用SHELL腳本來(lái)防SSH和vsftpd暴力破解
原創(chuàng)【51CTO專(zhuān)稿】新近剛上的FTP備份服務(wù)器，例行檢查/var/log/secure日志時(shí)，發(fā)現(xiàn)不少sshd和vsftpd失敗認(rèn)證信息，很明顯有人想用暴力破解工具竊取密碼，所以需要編寫(xiě)一個(gè)安全腳本防止。
腳本需求如下：此SHELL腳本放在crontab計(jì)劃任務(wù)里，每隔6小時(shí)（此時(shí)間根據(jù)實(shí)際情況來(lái)定義）就去讀取/var/log/secure腳本，取出里面惡意猜測(cè)IP，如果單位時(shí)間內(nèi)（一星期）的連接數(shù)是高于一個(gè)閥值，例如100（此閥值也可以根據(jù)實(shí)際情況來(lái)定義），則將其加進(jìn)/etc/hosts.deny黑名單里，如果低于此閥值，則無(wú)視此IP。
/var/log/secure里認(rèn)證失敗信息如下：
Nov 28 10:18:08 centos2 sshd[7556]: Connection closed by 222.216.30.109 Nov 28 10:18:08 centos2 sshd[7557]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.216.30.109 user=root Nov 28 10:18:09 centos2 sshd[7559]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=222.216.30.109 user=root Nov 28 10:18:10 centos2 sshd[7551]: Failed password for root from 222.216.30.109 port 2391 ssh2 Nov 28 10:18:10 centos2 sshd[7552]: Connection closed by 222.216.30.109 Nov 28 10:18:10 centos2 sshd[7553]: Failed password for root from 222.216.30.109 port 2397 ssh2 Nov 28 10:18:10 centos2 sshd[7554]: Connection closed by 222.216.30.109 Nov 28 10:18:11 centos2 sshd[7557]: Failed password for root from 222.216.30.109 port 2401 ssh2 Nov 28 10:18:11 centos2 sshd[7558]: Connection closed by 222.216.30.109 Nov 28 10:18:11 centos2 sshd[7559]: Failed password for root from 222.216.30.109 port 2403 ssh2 Nov 28 10:18:11 centos2 sshd[7560]: Connection closed by 222.216.30.109 Nov 28 10:37:01 centos2 vsftpd: pam_unix(vsftpd:auth): check pass; user unknown Nov 28 10:37:01 centos2 vsftpd: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=hello rhost=centos1.cn7788.com Nov 28 10:37:01 centos2 vsftpd: pam_succeed_if(vsftpd:auth): error retrieving information about user hello Nov 28 10:37:19 centos2 vsftpd: pam_unix(vsftpd:auth): check pass; user unknown Nov 28 10:37:19 centos2 vsftpd: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=yhc rhost=centos1.cn7788.com Nov 28 10:37:19 centos2 vsftpd: pam_succeed_if(vsftpd:auth): error retrieving information about user yhc Nov 28 10:37:36 centos2 vsftpd: pam_unix(vsftpd:auth): check pass; user unknown Nov 28 10:37:36 centos2 vsftpd: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=yuhongchun rhost=centos1.cn7788.com Nov 28 10:37:36 centos2 vsftpd: pam_succeed_if(vsftpd:auth): error retrieving information about user yuhongchun Nov 28 10:42:44 centos2 vsftpd: pam_unix(vsftpd:auth): check pass; user unknown Nov 28 10:42:44 centos2 vsftpd: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=yuhongchun rhost=114.112.169.70 Nov 28 10:42:44 centos2 vsftpd: pam_succeed_if(vsftpd:auth): error retrieving information about user yuhongchun Nov 28 10:42:56 centos2 vsftpd: pam_unix(vsftpd:auth): check pass; user unknown Nov 28 10:42:56 centos2 vsftpd: pam_unix(vsftpd:auth): authentication failure; logname= uid=0 euid=0 tty=ftp ruser=andrewyu rhost=114.112.169.70 Nov 28 10:42:56 centos2 vsftpd: pam_succeed_if(vsftpd:auth): error retrieving information about user andrewyu
