安全配置shell脚本

╰半橙微兮° 2022-09-04 00:51 32阅读 0赞

# 1、iptables自动屏蔽访问网站频繁的IP #

场景：恶意访问,安全防范

1）屏蔽每分钟访问超过200的IP

方法1：根据访问日志（Nginx为例）

#!/bin/bash
    DATE=$(date +%d/%b/%Y:%H:%M)
    ABNORMAL_IP=$(tail -n5000 access.log |grep $DATE |awk '{a[$1]++}END{for(i in a)if(a[i]>100)print i}')
    #先tail防止文件过大，读取慢，数字可调整每分钟最大的访问量。awk不能直接过滤日志，因为包含特殊字符。
    for IP in $ABNORMAL_IP; do
        if [ $(iptables -vnL |grep -c "$IP") -eq 0 ]; then
            iptables -I INPUT -s $IP -j DROP
        fi
    done

方法2：通过TCP建立的连接

#!/bin/bash
    ABNORMAL_IP=$(netstat -an |awk '$4~/:80$/ && $6~/ESTABLISHED/{gsub(/:[0-9]+/,"",$5);{a[$5]++}}END{for(i in a)if(a[i]>100)print i}')
    #gsub是将第五列（客户端IP）的冒号和端口去掉
    for IP in $ABNORMAL_IP; do
        if [ $(iptables -vnL |grep -c "$IP") -eq 0 ]; then
            iptables -I INPUT -s $IP -j DROP
        fi
    done

2）屏蔽每分钟SSH尝试登录超过10次的IP

方法1：通过lastb获取登录状态:

#!/bin/bash
    DATE=$(date +"%a %b %e %H:%M") #星期月天时分  %e单数字时显示7，而%d显示07
    ABNORMAL_IP=$(lastb |grep "$DATE" |awk '{a[$3]++}END{for(i in a)if(a[i]>10)print i}')
    for IP in $ABNORMAL_IP; do
        if [ $(iptables -vnL |grep -c "$IP") -eq 0 ]; then
            iptables -I INPUT -s $IP -j DROP
        fi
    done

方法2：通过日志获取登录状态

#!/bin/bash
    DATE=$(date +"%b %d %H")
    ABNORMAL_IP="$(tail -n10000 /var/log/auth.log |grep "$DATE" |awk '/Failed/{a[$(NF-3)]++}END{for(i in a)if(a[i]>5)print i}')"
    for IP in $ABNORMAL_IP; do
        if [ $(iptables -vnL |grep -c "$IP") -eq 0 ]; then
            iptables -A INPUT -s $IP -j DROP
            echo "$(date +"%F %T") - iptables -A INPUT -s $IP -j DROP" >>~/ssh-login-limit.log
        fi
    done

**根据web访问日志，封禁请求量异常的IP，如IP在半小时后恢复正常，则解除封禁**

#!/bin/bash
    ####################################################################################
    #根据web访问日志，封禁请求量异常的IP，如IP在半小时后恢复正常，则解除封禁
    ####################################################################################
    logfile=/data/log/access.log
    #显示一分钟前的小时和分钟
    d1=`date -d "-1 minute" +%H%M`
    d2=`date +%M`
    ipt=/sbin/iptables
    ips=/tmp/ips.txt
    block()
    {
     #将一分钟前的日志全部过滤出来并提取IP以及统计访问次数
     grep '$d1:' $logfile|awk '{print $1}'|sort -n|uniq -c|sort -n > $ips
     #利用for循环将次数超过100的IP依次遍历出来并予以封禁
     for i in `awk '$1>100 {print $2}' $ips`
     do
     $ipt -I INPUT -p tcp --dport 80 -s $i -j REJECT
     echo "`date +%F-%T` $i" >> /tmp/badip.log
     done
    }
    unblock()
    {
     #将封禁后所产生的pkts数量小于10的IP依次遍历予以解封
     for a in `$ipt -nvL INPUT --line-numbers |grep '0.0.0.0/0'|awk '$2<10 {print $1}'|sort -nr`
     do
     $ipt -D INPUT $a
     done
     $ipt -Z
    }
    #当时间在00分以及30分时执行解封函数
    if [ $d2 -eq "00" ] || [ $d2 -eq "30" ]
     then
     #要先解再封，因为刚刚封禁时产生的pkts数量很少
     unblock
     block
     else
     block

# Linux防止SSH暴力破解（亲测） #

1、禁止root登录

[root@vps ~]$ vi /etc/ssh/sshd_config
    ---------------配置如下----------------
    PermitRootLogin no
    重启  
    [root@vps ~]$ service sshd restart

**2、根据secure文件中失败的ip次数做限制**

当同一个IP地址超过5次的尝试，那么就加入/etc/hosts.deny

#! /bin/bash
    # 提取所有的IP到black.list文件中
    cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' > /usr/local/bin/black.list
     
    # 设定次数
    define="5"
    for i in `cat  /usr/local/bin/black.list`
    do
      IP=`echo $i |awk -F= '{print $1}'`
      NUM=`echo $i|awk -F= '{print $2}'`
     
      if [ $NUM -gt $define ]; then
        grep $IP /etc/hosts.deny > /dev/null
        if [ $? -gt 0 ];then
          echo "sshd:$IP:deny" >> /etc/hosts.deny
        fi
      fi
    done

添加计划任务。

$ crontab -e
    # 每3分钟检查一次
    */3 * * * *  sh /usr/local/bin/secure_ssh.sh
    重启 crontab
    $ systemctl restart crond

