[原創] SSH 的一些安全小技巧

網中人

SSH 的一些安全小技巧

----------------------------------------------------

一, 前言

關於 ssh 的好處, 相信不用我多說了吧?
簡而言之, 之前的 rpc command 與 telnet 都全可用 ssh 代替.
比方如下的這些常見功能:
        - 遠端登錄
                ssh user@remote.machine
        - 遠端執行
                ssh user@remote.machine 'command ...'
        - 遠端複制
                scp user@remote.machine:/remote/path /local/path
                scp /local/path user@remote.machine:/remote/path
        - X forward
                ssh -X user@remote.machine
                xcommand ...
        - Tunnel / Portforward
                ssh -L 1234:remote.machine:4321 user@remote.machine
                ssh -R 1234:local.machine:4321 user@remote.machine
                ssh -L 1234ther.machine:4321 user@remote.machine

至於詳細的用法, 我這就不說了. 請讀者自行研究吧.
我這裡要說的, 是針對 ssh 服務為大家介紹一些安全技巧, 希望大家用得更安心些.


二, 實作

(實作以 RedHat 9 為範例)

--------------------------------------------------
轉往 client 端:
$ ssh-keygen -t rsa
* 按三下 enter 完成﹔不需設密碼，除非您會用 ssh-agent .
$ scp ~/.ssh/id_rsa.pub user1@server.machine:id_rsa.pub
* 若是 windows client, 可用 puttygen.exe 產生 public key,
   然後複制到 server 端後修改之, 使其內容成為單一一行.
* 如果 server 端已經禁止密碼登入, 那請用其它放法復製 publick key.
---------------------------------------------------

登入 server 端:

1) 禁止 root 登錄
# vi /etc/ssh/sshd_config
        PermitRootLogin no

2) 廢除密碼登錄, 強迫使用 RSA 驗證(假設 ssh 帳戶為 user1 )
# vi /etc/ssh/sshd_config
        RSAAuthentication yes
        PubkeyAuthentication yes
        AuthorizedKeysFile     .ssh/authorized_keys
        PasswordAuthentication no
# service sshd restart
# su - user1
$ mkdir ~/.ssh 2>/dev/null
$ chmod 700 ~/.ssh
$ touch ~/.ssh/authorized_keys
$ chmod 644 ~/.ssh/authorized_keys
$ cat ~/id_rsa.pub >> ~/.ssh/authorized_keys
$ rm ~/id_rsa.pub
$ exit

3) 限制 su / sudo 名單:
# vi /etc/pam.d/su
        auth       required     /lib/security/$ISA/pam_wheel.so use_uid
# visudo
        %wheel  ALL=(ALL)       ALL
# gpasswd -a user1 wheel

4) 限制 ssh 使用者名單
# vi /etc/pam.d/sshd
        auth       required     pam_listfile.so item=user sense=allow file=/etc/ssh_users onerr=fail
# echo user1 >> /etc/ssh_users

5) 封鎖 ssh 連線並改用 web 控管清單
# iptables -I INPUT -p tcp --dport 22 -j DROP
# mkdir /var/www/html/ssh_open
# cat > /var/www/html/ssh_open/.htaccess <<END
AuthName "ssh_open"
AuthUserFile /var/www/html/ssh_open/.htpasswd
AuthType basic
require valid-user
END
# htpasswd -c /var/www/html/ssh_open/.htpasswd user1
(最好還將 SSL 設起來, 或只限 https 連線更佳, 我這裡略過 SSL 設定, 請讀者自補.)
(如需控制連線來源, 那請再補 Allow/Deny 項目, 也請讀者自補.)
# cat > /var/www/html/ssh_open/ssh_open.php <<END
<?
//Set dir path for ip list
$dir_path=".";

//Set filename for ip list
$ip_list="ssh_open.txt";

//Get client ip
$user_ip=$_SERVER['REMOTE_ADDR'];

//allow specifying ip if needed
if (@$_GET['myip']) {
$user_ip=$_GET['myip'];
}

//checking IP format
if ($user_ip==long2ip(ip2long($user_ip))) {

//Put client ip to a file
if(@!($file = fopen("$dir_path/$ip_list","w+"))
{
        echo "ermission denied!!<br>";
        echo "ls Check your rights to dir $dir_path or file $ip_list";
}
else
{
        fputs($file,"$user_ip";
        fclose($file);
        echo "client ip($user_ip) has put into $dir_path/$ip_list";
}
} else {
echo "Invalid IP format!!<br>ssh_open.txt was not changed.";
}
?>
END
# touch /var/www/html/ssh_open/ssh_open.txt
# chmod 640 /var/www/html/ssh_open/*
# chgrp apache /var/www/html/ssh_open/*
# chmod g+w /var/www/html/ssh_open/ssh_open.txt
# chmod o+t /var/www/html/ssh_open
# service httpd restart
# mkdir /etc/iptables
# cat > /etc/iptables/sshopen.sh <<END
#!/bin/bash

