Linux VPS上DenyHosts阻止SSH暴力攻擊
現在的互聯網非常不安全，很多人沒事就拿一些掃描機掃描ssh端口，然后試圖連接ssh端口進行暴力破解（窮舉掃描），所以建議vps主機的空間,盡量設置復雜的ssh登錄密碼，雖然在前段時間曾經介紹過Linux VPS禁止某個IP訪問使用hosts.deny禁止某些IP訪問，但是功能方面欠缺，如：不能自動屏蔽，那么有什么更好的辦法嗎，就可以使用denyhosts這款軟件了，它會分析/var/log/secure（redhat，Fedora Core）等日志文件，當發現同一IP在進行多次SSH密碼嘗試時就會記錄IP到/etc/hosts.deny文件，從而達到自動屏蔽該IP的目的。
DenyHosts官方網站為：http://denyhosts.sourceforge.net/
LNMP一件安裝包中自帶該軟件可以一鍵安裝，命令：wget http://soft.vpser.net/lnmp/lnmp1.5.tar.gz && tar zxf lnmp1.5.tar.gz && cd lnmp1.5/tools/ && ./denyhosts.sh 回車確認即可開始安裝配置，不需要下面的步驟進行安裝配置。(該tools目錄下也有denyhosts相似的工具fail2ban的一鍵安裝工具 ./fail2ban.sh 安裝即可)
1、下載DenyHosts 并解壓
# wget http://soft.vpser.net/security/denyhosts/DenyHosts-2.6.tar.gz
#?tar zxvf DenyHosts-2.6.tar.gz
# cd DenyHosts-2.6
2、安裝、配置和啟動
安裝前建議執行：echo "" > /var/log/secure &&?service rsyslog restart 清空以前的日志并重啟一下rsyslog
# python setup.py install
因為DenyHosts是基于python的，所以要已安裝python，大部分Linux發行版一般都有。默認是安裝到/usr/share/denyhosts/目錄的,進入相應的目錄修改配置文件
# cd /usr/share/denyhosts/
# cp denyhosts.cfg-dist denyhosts.cfg
# cp daemon-control-dist daemon-control
默認的設置已經可以適合centos系統環境，你們可以使用vi命令查看一下denyhosts.cfg和daemon-control，里面有詳細的解釋
接著使用下面命令啟動denyhosts程序
# chown root daemon-control
# chmod 700 daemon-control
# ./daemon-control start
如果要使DenyHosts每次重起后自動啟動還需做如下設置：
# ln -sf /usr/share/denyhosts/daemon-control /etc/init.d/denyhosts
# chkconfig --add denyhosts
# chkconfig --level 2345 denyhosts on
或者執行下面的命令加入開機啟動，將會修改/etc/rc.local文件：
# echo "/usr/share/denyhosts/daemon-control start" >> /etc/rc.local
DenyHosts配置文件/usr/share/denyhosts/denyhosts.cfg說明：
SECURE_LOG = /var/log/secure
#sshd日志文件，它是根據這個文件來判斷的，不同的操作系統，文件名稍有不同。
HOSTS_DENY = /etc/hosts.deny
#控制用戶登陸的文件
PURGE_DENY = 5m
DAEMON_PURGE?= 5m
#過多久后清除已經禁止的IP，如5m（5分鐘）、5h（5小時）、5d（5天）、5w（5周）、1y（一年）
BLOCK_SERVICE? = sshd
#禁止的服務名，可以只限制不允許訪問ssh服務，也可以選擇ALL
DENY_THRESHOLD_INVALID =?5
#允許無效用戶失敗的次數
DENY_THRESHOLD_VALID = 10
#允許普通用戶登陸失敗的次數
DENY_THRESHOLD_ROOT = 5
#允許root登陸失敗的次數
HOSTNAME_LOOKUP=NO
#是否做域名反解
DAEMON_LOG = /var/log/denyhosts