启动  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70 1]  
配置生效  
![在这里插入图片描述][ed1b9d1e118e4290af226df6b65b9e9c.png]

# centos 7防暴力破解脚本（亲测） #

累计超过失败登录次数，自动拉黑

# vi /root/deny.sh
    # chmod +x /root/deny.sh
    #!/bin/bash
    ######################################################
    # $Name:        protect_ssh
    # $Version:     v1.0
    # $Function:    Prevent SSH from being hacked
    # $Author:      djx
    # $Create Date: 2017-11-22
    # $Description: shell
    #######################################################
    #SSH配置文件所在位置
    SSH_config='/etc/hosts.deny'
    #ssh 日志文件位置
    SSH_log='/var/log/secure'
    #记录尝试登陆超过15次且未登陆成功的ip,以及添加进黑名单的时间日志
    Deny_log='/root/ssh_deny.log'
    #储存所有ip及访问次数文件
    Visit_ip='/root/ssh_deny.txt'
    #超过设置下面次数将被添加进黑名单
    Visit_number=6
    #检查ssh日志文件是否存在
    if [ ! -e  $SSH_log ]
    then
            echo -e "\033[41;37m  ssh 日志文件不存在 请检查原因 \033[0m"
    exit 1
    fi
    
    if [ ! -e "$SSH_config.bak" ]
    then
         cp $SSH_config  $SSH_config.bak
         if [ $? -eq 0 ]
         then
             echo " 备份文件成功" >>$Deny_log
         else
             echo  -e"\033[41;37m ssh备份文件不成功  \033[0m"
         exit 2
         fi
    else
         echo " 已有备份文件 " >>$Deny_log
    fi
    
    cat $SSH_log |awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{ print $2"==="$1}' > $Visit_ip
    echo "---------$(date +%F_%T)------------" >>$Deny_log
    
    for VI  in  $(cat  $Visit_ip)
    do
            Number=$(echo $VI |awk -F=== '{print  $2}')
            IP=$(echo $VI |awk -F=== '{print  $1}')
            if  [ $Number -gt $Visit_number ]
            then
                    grep $IP "$SSH_config" >/dev/null
                    if [ $? -ne  0 ]
                    then
                        echo " sshd:$IP:deny" >>$SSH_config
                        echo "$IP " >>$Deny_log
                    fi
            fi
    
    done

查看执行脚本生产的文件  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16]  
![在这里插入图片描述][1003d711e560438f8df3b199498e15cc.png]  
**添加定时任务里面**  
每两分钟执行一次

[root@localhost ~]# crontab -l > /tmp/crontab.bak;echo '*/2 * * * * /root/deny.sh >/tmp/deny.log 2>&1' >> /tmp/crontab.bak
    [root@localhost ~]# crontab -l
    * * * * * /usr/sbin/ntpdate -u ntp.api.bz > /dev/null 2>&1; /sbin/hwclock -w
    ##
    
    */2 * * * * /root/deny.sh >/tmp/deny.log 2>&
    
    开机自启
    # vi /etc/rc.local
    /root/deny.sh

![在这里插入图片描述][a248868f0e574d56b93466a634265827.png]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_19_color_FFFFFF_t_70_g_se_x_16]  
输入正确的密码，还是能登录  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 1]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_18_color_FFFFFF_t_70_g_se_x_16]

# 安全检测脚本 #

来源：https://mp.weixin.qq.com/s/awqGc8JU-sHpX3agpkYw5Q

下载

# git clone git://github.com/luckman666/CheckScript.sh.git

1、执行CheckScript.sh脚本文件进行检查,命令格式如下

sudo sh CheckScript.sh | tee check_`date +%Y%m%d_%H%M%S`.txt

检查说明:  
此脚本是按三级等保要求，编写的一键检查脚本，  
此脚本只适合linux分支中的redhat、centos，运行脚本将结果输出到  
自定义的文件中，脚本结果需要人为检查。

**执行效果**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 3]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 4]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 5]

https://www.cnblogs.com/operationhome/p/9184525.html  
参考链接 ：  
https://www.jb51.net/article/213879.htm

https://www.linuxprobe.com/linux-prevents-ssh.html

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70]: /images/20220829/36a22eed599b4ad6abd0d7f2b8b0d543.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQwOTA3OTc3_size_16_color_FFFFFF_t_70 1]: /images/20220829/874981beb55e4dbc90b1634da6061276.png
[ed1b9d1e118e4290af226df6b65b9e9c.png]: /images/20220829/559eb05db6094ce988d2aa4ea96dbce9.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/69f285cc50f14e05918752a496cfd378.png
[1003d711e560438f8df3b199498e15cc.png]: /images/20220829/7586ba13def54ecf93413053d506b888.png
[a248868f0e574d56b93466a634265827.png]: /images/20220829/740a4ed1e6f748638b5c251fa4816c19.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_19_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/b0c492ff959f4f438f9674dac36aefc1.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220829/a93eda2de3a24a679e97997bd658c3d2.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_18_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/965200c58ee04fc9bc0e580b9b07a9d1.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220829/d53874102b2c443985af229a0001e085.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220829/c91dee929c634abe9ddd383ee989fe53.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220829/ec703bbcb44c4db78b50891ac5707d26.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5a-w5a6HMDAx_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220829/266d900c80c44132b49bf02c6ee770eb.png