对几次输入ssh密码错误的IP进行iptables drop

最新推荐文章于 2023-01-17 22:10:26 发布

转载最新推荐文章于 2023-01-17 22:10:26 发布 · 2.6k 阅读

文章标签：

#防火墙 #iptables

云计算专栏收录该内容

62 篇文章

订阅专栏

本文介绍了一个脚本，用于检测SSH登录尝试中的异常行为，特别是针对密码猜测的攻击。通过扫描日志文件，该脚本能识别出在1分钟内尝试登录超过5次的IP地址，并使用iptables规则阻止这些IP，以增强SSH服务的安全性。

对几次输入ssh密码错误的IP进行iptables drop

把下面脚本放入/etc/crontab

扫描ssh密码猜测次数超过5次的记录

* * * * * root /home/cnscn/sh/ssh_scan_crontab.sh >/dev/null 2>&1

$ cat /home/cnscn/sh/ssh_scan_crontab.sh

 #!/bin/bash
# Author http://jabin.cublog.cn
# Modify cnscn http://cnscn2008.cublog.cn
# Modify xinyv
#设置时区
export LC_ALL=UTC
# 获取前 1 分钟内的 secure 记录，统计 ssh 认证失败的 IP 和其 失败次数, 并用Iptables阻止之
SCANNER=$(awk 'BEGIN{ tm=strftime("%b %e %H:%M",systime()-60);}  $0 ~ tm && /Failed password/ && /ssh2/ {print $(NF-3)}' /var/log/secure |sort|uniq -c |awk '{print $1"="$2;}')
for i in $SCANNER
do
echo $i
       # 取认证失败次数
       NUM=`echo $i|awk -F= '{print $1}'`
       # 取其 IP 地址
       IP=`echo $i|awk -F= '{print $2}'`
       # 若其在失败次数超过 5 次且之前没有被阻断过，那么添加一条策略将其阻断，并记录日志
       if [ $NUM -gt 5 ] && [ -z "`/sbin/iptables -vnL INPUT|grep $IP`" ]
       then
               /sbin/iptables -I INPUT -s $IP -j DROP
               echo "/sbin/iptables -I INPUT -s $IP -j DROP" >> /home/cnscn/sh/ssh_scan_iptables.sh
               logger -i -t "ssh_scan_crontab" -f /var/log/messages "$IP($NUM)..."
       fi
done
#End of Script
把脚本/home/cnscn/sh/ssh_scan_iptables.sh加入到开机启动的myiptables.sh防火墙脚本
$ cat myiptables.sh
#!/bin/bash
#chkconfig: 345 85 15
#description: my iptables rules, which can auto run when system start
# This is a script
# Edit by liwei, cnscn
# establish a static firewall
#网络接口
interdevice="eth0"
#端口
#21       ftp
#15022    sshd
#25       smtp
#53       named
#80       http
#110      pop3
#外界可以访问的端口
Open_ports="21 20 22 80"
#可以外出的端口,其它端口都可以外出
Allow_ports="21 20 80 "
#清除所有以前设置的规则
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
#执行非法IP阻止规则
/home/cnscn/sh/ssh_scan_iptables.sh
#允许211.167.xxx.xxx, 防止自己输入错误而导致的IP被封锁
/sbin/iptables -I INPUT -s 211.167.xxx.xxx -j ACCEPT
#定义每一个网络接口规则
for eths in $interdevice ; do
  #接受所有的，来源不是网络接口$interdevice的数据(对不是eths端口则放行)
  #iptables -A INPUT -i ! $eths -j ACCEPT
  #定义外界可以访问的端口规则(--dport)
  for Port in $Open_ports ; do
    iptables -A INPUT -i $eths -p tcp --dport $Port -j ACCEPT
    iptables -A INPUT -i $eths -p udp --dport $Port -j ACCEPT
  done
  #给不应该进入我们机器的数据，一个欺骗性的回答
  iptables -A INPUT -i $eths -p tcp -j REJECT --reject-with tcp-reset
  iptables -A INPUT -i $eths -p udp -j REJECT --reject-with icmp-port-unreachable
done
#forbidden ping
echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#End of Script