PATH=/sbin:/bin:/usr/sbin:/usr/bin

list_dir=/var/www/html/ssh_open
list_file=$list_dir/ssh_open.txt
chain_name=ssh_rules
mail_to=root

# clear chain if exits, or create chain.
iptables -L -n | /bin/grep -q "^Chain $chain_name" && {
        iptables -F $chain_name
        true
} || {
        iptables -N $chain_name
        iptables -I INPUT -p tcp --dport 22 -j $chain_name
}

# clear chain on demand
[ "$1" = clear ] && {
        iptables -F $chain_name
        cat /dev/null > $list_file
        exit 0
}

# do nothing while list is empty
[ -s $list_file ] || exit 1

# add rule
iptables -A $chain_name -p tcp --dport 22 -s $(< $list_file) -j ACCEPT && \
        echo "ssh opened to $(< $list_file) on $(date)" | \
        mail -s "sshopen" $mail_to
exit 0
END
# chmod +x /etc/iptables/sshopen.sh
# echo -e 'sshopen\t\t1234/tcp' >> /etc/services
# cat > /etc/xinetd.d/sshopen <<END
service sshopen
{
        disable = no
        socket_type     = stream
        protocol        = tcp
        wait            = no
        user            = root
        server          = /etc/iptables/sshopen.sh
}
# iptables -I INPUT -p tcp --dport 1234 -j ACCEPT
# cat > /etc/cron.d/sshopen <<END
*/5 * * * *     root    /etc/iptables/sshopen.sh clear
END

---------------------------
轉往 client 端
在 browser URL 輸入:
        http://server.machine/ssh_open/ssh_open.php?myip=1.2.3.4
(若不指定 ?myip=1.2.3.4 則以 client 當時 IP 為準, 若沒經 proxy 的話.)
如此, server 端的 ssh_open.txt 只有單一記錄, 每次蓋寫.
接著:
        $ telnet server.machine 1234
然後你有最多 5 分鐘時間用 ssh 連線 server !
---------------------------

此步驟的基本構思如下:
        5.1) 將 sshd 的 firewall 連線全部 block 掉.
        5.2) 然後在 httpd 那設一個 directory, 可設 ssl+htpasswd+allow/deny control,
                然後在目錄內寫一個 php 將 browser ip 記錄於一份 .txt 文字檔裡.
                視你的轉寫能力, 你可自動抓取 browser 端的 IP, 也可讓 browser 端傳入參數來指定.
                文字檔只有單一記錄, 每次蓋寫, 定期清空.
        5.3) 修改 /etc/services , 增加一個新項目(如 xxx), 並指定一個新 port(如 1234)
        5.4) 再用 xinetd 監聽該 port , 並啟動令一隻 script,
                設定 iptables , 從 step2 的清單裡取得 IP, 為之打開 ssh 連線.
        5.5) 設 crontab 每數分中清理 iptables 關於 ssh 連線的規則及清空記錄.
                這並不影響既有連線, 若逾時再連, 則重複上述.


6) 要是上一步驟沒設定, 你或許會擔心過多的人來 try 你的 ssh 服務的話:
# cat > /etc/iptables/sshblock.sh <<END
#!/bin/bash

PATH=/sbin:/bin:/usr/sbin:/usr/bin

LOG_FILE=/var/log/secure
KEY_WORD="Illegal user"
KEY_WORD1="Failed password for root"
PERM_LIST=/etc/firewall/bad.list.perm
LIMIT=5
MAIL_TO=root
IPT_SAV="$(iptables-save)"
bad_list=$(egrep "$KEY_WORD" $LOG_FILE | awk '{print $NF}' | xargs)
bad_list1=$(egrep "$KEY_WORD1" $LOG_FILE | awk '{print $11}' | xargs)
bad_list="$bad_list $bad_list1"

for i in $(echo -e "${bad_list// /\n}" | sort -u)
do
        hit=$(echo $bad_list | egrep -o "$i" | wc -l)
        [ "$hit" -ge "$LIMIT" ] && {
                echo "$IPT_SAV" | grep -q "$i .*-j DROP" || {
                        echo -e "\n$i was dropped on $(date)\n" | mail -s "DROP by ${0##*/}: $i" $MAIL_TO
                        iptables -I INPUT -s $i -j DROP
                }
                egrep -q "^$i$" $PERM_LIST || echo $i >> $PERM_LIST
        }
done
END
# chmod +x /etc/firewall/sshblock.sh
# cat >> /etc/hosts.allow <<END
sshd: ALL: spawn ( /etc/firewall/sshblock.sh )& : ALLOW
END

