如何对服务器进行安全加固

最新推荐文章于 2025-04-09 16:00:22 发布

程序员菠萝

最新推荐文章于 2025-04-09 16:00:22 发布

阅读量1k

点赞数 14

CC 4.0 BY-SA版权

文章标签：安全 java spring 前端网络

本文链接：https://blog.youkuaiyun.com/xnxqwzy/article/details/146051520

如何对服务器进行安全加固

一. 开防火墙.

一定要开防火墙,只开启需要的端口,防止被扫描入侵.

Debian系列的Linux常用ufw,没安装的先安装apt install ufw开服务 ,#关服务换成disable 即可ufw enable加端口 ,删除端口在allow前加delete即可.ufw allow 8022/tcp查状态ufw status

二. 屏蔽攻击IP

虽然上一步把非必要的端口关了, 但是开着的8022端口依然有被攻击的风险.

经常看下/var/log/auth.log 就能看出有不断尝试登录的日志，一查这些IP大部分是国外的。如下:

Aug 21 06:16:59 localhost sshd[15898]: Invalid user ubnt from 179.60.147.161 port 917218 Aug 21 06:16:59 localhost sshd[15898]: input_userauth_request: invalid user ubnt [preauth]

也可以用lastb 命令查看登录失败的.

support ssh:notty 59.1.115.65 Fri Aug 26 15:43 - 15:43 (00:00)default ssh:notty 37.157.226.236 Fri Aug 26 13:30 - 13:30 (00:00)user ssh:notty 98.143.104.200 Fri Aug 26 09:04 - 09:04 (00:00)…

是不是惊出一身冷汗, 接下来就解决这个问题.

解决思路

通过lastb读取一段时间的记录, 解析后把IP地址追加到/etc/hosts.deny文件中. 只要是在这个文件中的IP都会被直接拒绝连接.

可以用现成的DenyHost,python写的,安装后,配置,运行.(自行百度)

我嫌这玩艺配置起来麻烦,自己用go按上述思路写了简单的denyAttack,不用配置, 直接加参数运行.示例如下

/usr/local/bin/denyAttack -c 5 -qf “15” #一小时内超5次错误登录的IP,写入hosts.deny/usr/local/bin/denyAttack -c 5 -qf “” #一天内超5次错误登录的IP,写入hosts.deny/usr/local/bin/denyAttack -c 5 #10分钟内超5次错误登录的IP,写入hosts.deny/usr/local/bin/denyAttack #10分钟内超5次错误登录的IP,写入hosts.deny#-c 数量可以改. -qf是固定用法,参考上边任何一行即可

denyAttack文件的下载, 包括x64和arm的

链接:
https://pan.baidu.com/s/1r3OBDK8rUWrcEkHDkF3PoA 提取码: lto8

实际操作

可以把命令加到定时器每10分钟运行一次,crontab -e

*/10 * * * * /usr/local/bin/writeAttackIpToHostsDeny -c 5 -qf “15” > /dev/null 2>&1

三. 设置复杂密码, 建议用密钥登录

\1. 密码至少8位,包含字母(大小写)、数字、特殊符号

\2. 最好禁用ssh密码登录. 修改/etc/ssh/sshd_config中的PasswordAuthentication no

\3. 用密钥登录

客户端ssh-keygen -t rsa -f ./id_rsa#可以不用输入密码直接回车,来生成密钥#会在当前目录自动生成id_rsa 和 id_rsa.pub 两个文件 服务端#把客户端的id_rsa.pub的内容追加到服务端~/.ssh/authorized_keys 文件中 客户端登录ssh -i ./id_rsa root@server.com -p 1022 注* 如果提示Permissions 0644 for ‘./id_rsa’ are too open. 请修改其权限为600.chmod 600 ./id_rsa

注* centos系列思路是一样的. 只是命令或及相应日志文件稍有差别如下

防火墙可用firewall-cmd命令

查看ssh登录日志/var/log/secure

-----------------end-----------------

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。