為防止自己的IP被屏蔽，可以：echo "你的IP" >> ?/usr/share/denyhosts/allowed-hosts 將你的IP加入白名單，再重啟DenyHosts：/etc/init.d/denyhosts ，如果已經被封，需要先按下面的命令刪除被封IP后再加白名單。
如有IP被誤封，可以執行下面的命令解封：wget?http://soft.vpser.net/security/denyhosts/denyhosts_removeip.sh && bash?denyhosts_removeip.sh 要解封的IP
更多的說明請查看自帶的README文本文件，好了以后維護VPS就會省一些心了，但是各位VPSer們注意了安全都是相對的哦，沒有絕對安全，將密碼設置的更Strong，并請定期或不定期的檢查你的VPS主機，而且要定時備份你的數據哦。
與DenyHosts類似的軟件還有fail2ban功能上更多，還可以對ftp進行保護，自己可以搜索看一下。
>>轉載請注明出處：VPS偵探 本文鏈接地址：http://www.0794baidu.com/security/denyhosts.html
@Aceslup, 長期禁用只能通過iptables 自己單獨添加了
/usr/share/denyhosts/allowed-hosts 這個文件我放著似乎也不湊效。
想請教一下，如何長期禁用那些已經被禁用的IP。
@葉子天堂, 白名單在 /usr/share/denyhosts/data/allowed-hosts 沒這個文件的話創建一個 將ip添加到這個文件里 重啟就可以
另外可不可以不阻止某個IP啊 有時候老忘記密碼
要是var/log下面沒有secure這個文件，怎么做？
kvm 128M debian6
@學習,這個是正常的安裝提示
# python setup.py install后，最后一行出現
Writing /usr/local/lib/python2.7/dist-packages/DenyHosts-2.6.egg-info
這個是什么情況呢
@soolly, 5分鐘
PURGE_DENY = 5m請問這個是多上時間
@短歌行, 占資源很少
這個是不是很消耗系統資源的？
用public/private key認證登錄不是更好嗎？
[...] SSH密鑰登錄讓Linux VPS/服務器更安全 2011年01月10日 上午 | 作者：VPSer隨著PHP越來越流行，Linux VPS/服務器的使用也越來越多，Linux的安全問題也需要日漸加強，如果你安裝過DenyHosts并設置過郵件提醒，你每天可能會受到數封DenyHosts Report將前來破解SSH密碼的IP加入/etc/hosts.deny。Linux SSH登錄有兩種：1、使用密碼驗證登錄通常VPS或服務器開通后都是直接提供IP和root密碼，使用這種方式就是通過密碼方式登錄。如果密碼不夠強壯，而且沒有安裝DenyHosts之類的防止SSH密碼破解的軟件，那么系統安全將存在很大的隱患。2、使用密鑰驗證登錄 基于密鑰的安全驗證必須為用戶自己創建一對密鑰，并把共有的密鑰放在需要訪問的服務器上。當需要連接到SSH服務器上時，客戶端軟件就會向服務器發出請求，請求使用客戶端的密鑰進行安全驗證。服務器收到請求之后，先在該用戶的根目錄下尋找共有密鑰，然后把它和發送過來的公有密鑰進行比較。如果兩個密鑰一致，服務器就用公有的密鑰加密“質詢”，并把它發送給客戶端軟件（putty,xshell等）。客戶端收到質詢之后，就可以用本地的私人密鑰解密再把它發送給服務器，這種方式是相當安全的。一、在客戶端生成密鑰首先下載putty，運行puttygen.exe，點擊“Generate”，并在puttygen Key區域任意晃動鼠標，來加速產生隨機數?！発ey comment”填寫密鑰備注，可以按默認或者填寫自己的備注信息。“Key passphrase”填寫密鑰密碼，強烈建議填寫，安全性更高，不填會自動登錄。最后點擊“Save public key” 將公鑰保存為：id_rsa.pub，用于上傳到服務器上；點擊“Save private key”將私鑰保存為：id_rsa.ppk ，改文件一定要保存好，用于putty登錄。二、將密鑰添加到遠程Linux服務器1、用winscp，將id_rsa.pub文件上傳到/root/.ssh/下面（如果沒有則創建此目錄），并重命名為：authorized_keys（也可以使用命令將id_rsa.pub里面的內容復制到此authorized_keys文件里）。2、修改/etc/ssh/sshd_config 文件，將RSAAuthentication 和?PubkeyAuthentication 后面的值都改成yes ，保存。