SSH 是一种广泛使用的协议，用于安全地访问 Linux 服务器。大多数用户使用默认设置的 SSH 连接来连接到远程服务器。但是，不安全的默认配置也会带来各种安全风险。

具有开放 SSH 访问权限的服务器的 root 帐户可能存在风险。尤其是如果您使用的是公共 IP 地址，则破解 root 密码要容易得多。因此，有必要了解 SSH 安全性。

这是在 Linux 上保护 SSH 服务器连接的方法。



## 1.禁用root用户登录

为此，首先，禁用 root 用户的 SSH 访问并创建一个具有 root 权限的新用户。关闭 root 用户的服务器访问是一种防御策略，可以防止攻击者实现入侵系统的目标。例如，您可以创建一个名为**exampleroot**的用户，如下所示：

```
useradd -m exampleroot
passwd exampleroot
usermod -aG sudo exampleroot
```



以下是上述命令的简要说明：

- useradd创建一个新用户，并且-m参数在您创建的用户的主目录下创建一个文件夹。
- passwd命令用于为新用户分配密码。请记住，您分配给用户的密码应该很复杂且难以猜测。
- usermod -aG sudo将新创建的用户添加到管理员组。

在用户创建过程之后，需要对sshd_config文件进行一些更改。您可以在/etc/ssh/sshd_config找到此文件。使用任何文本编辑器打开文件并对其进行以下更改：

```
# Authentication: #LoginGraceTime 2m PermitRootLogin no 
AllowUsers exampleroo
```

**PermitRootLogin** 行将阻止 root 用户使用 SSH 获得远程访问。在**AllowUsers** 列表中包含 **exampleroot** 会向用户授予必要的权限。

最后，使用以下命令重启 SSH 服务：

```
linuxmi@linuxmi /home/linuxmi/www.linuxmi.com                              
⚡ sudo systemctl restart ssh
```

如果失败并且您收到错误消息，请尝试以下命令。这可能因您使用的 Linux 发行版而异。

```
linuxmi@linuxmi /home/linuxmi/www.linuxmi.com
 sudo systemctl restart sshd
```

## 2.更改默认端口

默认的 SSH 连接端口是 22。当然，所有的攻击者都知道这一点，因此需要更改默认端口号以确保 SSH 安全。尽管攻击者可以通过 Nmap 扫描轻松找到新的端口号，但这里的目标是让攻击者的工作更加困难。

要更改端口号，请打开**/etc/ssh/sshd_config**并对文件进行以下更改：

```
Include /etc/ssh/sshd_config.d/*.confPort 22099
```

在这一步之后，使用**sudo systemctl restart ssh**再次重启 SSH 服务。现在您可以使用刚刚定义的端口访问您的服务器。如果您使用的是防火墙，则还必须在此处进行必要的规则更改。在运行**netstat -tlpn**命令时，您可以看到您的 SSH 端口号已更改。

## 3. 禁止使用空白密码的用户访问

在您的系统上可能有您不小心创建的没有密码的用户。要防止此类用户访问服务器，您可以将**sshd_config**文件中的**PermitEmptyPasswords**行值设置为**no**。

```
PermitEmptyPasswords no
```

## 4.限制登录/访问尝试

默认情况下，您可以根据需要尝试多次输入密码来访问服务器。但是，攻击者可以利用此漏洞对服务器进行暴力破解。通过指定允许的密码尝试次数，您可以在尝试一定次数后自动终止SSH 连接。

为此，请更改**sshd_config**文件中的**MaxAuthTries**值。

```
MaxAuthTries 3
```

## 5.使用 SSH 版本 2

SSH 的第二个版本发布是因为第一个版本中存在许多漏洞。默认情况下，您可以通过将**Protocol**参数添加到**sshd_config**文件来启用服务器使用第二个版本。这样，您未来的所有连接都将使用第二个版本的 SSH。

```
Include /etc/ssh/sshd_config.d/*.conf Protocol 2
```

## 6.关闭TCP端口转发和X11转发

攻击者可以尝试通过 SSH 连接的端口转发来访问您的其他系统。**为了防止这种情况，您可以在sshd_config**文件中关闭**AllowTcpForwarding**和**X11Forwarding**功能。

```
X11Forwarding no 
AllowTcpForwarding no
```

## 7.使用 SSH 密钥连接

连接到服务器的最安全方法之一是使用 SSH 密钥。使用 SSH 密钥时，无需密码即可访问服务器。**另外，您可以通过更改sshd_config**文件中与密码相关的参数来完全关闭对服务器的密码访问。

创建 SSH 密钥时，有两个密钥：**Public**和**Private**。公钥将上传到您要连接的服务器，而私钥则存储在您将用来建立连接的计算机上。

**在您的计算机上使用ssh-keygen**命令创建 SSH 密钥。不要将**密码短语**字段留空并记住您在此处输入的密码。如果将其留空，您将只能使用 SSH 密钥文件访问它。但是，如果您设置了密码，则可以防止拥有密钥文件的攻击者访问它。例如，您可以使用以下命令创建 SSH 密钥：

```
ssh-keygen
```

## 8.SSH 连接的 IP 限制

大多数情况下，防火墙使用自己的标准框架阻止访问，旨在保护服务器。但是，这并不总是足够的，您需要增加这种安全潜力。

为此，请打开**/etc/hosts.allow**文件。通过对该文件进行的添加，您可以限制 SSH 权限，允许特定 IP 块，或输入单个 IP 并使用拒绝命令阻止所有剩余的 IP 地址。完成这些之后，像往常一样重新启动 SSH 服务以保存更改。

