最近在一次登錄服務器時，系統提示多次登錄失敗：There were xxx failed login attemps since the last successful login.
作為小白的我第一次遇到，雖說沒什么損失，也借此機會學習一下應對方法，為方便以后使用，在此做簡單的整理記錄，
SSH暴力破解攻擊
是一種通過遍歷列舉的用戶名（尤其是一些常用、慣用的用戶名）、密碼字典對遠程登錄設備（如：云服務器）進行嘗試登錄，來竊取設備權限，以獲取非法利益的網路攻擊手段（個人見解，參考：https://cloud.tencent.com/developer/article/1159622），
應對該問題有多種方法：更換ssh埠、使用安全組限制入流ip、使用fail2ban、denyhosts等工具，
在這里只對本人使用Denyhosts工具的程序做描述，
Dneyhosts介紹
Denyhosts是一個由Linux系統管理員運行，用來阻止SSH服務器攻擊的python腳本（參考：Denyhosts官網http://denyhosts.sourceforge.net/），
在服務器安全日志（Centos：/var/log/secure；Ubutun：/var/log/auth.log）里，可以查看到訪問服務器的記錄，在受到不明IP多次訪問時，我們可以通過將允許訪問的IP添加至系統白名單（/etc/hosts.allow）,或者將禁止的IP添加到黑名單（/etc/hosts.deny）,來限制訪問服務器的IP；但是攻擊者一般都是通過不同IP對服務器進行訪問，這樣就對阻止攻擊造成很大的麻煩，Dneyhosts就是一個自動查看分析安全日志，將符合設定禁止條件的IP添加到/etc/hosts.deny的腳本程式，
Dneyhosts手動安裝（基于centos7系統）
一、下載denyhosts原始碼
wget http://github.com/denyhosts/denyhosts/archive/v2.10.tar.gz tar -zxvf v2.10.tar.gz
二、安裝denyhosts
cd denyhosts-2.10 python setup.py install #注：由于denyhosts基于python2，若同時安裝了python3，請注意python運行環境
三、修改配置
安裝完后，會在/usr/bin檔案下生成daemon-control-dist 和denyhosts.py兩個檔案，默認生成/etc/denyhosts.conf組態檔，
