ACCEPT
-A OUTPUT -p tcp -m tcp --sport 1202 -j ACCEPT 
-A OUTPUT -p udp -m udp --sport 5060 -j ACCEPT
# 如果只是信令交互不代理媒体的话禁掉10000-49999的UDP端口更安全。如果需要开放打开下面是限制国内IP才可以走媒体
#-A OUTPUT -m set --match-set china src -p udp -m udp --sport 10000:49999 -j ACCEPT
# 接受中国的ping
-A INPUT -m set --match-set china src -p icmp -j ACCEPT
-A OUTPUT -m set --match-set china src -p icmp -j ACCEPT
-A OUTPUT -s 127.0.0.1/32 -j ACCEPT
COMMIT
# Completed on Wed Aug  4 20:54:04 2021
# Generated by iptables-save v1.4.7 on Wed Aug  4 20:54:04 2021
*nat
:PREROUTING ACCEPT [10:490]
:POSTROUTING ACCEPT [14:1879]
:OUTPUT ACCEPT [45:5529]
COMMIT
# Completed on Wed Aug  4 20:54:04 2021

重启防火墙：

/etc/init.d/iptables restart

下面说说安全策略的原理和后续的操作：

1、iptables对TCP协议只开放了ssh的访问端口22
2、iptables对udp协议只开放了5060（sip端口）、10000-49999（媒体转发端口）
3、1202的client端口通过web认证后才能正常访问，限制了非授权用户访问此端口。
4、将对接网关和落地网关对方的IP添加到阿里云的安全组里：
     允许  1  自定义 UDP	目的: 5060/5060  源: 192.168.0.0/16   #SIP用户IP
asterisk_p
关注
  • 5
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
VOS2009-3000-2.1.2.0安装及破解教程-保证安装成功-亲测有效
04-17
网上的资料一大推，请各位按照此文档中的步骤操作。复制->粘贴 即可成功安装！
vos 2009 2.1.2.0 商业版及vos防护文件与教程.rar
01-03
百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看 百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看 百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看 百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看 百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看 百度下载的 不知道能不能用 换点积分 下载VOS3000试试 大家可以试试看
【无需任何插件】将VOS录音文件REC转MP3，REC转WAV或MP3的具体流程
唯有代码让我痴狂
06-16 910
【无需任何插件】将VOS录音文件REC转MP3，REC转WAV或MP3的具体流程完全复制即可，如需其他任何操作，代码长期有效，如失效，可以随时私信或者留言，免费更新。 __ 一位热爱鼓捣的IT爱好者
vos笔记
xdy1003的专栏
03-23 1092
市场上面，有太多的人装VOS收费，不管是VOS2009也好，VOS3000也好，各种各样的版本，都给出来了一个标志性语句“防掉线，防攻击”。可是事实上都是一个德性。普遍的作法无外乎下面几种： 1、通过修改防火墙，添加一条转发规则，做一个重定向，在数据包进入到prerouting这张表时，就优先被处理了。 -A PREROUTING -i eth0 -p tcp -m tcp --dport 111...
vos3000外呼系统怎样防攻击防盗打
weixin_kelaile520的博客
01-05 623
涵盖了使用防火墙、加密连接、更新系统及程序、强化密码策略、限制接口访问、监视日志、隔离重要业务等措施，防止未经授权的访问或重复播放攻击。限制接口访问：VOS3000的远程管理接口是一个非常重要的部分，容易成为攻击者的目标。因此，应该将其限制在特定的IP地址，明确地限制管理接口可以被访问的源IP地址。使用防火墙：安装和配置防火墙是保护VOS3000的第一道防线，可以防止对VOS3000系统响应端口的扫描和攻击。定期检查日志，查找系统中的安全事件和异常行为，这有助于发现潜在风险，及时采取措施防止进一步的损失。
VOS去后门用的，点击右键运行一次即可
07-17
VOS去后门用的，点击右键管理员身份运行一次即可，使用简单方便！
