在find下/ var/ log /messages出现三次以上ssh faild 就自动关闭端口

tingfengmanbu

如题，小弟不太懂shell，但是我们服务器每天都被人连接，所以想办法尽力避免危险，谢谢高手帮忙，顺便问下，如果想做到有人想连接我其他的端口和测试密码，我应该怎么写才可以拒绝 也是出现3次以上的连接后自动关闭端口拒绝，谢谢各位大虾

MMMIX

meybe iptables(8) can help you.

tingfengmanbu

原帖由 MMMIX 于 2007-11-22 09:14 发表
meybe iptables( can help you.

版主的意思是用iptables帮助？

tingfengmanbu

原帖由 MMMIX 于 2007-11-22 09:14 发表
meybe iptables( can help you.

版主的意思是让我用iptables写么。。回答下啦~

mymtom

用firewall吧！

MMMIX

iptables 也许会有用。已经很久没有接触过这个了。

阿辉

用denyhosts就好了。

http://hi.baidu.com/farmerluo/bl ... 2f2e087bf48083.html

finddream

倒是以前写过这样的脚本，我发上来吧，你看下，但是效率比较底，不过，你要实施的时候最好给自己留条后路，否则。。。。

1. 
   
2. #!/bin/bash
   
3. 
   
4. ######################################################################
   
5. #This scripts is for check the sshd server ,version 0.1 Bate
   
6. #write by finddream
   
7. #if you have some advise,you can give me a mail:finddream863@163.com
   
8. ######################################################################
   
9. 
   
10. #setup the local language is english
    
11. 
    
12. export LANG=en
    
13. 
    
14. #setup the around file path
    
15. 
    
16. SSHD_LOG=/var/log/secure
    
17. SSHD_FAILED_FILE=/root/ssh_faild.txt
    
18. FAILED_WORDS="Failed password"
    
19. IPTABLES_RULE=/etc/sysconfig/iptables
    
20. 
    
21. #setup the around command path
    
22. 
    
23. CAT=/bin/cat
    
24. GREP=/bin/grep
    
25. AWK=/bin/awk
    
26. UNIQ=/usr/bin/uniq
    
27. IPTABLES=/sbin/iptables
    
28. ECHO=/bin/echo
    
29. SLEEP=/bin/sleep
    
30. TOUCH=/bin/touch
    
31. SORT=/bin/sort
    
32. SERVICE=/sbin/service
    
33. 
    
34. #setup the ssh failed count
    
35. 
    
36. SSH_FAILED_COUNT=3
    
37. SSHD_PORT=22
    
38. DATE_MONTH=`date +%b`
    
39. DATE_DAY=`date +%d`
    
40. 
    
41. #check the sshd log
    
42. 
    
43. if [ -e $SSHD_LOG ]
    
44. then
    
45.         $ECHO "The sshd log is exits!"
    
46. else
    
47.         $ECHO "The sshd log is not exits,please check you OS!"
    
48.         exit 1
    
49. fi
    
50. 
    
51. #check the sshd failed file
    
52. 
    
53. if [ -e $SSHD_FAILED_FILE ]
    
54. then
    
55.         $ECHO "The sshd failed file is exits!"
    
56. else
    
57.         $ECHO "The sshd failed file is not exits,OS will touch it............"
    
58.         $SLEEP 3
    
59.         $TOUCH $SSHD_FAILED_FILE
    
60. fi
    
61. 
    
62. #check the sshd failed IP
    
63. 
    
64. $CAT $SSHD_LOG |$GREP "$FAILED_WORDS"|$GREP "\<$DATE_MONTH\>"|$GREP "\<$DATE_DAY\>" |$AWK -F " " '{print $11}' |$AWK -F ":" '{print $4}' |$SORT|$UNIQ -c > $SSHD_FAILED_FILE
    
65. 
    
66. #if the ssh failed beyond the sshd_failed_count,OS will DROP it
    
67. 
    
68. while read COUNT IP
    
69. do
    
70.         if [ $COUNT -ge $SSH_FAILED_COUNT ]
    
71.         then
    
72.                 $GREP "\-A\ INPUT\ \-s\ $IP\ \-p\ tcp \-m\ tcp\ \-\-dport\ SSHD_PORT\ \-j\ DROP" $IPTABLES_RULE
    
73.                 if [ $? -ne 0 ]
    
74.                 then
    
75.                         $IPTABLES -t filter -A INPUT -s $IP -p tcp -m tcp --dport $SSHD_PORT -j DROP
    
76.                         $SERVICE iptables save
    
77.                 else
    
78.                         $ECHO "the rule is exits!"
    
79.                 fi
    
80.         else
    
81.                 echo "   "
    
82.         fi
    
83. done < $SSHD_FAILED_FILE
    
84. 
    
85. exit 0
    

复制代码

ppiqq

看呆啦
楼上的大哥能不能告诉小弟一下
SSH_FAILED_COUNT=3
只要将这一行的数字改了就可以实现限制N次SSH吗？

mars531706

其实没必要用脚本来限制，最好是建立一个用来远程登录的用户，然后配置只允许该用户远程登录。这个你搜索下，方法很多的。

一般的限制方法，如果是只限制root用户登录，直接在sshd.conf配置就可以了。
但是这样的话，还会来猜测你的常用用户名，如果你直接就配置指定的用户名才可以登录，就需要猜对你的用户名和密码，基本上很难进行穷举攻击了。这个需要使用pam模块，网上相关的文档很多，你留心找下就好了。

从理论上来说，这样还是不足够安全的，因为可以实行中间人攻击。但是如果采用密钥登录的方式来避免中间人攻击，又会给管理带来不方便。而且中间人攻击的实施也不是很容易的，所以如何取舍就看你们的数据重要性，公司的规范化程度了。

或许是有通过使用脚本来限制的情况的，不过正如8楼所说的。效率不高，因为一般的安全日志是很长的。读文件会一定程度上影响效率。

给楼主建议：
使用密钥方式登录 or  限制连接ip  or  限制连接用户
（意思就是第一个不行就第二个，第二个不行就第三个）