這樣, 那些亂 try SSH 的家夥, 頂多能試 5 次(LIMIT 可調整), 然後就給 BLOCK 掉了.
此外, 在 PERM_LIST 的 ip, 也可提供給 iptables 的初始 script , 來個永久性封閉:
        for i in $(< $PERM_LIST)
        do
                /sbin/iptables -I INPUT -s $i -j DROP
        done  

7) 還有, 你想知道有哪些人對你做 full range port scan 的話:

# iptables -I INPUT -p tcp --dport 79 -j ACCEPT
cat > /etc/xinetd.d/finger <<END
service finger
{
        socket_type     = stream
        wait            = no
        user            = nobody
        server          = /usr/sbin/in.fingerd
        disable         = no
}
END
# cat >> /etc/hosts.allow <<END
in.fingerd: ALL : spawn ( echo -e "\nWARNING %a was trying finger.\n$(date)" | mail -s "finger from %a" root ) & : DENY
END

這裡, 我只是設為發信給 root.
事實上, 你可修改為起動 firewall 將 %a 這個傳回值給 ban 掉也行.
不過, 對方要是有選擇性的做 port scan , 沒掃到 finger 的話, 那當然就沒用了...


三, 結語

security 有蠻多挺好玩的小技巧, 有空再跟大家做分享... ^_^


祝大家:
        中秋快樂!


netman
2005/09/16 於台南

[ 本帖最后由 網中人 于 2006-11-7 14:34 编辑 ]

fargo

Excellent!. all handy pratical tips.

cd211

谢谢～

linuxunix1

好用

aiwowo

嗯，多谢netman大哥了。

soway

我最近在考虑，怎么能让部分user的登陆紧紧在内部，而其他user可以外部网络也能登陆。

dingyi129

收藏！！！


也祝netman中秋节快了!

shinelian

支持！

platinum

忙了一整天，夜里终于可以静下心来欣赏网哥的又一大作了 ^_^

网哥考虑的很周到，idea 也很多，很高明，但有一些地方我想提出一些自己的见解，如果不对还请指正

# su - user1
$ mkdir ~/.ssh 2>;/dev/null
$ chmod 700 ~/.ssh
$ touch ~/.ssh/authorized_keys
$ chmod 644 ~/.ssh/authorized_keys

这里，su - user1 后，自然会切换到 user1 的 home，且环境变量也一起跟随过来
因此，我认为后面的
$ mkdir ~/.ssh 2>;/dev/null
改为
$ mkdir -p .ssh
更合适

虽然说 file 的权限跟随其所在的 directory 走，但我认为
$ chmod 644 ~/.ssh/authorized_keys
改成
$ chmod 600 ~/.ssh/authorized_keys
更安全些

# mkdir /var/www/html/ssh_open
# cat >; /var/www/html/ssh_open/.htaccess <<END
AuthName "ssh_open"
AuthUserFile /var/www/html/ssh_open/.htpasswd
AuthType basic
require valid-user
END
# htpasswd -c /var/www/html/ssh_open/.htpasswd user1

如果用的是自带 RPM 安装的 apache，htdocs 应该在 /var/www/html 下面
ssh_open/.htaccess 是用来认证的配置文件，而 .htpasswd 也与其一同放在 /var/www/html 下，总感觉不大安全，放到一个与 apache 无关的地方，比如 /etc 里面我认为可能更安全些

1. 
   
2. #!/bin/bash
   
3. 
   
4. PATH=/sbin:/bin:/usr/sbin:/usr/bin
   
5. 
   
6. LOG_FILE=/var/log/secure
   
7. KEY_WORD="Illegal user"
   
8. KEY_WORD1="Failed password for root"
   
9. PERM_LIST=/etc/firewall/bad.list.perm
   
10. LIMIT=5
    
11. MAIL_TO=root
    
12. IPT_SAV="$(iptables-save)"
    
13. bad_list=$(egrep "$KEY_WORD" $LOG_FILE | awk '{print $NF}' | xargs)
    
14. bad_list1=$(egrep "$KEY_WORD1" $LOG_FILE | awk '{print $11}' | xargs)
    
15. bad_list="$bad_list $bad_list1"
    
16. 
    