vos3000 2.8.0 无后门公司自用安装包
最新发布
07-08
安装教程查看此链接 https://blog.csdn.net/hendy9987/article/details/140276
vos30002185服务器端搭建方法及源码-小白专属
11-27
服务器所需压缩包
VOS-external接口配置及调试1
08-08
IP认证是接口安全策略的一种，确保只有授权的IP地址可以访问特定的服务。在V2.1.4.00及更高版本的VOS系统中，编辑`/home/kunshiweb/base/apache-tomcat/conf/Catalina/localhost/external.xml`文件来添加允许访问的...
VOSviewer安装包
03-26
VOSviewer是一款强大的可视化软件，尤其在科学引文分析和合作网络分析领域有着广泛的应用。它是由Leiden University图书馆开发的，旨在帮助用户创建和查看各种类型的网络图和地图，如作者合作图、引文图、关键词共现...
简单去除后门
01-25
简单去除后门
vos2009/3000 全套+教程
03-21
vos200-3000 完整安装文件加教程 附加数据库下载地址
vos3000防火墙规则
w519021660
03-16 363
vos3000防火墙规则
vos3000有效避免盗打的一些方法
weixin_49543223的博客
03-18 641
因此，应该将其限制在特定的IP地址，明确地限制管理接口可以被访问的源IP地址。：管理员和用户都需要加强安全意识培训，了解主动防护技术、识别伪装虚假设备等基本防范知识，提高安全意识和防范能力,可以通过VX@yuyinjiqiren 寻求最新版本的系统，安全性更高。定期检查日志，查找系统中的安全事件和异常行为，这有助于发现潜在风险，及时采取措施防止进一步的损失。：控制用户的权限，确保用户只能调取自己的号码记录，防止恶意行为的发生。：限制访问系统的IP地址，只允许特定的IP访问，防止未被授权的用户访问系统。
VOS3000加装登陆服务器安全防护系统有用吗
weixin_49543223的博客
04-19 882
总的来说，是否需要为VOS3000加装登陆服务器安全防护系统，取决于你的具体需求和现有的安全措施。反之，如果需要更高级别的安全防护，那么加装安全防护系统可能会是一个好的选择。然而，即使有这些内置的安全措施，也可能需要额外的安全防护系统，特别是如果你的VOS3000系统承载着重要的业务，或者你需要更高级别的安全防护。VOS3000是一款专业的软交换系统，它主要用于中小规模的VoIP运营业务，包括运营费率设定、套餐管理，账户管理、业终端管理、网关管理、数据查询、卡类管理、号码管理、系统管理等功能。
okcc呼叫系统vos3000怎样防范被盗打？
2301_79028730的博客
12-15 533
控制用户权限：控制用户的权限，确保用户只能调取自己的号码记录，防止恶意行为的发生。加强安全意识培训：管理员和用户都需要加强安全意识培训，了解主动防护技术、识别伪装虚假设备等基本防范知识，提高安全意识和防范能力。定期备份数据：定期备份系统数据是一个良好的习惯，可以保证在发生数据丢失事件时，能够快速地将系统恢复到最近的一个备份点。限制 IP 访问：限制访问系统的 IP 地址，只允许特定的 IP 访问，防止未被授权的用户访问系统。更新系统和应用程序：定期更新系统和相关应用程序，以保证系统的安全、稳定和可靠。
VOS3000被DDOS攻击后该怎么办
ai_vx_3307623172的博客
05-25 577
如果攻击转移到了新IP，可以考虑将域名解析到新IP，并设置CDN系统，将流量引导至新IP，以避免被攻击者找到源IP。可以配置双IP，主IP被攻击时，使用副IP运行系统，副IP被攻击主IP也已经恢复了，具体操作可以vx博主@yuyinjiqiren 一起学习交流。：定期检查VOS3000的系统和应用程序日志，查找系统中的安全事件和异常行为，这有助于发现潜在风险，及时采取措施防止进一步的损失。：将重要业务隔离在独立的服务器上，便于实现安全隔离，并限制重要业务的访问，确保只有授权的管理员可以进行相关操作。
vos3000安装完后登陆是红灯怎么办
weixin_49543223的博客
04-07 475
VOS3000安装完成后登录界面显示红灯可能是由多种原因造成的，这个问题涉及到VOS客户端与服务器之间的TCP连接状态。根据搜索结果，TCP连接一旦断开，服务器和软交换的状态灯就会显示红灯。但这并不意味着VOS的服务一定出了问题，可能只是网络连接暂时中断。下面我们将从不同角度详细分析可能的原因和解决办法。综上所述，VOS3000安装后登录显示红灯的问题可能与网络连接有关，也可能是由于VOS后台服务暂时性问题。用户应首先检查VOS后台服务状态，然后检查网络连接情况，必要时联系服务提供商寻求帮助。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

asterisk_p

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值