3、重啟sshd服務，Debian/Ubuntu執行/etc/init.d/ssh restart ；CentOS執行：/etc/init.d/sshd restart。三、客戶端測試使用密鑰登錄1、使用putty登錄運行putty，在Host Name填寫：root@主機名或ip如果設置了密鑰密碼，出現：Passphrase for key "imported-openssh-key"時輸入密鑰密碼。如果設置沒問題就會登錄成功，出現用戶提示符。四、修改遠程Linux服務器sshd服務配置1、修改/etc/ssh/sshd_config 文件將PasswordAuthentication yes 修改成 PasswordAuthentication no2、重啟sshd服務Debian/Ubuntu執行/etc/init.d/ssh restart ；CentOS執行：/etc/init.d/sshd restart。ok，設置完成。再提醒一下一定要保存好私鑰文件id_rsa.ppk。如果是其他SSH客戶端生成密鑰的步驟也類似。比如XShell：Tool ->User Key Generation Wizard，Key Type選擇RSA，其他默認，在最后一步輸入密鑰的名稱和密碼。再Tool ->User key Manager，選擇前面生成的密鑰的名稱，點擊Properties。把保存的公鑰按文章前部分的方法上傳到服務上。Xshell能夠按分類保存N多會話、支持Tab、支持多密鑰管理等，管理比較多的VPS/服務器使用XShell算是比較方便的，推薦使用。原創文章，謝絕轉載！ >>轉載請注明出處：VPS偵探 本文鏈接地址：http://www.0794baidu.com/security/linux-ssh-authorized-keys-login.html相關文章：如何使用Putty遠程(SSH)管理Linux VPSSSH遠程會話管理工具 – screen使用教程VPSYOU 2010年10月VPS+虛擬主機優惠碼VPSYOU OpenVZ Linux VPS 正式上線，3$起售Linux SSH遠程文件/目錄傳輸命令scpLinux VPS內存占用那么多？- 解析Linux內存機制RAMHOST的VPS小攻略之SSH和OpenVPN安裝配置[轉]Linux VPS上查找后門程序ServerPronto – $4.95 256MB獨立服務器 not VPSVPS/服務器選購之網絡帶寬基礎知識篇google_ad_client = "pub-3421055613838817"; /* 468x15, 創建于 10-1-6 */ google_ad_slot = "3251390416"; google_ad_width = 468; google_ad_height = 15; 發表評論(評論暫缺) 分類：VPS安全 標簽： Linux VPS, Putty, SSH, 安全, 密鑰登錄, 服務器 Tags: Linux VPS,Putty,SSH,安全,密鑰登錄,服務器.VPS偵探推薦： DiaHosting、Linode、PhotonVPS、VPSYou、瑞豪開源、第九主機等美國VPS主機。 歡迎加入VPS偵探論壇交流：http://bbs.vpser.net發表評論姓名： *必填郵件： *必填 (不會被公開)網站： 點擊取消回復/* */ var commentformid = "commentform"; var USERINFO = false; var atreply = "authorlink"; /* */ 關于VPS偵探 VPS偵探是一個致力于美國VPS主機推薦、國內VPS主機推薦、VPS主機架設、VPS優化、VPS優惠信息及VPS免費試用的信息共享平臺，這里將提供您所需要的關于VPS的價值性服務。 請尊重作者的勞動成果，轉載請注明出處。 聯系我們VPS偵探推薦 VPS偵探建立在Linode和DiaHosting上。 本站強烈推薦：DiaHosting、Linode、PhotonVPS、瑞豪開源、VPSYou、第九主機等美國VPS主機。美國VPS/服務器/VPN代購：http://503228080.paipai.com/http://shop63846532.taobao.com/ 搜索本站內容 [...]
如出現：[Errno 2] No such file or directory: '/var/lock/subsys/denyhosts'
執行：
mkdir -p /var/lock/subsys/
touch /var/lock/subsys/denyhost
創建即可。
好專業啊。以后向你學習，有不懂的我可知道找誰了。呵。