vim /etc/denyhosts.conf #修改組態檔
修改內容：
########################################################################
#
# SECURE_LOG: the log file that contains sshd logging info
# if you are not sure, grep "sshd:" /var/log/*
#
# The file to process can be overridden with the --file command line
# argument
# 不同系統的日志檔案名有差異
# Redhat or Fedora Core:
SECURE_LOG = /var/log/secure #修改日志檔案路徑指向以適合當前系統（centos7）
#
# Mandrake, FreeBSD or OpenBSD:
#SECURE_LOG = /var/log/auth.log
#
# SuSE or Gentoo:
#SECURE_LOG = /var/log/messages
#
# Mac OS X (v10.4 or greater -
# also refer to: http://www.denyhost.net/faq.html#macos
#SECURE_LOG = /private/var/log/asl.log
#
# Mac OS X (v10.3 or earlier):
#SECURE_LOG=/private/var/log/system.log
#
# Debian and Ubuntu
#SECURE_LOG = /var/log/auth.log
########################################################################
######################################################################
#
# LOCK_FILE
#
# LOCK_FILE=/path/denyhosts
# If this file exists when DenyHosts is run, then DenyHosts will exit
# immediately. Otherwise, this file will be created upon invocation
# and deleted upon exit. This ensures that only one instance is
# running at a time.
# 不同系統有差異
# Redhat/Fedora:
LOCK_FILE = /var/lock/subsys/denyhosts #防止denyhosts多次運行，修改檔案路徑以適合當前系統（centos7）
#
# Debian or Gentoo
#LOCK_FILE = /run/denyhosts.pid
#
# Misc
#LOCK_FILE = /tmp/denyhosts.lock
#
######################################################################
# format is: i[dhwmy] # Where i is an integer (eg. 7) # m = minutes # h = hours # d = days # w = weeks # y = years # # never purge: PURGE_DENY = #過多久后清除已阻止IP HOSTS_DENY = /etc/hosts.deny #將阻止IP寫入到hosts.deny BLOCK_SERVICE = sshd #阻止服務名 PURGE_THRESHOLD = #定義了某一IP最多被解封多少次，某IP暴力破解SSH密碼被阻止/解封達到了PURGE_THRESHOLD次，則會被永久禁止； DENY_THRESHOLD_INVALID = 1 #允許無效用戶登錄失敗的次數 DENY_THRESHOLD_VALID = 10 #允許普通用戶登錄失敗的次數 DENY_THRESHOLD_ROOT = 5 #允許root登錄失敗的次數 WORK_DIR = /var/lib/denyhosts #將deny的host或ip紀錄到Work_dir中 DENY_THRESHOLD_RESTRICTED = 1 #設定 deny host 寫入到該資料夾 LOCK_FILE = /var/lock/subsys/denyhosts #將DenyHOts啟動的pid紀錄到LOCK_FILE中，已確保服務正確啟動，防止同時啟動多個服務， HOSTNAME_LOOKUP=NO #是否做域名反解 ADMIN_EMAIL = #設定管理員郵件地址 DAEMON_LOG = /var/log/denyhosts #DenyHosts日志位置
根據自己的需求修改配置
四、設定denyhosts服務啟動程式
將運行主程式放在/etc/init.d/下并改名為denyhosts
cp /usr/bin/daemon-control-dist /etc/init.d/denyhosts vim /etc/init.d/denyhosts #修改檔案匹配denyhosts組態檔
修改內容如下：
############################################### #### Edit these to suit your configuration #### ############################################### DENYHOSTS_BIN = "/usr/bin/denyhosts.py" #安裝時denyhosts.py生成路徑 DENYHOSTS_LOCK = "/var/lock/subsys/denyhosts" #/etc/denyhosts.conf組態檔LOCK_FILE指定路徑 DENYHOSTS_CFG = "/etc/denyhosts.conf" PYTHON_BIN = "/usr/bin/env python" ############################################### #### Do not edit below #### ###############################################
至此denyhosts工具安裝完成，
建議：在啟動denyhosts服務之前先了解啟動后可能帶來的問題（誤封常用的IP，詳見下文），
五、啟動denyhosts服務
啟動命令
/etc/init.d/denyhosts start
或者
service denyhosts start service tdenyhosts status #可查看denyhosts服務是否運行（顯示"DenyHosts is running with pid = xxxx"說明啟動成功）
加入開機啟動
chkconfig --add denyhosts
chkconfig denyhosts on
（內容參考：https://www.iteait.com/archives/659）
誤封常用IP問題
在啟動服務之前常常忽略一個問題，denyhosts啟動后會遍歷安全日志檔案/var/log/secure（centos系統）中所有記錄IP，只要符合配置條件的IP都會被記錄，因此，自己常用的IP也有可能被加入到系統IP黑名單（/etc/hosts.deny），導致自己也無法登錄服務器（心態崩了呀~~~~），
解決辦法：
啟動前：
從安全日志檔案里將自己常用的IP所在行洗掉，洗掉檔案指定行命令請自行查詢（sed命令，sed -i -e '/string/d' filename，僅作參考）
啟動后（已正常無法ssh登錄服務器）：
首先你需要更換網路登錄服務器，
接下來就是查看被封IP所在的記錄檔案并洗掉：
vim /var/log/secure #安全日志檔案
vim /etc/hosts.deny #系統禁止IP檔案
cd /var/lib/denyhosts vim hosts vim hosts-root vim hosts-restricted vim hosts-valid vim users-invalid vim users-hosts #組態檔里默認的作業目錄（WORK_DIR = /var/lib/denyhosts） #批量洗掉檔案包含指定內容所在行請自行查詢（sed命令）
如果不在意其他記錄，可清空這些檔案（不推薦）
按照常理洗掉這些記錄，系統應該就解禁了指定IP，但此時該IP還是不能訪問服務器（why? why? why? 然后各種翻組態檔，記錄檔案，查看有什么遺漏，在組態檔里發現denyhosts有自己的日志檔案 DAEMON_LOG = /var/log/denyhosts）
在denyhosts的日志里有這樣的記錄：
2020-07-27 11:20:38,664 - denyhosts : INFO Creating new firewall rule /sbin/iptables -I INPUT -s xxx.xxx.xxx.xxx -j DROP 2020-07-27 11:20:38,677 - denyhosts : INFO new denied hosts: ['xxx.xxx.xxx.xxx']
抱著學習的態度了解了一下iptables（https://wangchujiang.com/linux-command/c/iptables.html），denyhosts不僅將IP添加到了黑名單，也新添加了防火墻規則，阻止該IP資料包輸入，
所以除了將上述檔案中的IP記錄洗掉之外，還得在防火墻中洗掉對該IP限制的規則：
iptables -D INPUT -s xxx.xxx.xxx.xxx -j DROP
登錄成功！
（歡迎在評論區交流學習，糾錯指正！）
轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/20627.html
標籤：Linux