17. for i in $(echo -e "${bad_list// /\n}" | sort -u)
    
18. do
    
19.        hit=$(echo $bad_list | egrep -o "$i" | wc -l)
    
20.        [ "$hit" -ge "$LIMIT" ] && {
    
21.                echo "$IPT_SAV" | grep -q "$i .*-j DROP" || {
    
22.                        echo -e "\n$i was dropped on $(date)\n" | mail -s "DROP by ${0##*/}: $i" $MAIL_TO
    
23.                        iptables -I INPUT -s $i -j DROP
    
24.                }
    
25.                egrep -q "^$i$" $PERM_LIST || echo $i >;>; $PERM_LIST
    
26.        }
    
27. done
    
28. END
    

复制代码

起初看到这个 script 的时候我很诧异，因为之前我也自己写过一个，原理类似，不过不同的是没有用 /etc/hosts.allow，我很傻地用 crond 定期去扫描一次 /etc/secure 中前一分钟的内容，然后提取 IP、统计次数、进行阻断，所以看到这个 script 没有涉及到提取 secure 内容的范围而感动困惑，现在明白了

另外，这个 script 我没有试验过，不知道网哥你是否考虑到了一些系统启用了 IPv6 的机制没有？他们的 /etc/secure 里面的内容与普通系统略有不同，多了 :ffff: 这样的东西

下面，我把我那个很笨的实现方法说一下

# vi /usr/local/sbin/blockscanner.sh

1. 
   
2. #! /bin/bash
   
3. SCANNER=`grep "\`date \"+ %e %H:%M\" -d \"-1min\"\`" /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $1"="$2;}'`
   
4. 
   
5. for i in $SCANNER
   
6. do
   
7.         NUM=`echo $i|awk -F= '{print $1}'`
   
8.         IP=`echo $i|awk -F= '{print $2}'`
   
9.         if [ $NUM -gt 5 ] && [ -z "`iptables -vnL INPUT|grep $IP`" ]
   
10.         then
    
11.                 iptables -I INPUT -s $IP -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
12.                 echo "`date` $IP ($NUM)" >;>; /var/log/scanner.log
    
13.         fi
    
14. done
    

复制代码

1. 
   
2. # chmod 700 /usr/local/sbin/blockscanner.sh
   
3. # echo "*/1 * * * * root /usr/local/sbin/blockscanner.sh" >;>; /etc/crontab
   
4. # service crond restart
   

复制代码

另外，曾经夏天为我写了一个 script，我后来改了改，来实现保护 web 系统（非 netfilter 中 connlimit 那种机制），经测试，配合 syn_cookie 机制，对 syn_flood 略有成效
另一个用途，就是作一个 FTP SERVER 的时候，如果限制了 max_connection，而 client 总不断 reconnect 的时候，会对服务器造成很高的不必要的负载浪费，用下面这个脚本也可以解决

1. 
   
2. #! /bin/bash
   
3. ftp_who()
   
4. {
   
5.         netstat -an|grep "210.xx.xx.xx:21 "|grep -v LISTEN|grep -v ESTABLISHED|awk '{print $5;}'|awk -F':' '{print $1;}'|sort|uniq -c|awk '{print $1"="$2;}'
   
6. }
   
7. 
   
8. http_who()
   
9. {
   
10.         netstat -an|grep "210.xx.xx.xx:80 "|grep -v LISTEN|awk '{print $5;}'|awk -F':' '{print $1;}'|sort|uniq -c|awk '{print $1"="$2;}'
    
11. }
    
12. 
    
13. for _un in $(ftp_who)
    
14. do
    
15.         IP=`echo $_un|gawk -F'=' '{print $2}'`
    
16.         NUM=`echo $_un|awk -F'=' '{print $1}'`
    
17.         if [ $NUM -gt 5 ] && [ -z "`iptables -vnL|grep $IP`" ]
    
18.         then
    
19.                 iptables -I INPUT -s $IP -p tcp --dport 21 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
20.                 echo "`date` FTP $IP NUM: $NUM" >;>; /var/log/fuck.log
    
21.         fi
    
22. done
    
23. 
    
24. for _un in $(http_who|grep -v "210.xx.xx.xx")
    
25. do
    
26.         IP=`echo $_un|gawk -F'=' '{print $2}'`
    
27.         NUM=`echo $_un|awk -F'=' '{print $1}'`
    
28.         if [ $NUM -gt 20 ] && [ -z "`iptables -vnL|grep $IP`" ]
    
29.         then
    
30.                 iptables -I INPUT -s $IP -p tcp --dport 80 -m state --state NEW,RELATED,ESTABLISHED -j DROP
    
31.                 echo "`date` WEB $IP NUM: $NUM" >;>; /var/log/fuck.log
    
32.         fi
    
33. done
    

复制代码

当然，很多 IP 地址都是动态的，无限制地扼杀 IP 有可能会带来一些误杀隐患，因此建议每 24 小时重新初始化一次 firewall 比较好

说了一大通，也不知道说的对不对，献丑啦

wallace888

学习中！