我們觀察下/var/log/secure文件輪詢特征，如下所示：
[root@centos2 log]# ls -lsart secure.* 512 -rw------- 1 root root 516379 11-04 01:31 secure.4 660 -rw------- 1 root root 668192 11-11 00:05 secure.3 304 -rw------- 1 root root 306589 11-17 10:33 secure.2 484 -rw------- 1 root root 488620 11-25 02:33 secure.1
基本上，secure文件是以星期為輪詢周期的，如果對(duì)安全要求嚴(yán)格的朋友還可以本著“一個(gè)不放過(guò)”的原則來(lái)抓取上面的舊secure的惡意IP，下面我們就們就要想辦法高效的來(lái)抓取這些惡意IP，如果參考原始版本的SHELL腳本寫(xiě)法，，我們這里要抓取secure日志中的偵測(cè)vsftpd及sshd服務(wù)的IP地址，我們可以用如下命令，命令如下所示：
cat /var/log/secure | awk '/Failed/{print $(NF-3)}'| sort| uniq -c| awk '{print $2"="$1;}'
很明顯，這樣是取不到vsftpd失敗的IP值的，sshd日志失敗信息跟vsftpd日志失敗信息不一樣，我寫(xiě)了幾種awk混合sed的方法，測(cè)試了效率，感覺(jué)用awk腳本速度是最快的，大家也可以寫(xiě)幾種，用time命令測(cè)試下；最后精簡(jiǎn)了下代碼，完成了整個(gè)腳本，腳本內(nèi)容如下所示：
#!/bin/bash
#Denyhosts For vsftpd and sshd
#2012-12-28
awk '{for(i=1;i<=NF;i++){if($i ~ /rhost/)print substr($i,7)}}' /var/log/secure | sort | uniq -c >/root/black.txt
DEFINE="100"
for i in `cat /root/black.txt`
do
IP=`echo $i |awk '{print $1}'`
NUM=`echo $i|awk '{print $2}'`
if [ $NUM -gt $DEFINE ];
then
grep $IP /etc/hosts.deny > /dev/null
if [ $? -gt 0 ];
then
echo "sshd:$IP" >> /etc/hosts.deny
echo "vsftpd:$IP" >> /etc/hosts.deny
fi
fi
done
腳本運(yùn)行一段時(shí)間后，我們可以觀察此腳本涉及到的一些文件，如/root/black.txt，結(jié)果如下所示：
[root@centos2 ~]# cat /root/black.txt
2 113.17.144.156
4 114.112.51.208
4 114.112.69.170
169 118-163-227-50.hinet-ip.hinet.net
8 119.188.7.200
8 122.70.130.11
61 124.248.32.246
12 183.203.14.121
3 189.26.255.11
56 199.204.237.60
3 199.30.53.220
5 201.236.80.4
6 220.172.191.31
30 222.216.30.109
60 222.253.159.111
58 223.4.180.23
166 58.221.42.178
1 61.132.4.85
152 61.142.106.34
22 61.167.33.222
7 85.126.166.83
166 www.b-nets.com
/etc/hosts.deny腳本內(nèi)容如下：
sshd:124.248.32.246 vsftpd:124.248.32.246 sshd:199.204.237.60 vsftpd:199.204.237.60 sshd:222.253.159.111 vsftpd:222.253.159.111 sshd:223.4.180.23 vsftpd:223.4.180.23 sshd:58.221.42.178 vsftpd:58.221.42.178 sshd:61.142.106.34 vsftpd:61.142.106.34 sshd:118-163-227-50.hinet-ip.hinet.net vsftpd:118-163-227-50.hinet-ip.hinet.net sshd:www.b-nets.com vsftpd:www.b-nets.com
最后，我們將此shell腳本放進(jìn)crontab 里，每間隔六小時(shí)就運(yùn)行一次，命令如下：
* */6 * * * root /bin/bash /root/hostsdeny.sh >> /dev/null 2>&1
由于/var/log/secure日志是以星期為輪詢的，此腳本執(zhí)行頻率可自行設(shè)定，如果感覺(jué)服務(wù)器被頻繁偵測(cè)，執(zhí)行頻率間隔可設(shè)置短些，反之，可設(shè)置長(zhǎng)些。
附注：如果僅僅只是要防止SSH暴力破解，這個(gè)腳本就沒(méi)必要更新了，可以采納我原先的SHELL腳本（即原始版本），此更新腳本適合部署在有FTP的公網(wǎng)機(jī)器上面，目前測(cè)試比較穩(wěn)定，但感覺(jué)還是有不完美的地方，歡迎大家來(lái)信交流，撫琴煮酒(yuhognchun027@163.com)。
