自动封堵暴力破解ssh账号的入侵者

xiaosuo 发表于 2011-12-21 08:43

无限发现他的ssh服务器有人企图暴力破解账号，我也自查了一下，发现我也一样受到了此类攻击，ssh中的相关log如下：<div> </div><div><div id="codeText" class="codeText"><ol style="margin:0 1px 0 0;padding:5px 0;" start="1" class="dp-css"><li>May 10 23:20:21 localhost sshd: Invalid user x from x.x.x.x</li></ol></div></div>明显x.x.x.x在进行账号猜测。随即写了个ruby脚本，监控sshd的此类日志，并对连续输错用户名十次以上的IP用iptables进行封堵。<div> </div><div><div id="codeText" class="codeText"><ol style="margin:0 1px 0 0;padding:5px 0;" start="1" class="dp-css"><li>#!/usr/bin/ruby </li><li>
# </li><li>
 </li><li>
class Daemon </li><li>
  def Daemon.start </li><li>
    exit!(0) if fork </li><li>
    Process::setsid </li><li>
    exit!(0) if fork </li><li>
    Dir::chdir("/") </li><li>
    File::umask(0) </li><li>
    STDIN.reopen("/dev/null") </li><li>
    STDOUT.reopen("/dev/null", "w") </li><li>
    STDERR.reopen("/dev/null", "w") </li><li>
    yield if block_given? </li><li>
  end </li><li>
end </li><li>
 </li><li>
def block_ip(ip) </li><li>
  cmd = "iptables -A block_ip -s #{ip} -j DROP" </li><li>
  system(cmd) </li><li>
end </li><li>
 </li><li>
def block_invalid(filename) </li><li>
  block_limit = 10 </li><li>
 </li><li>
  log_file = File.new(filename) </li><li>
  ips = Hash.new </li><li>
  blocked_ips = Hash.new </li><li>
  log_file.each do |line| </li><li>
    field = line.split </li><li>
    if field[5] == "Invalid" </li><li>
      ip = field[field.length - 1] </li><li>
      if ips.key?(ip) </li><li>
        ips[ip] += 1 </li><li>
      else </li><li>
        ips[ip] = 1 </li><li>
      end </li><li>
      if ips[ip] > block_limit and not blocked_ips.key?(ip) </li><li>
        blocked_ips[ip] = 1 </li><li>
        block_ip(ip) </li><li>
      end </li><li>
    end </li><li>
  end </li><li>
end </li><li>
 </li><li>
if system("iptables -nvL block_ip &>/dev/null") </li><li>
  system("iptables -F block_ip") </li><li>
else </li><li>
  system("iptables -N block_ip") </li><li>
  system("iptables -I INPUT -j block_ip") </li><li>
end </li><li>
 </li><li>
Daemon.start do </li><li>
  block_invalid("/var/lib/myips.fifo") </li><li>
end</li></ol></div></div>
本质上，这就是一个简单的LIPS--基于日志的入侵防护系统。

页: [1]

Chinaunix's Archiver

自动封堵暴力破解ssh账号的入侵者