## Linux 服务器安全的重要性

所有服务器管理员都应该考虑数据和数据安全问题。服务器安全是一个非常敏感的问题，因为攻击的主要焦点是 Web 服务器，它们几乎包含有关系统的所有信息。由于大多数服务器都在 Linux 基础架构上运行，因此熟悉 Linux 系统和服务器管理非常重要。

SSH 安全只是保护服务器的方法之一。可以通过停止、阻挡或减缓攻击来最大程度地减少您受到的伤害。除了提供 SSH 安全性之外，您还可以实施许多不同的方法来保护您的 Linux 服务器。


在 Linux 上保护 SSH 服务器连接的 8 种方法

## 1，创建

> 脚本文件需要放在/vmfs/volumes目录，即虚拟机的存放目录，
> 放到其他目录EXSi主机重启后会被清除。

1. vim-cmd vmsvc/getallvms 此命令用来获取ESXi主机的所有VM；
2. 对于有些不需要快照的主机，可以在网页的vm note信息添加过滤，例如此处过滤了note信息包含‘nosnap’的虚拟机；
   注意：在网页添加虚拟机的note备注信息时，尽量不要换行或过长。
3. 获取其他VM的vm id, 用来执行创建快照命令；
4. 快照命名使用日期(date “+%F”)；
5. 获取的vname用来输出日志；
6. 输出执行日志，日志格式如下：

> [root@ESXi01:~] cat /schedule_snap.log
> 2019-03-02 01:00:33 : vmxxxxxx snapshot create success…
> 2019-03-02 01:01:04 : vmxxxx snapshot create success…
> 2019-03-02 01:01:36 : vmxxxxx snapshot create success…
> 2019-03-02 01:02:07 : vmx snapshot create success…
> 2019-03-02 01:02:39 : vmxx snapshot create success…
> 2019-03-02 01:03:11 : vmxxxx snapshot create success…
> 2019-03-02 01:03:42 : vmxxxxxx snapshot create success…
> 2019-03-02 01:04:14 : vmxxxx snapshot create success…

```
#!/bin/sh
#auto create ESXi snapshots
for i in `vim-cmd vmsvc/getallvms |  grep -v nosnap | awk '{print $1}' | grep -e "[0-9]"`
do
	vname=$(vim-cmd vmsvc/get.summary $i | grep name | awk '{ print $3 }' | cut -d \" -f 2)
	vim-cmd vmsvc/snapshot.create $i $(date "+%F")
	sleep 30s
	if [ $? -eq 0 ];then
		echo "$(date "+%F %T") : $vname snapshot create success.." >> ./schedule_snap.log
	else
		echo "$(date "+%F %T") : $vname snapshot create FAILED.." >> ./schedule_snap.log
	fi
done

```

## 2，删除

1. 获取ESXi主机的所有VM ID;
2. 根据VM ID获取该VM的快照数量；
3. 是否需要删除/需要删除多少快照；

> 变量的数学计算，在不同的shell版本中可能有不同的写法，注意先测试
> 此处 `DELETE_COUNT= $(($SNAPSHOT_COUNT-$DAY))`
> 而使用中括号[ ]的写法却无法计算

1. 根据VM ID和快照ID 执行删除命令；
   *此处只保留了最近的一次快照，根据实际使用的感受，快照数量过多确实会一定程度影响虚拟机的磁盘性能，特别是对于数据库/文件服务这些对磁盘IO要求较高的场景。*

```
#!/bin/sh
DAY=1 #保留数量
for i in `vim-cmd vmsvc/getallvms | awk '{print $1}' | grep -e "[0-9]"`
do
    SNAPSHOT_COUNT=`vim-cmd vmsvc/snapshot.get $i | egrep -- '--\|-CHILD|^\|-ROOT' | wc -l`
    if [ $SNAPSHOT_COUNT -gt $DAY ]; then
		DELETE_COUNT=$(($SNAPSHOT_COUNT-$DAY))
		OLD_SNAPSHOT_ID=`vim-cmd vmsvc/snapshot.get $i | grep Id | head -$DELETE_COUNT | awk -F: '{print $2}'`
		for n in $OLD_SNAPSHOT_ID
		do
			vim-cmd vmsvc/snapshot.remove $i $n > /dev/null
			sleep 30s
		done
    fi
done
```

## 3，添加crond任务

1. 主机的root crond目录在/var/spool/cron/crontabs/root ；
2. 直接编辑/var/spool/cron/crontabs/root ，ESXi主机重启后会被删除；
3. 编辑/etc/rc.local.d/local.sh，当主机启动时添加crond任务。
4. 此处的任务为每周执行一次；

> “5c64e4b5-5ae69e88-dbb3-9cdc71dab878”是存储卷名

```
##/etc/rc.local.d/local.sh
#!/bin/sh
kill $(cat /var/run/crond.pid)
/bin/echo "0 0 0 ? * 1 * sh /vmfs/volumes/5c64e4b5-5ae69e88-dbb3-9cdc71dab878/crontabs/snapshot_creat.sh" >>/var/spool/cron/crontabs/root 
/bin/echo "0 0 0 ? * 3 * sh /vmfs/volumes/5c64e4b5-5ae69e88-dbb3-9cdc71dab878/crontabs/snapshot_del.sh" >>/var/spool/cron/crontabs/root
crond
exit 0
```




VMware Esxi自动快照

使用 scp 命令进行远程拷贝文件 / 文件夹

一、scp 命令详解

二、scp 命令使用

[1. 从本地将文件传输到服务器]

[2. 从本地将文件夹传输到服务器]

[3. 将服务器上的文件传输到本地]

[4. 将服务器上的文件夹传输到本地]

**一、scp 命令详解**

[Ubuntu]系统中，scp是 secure copy 的简写，使用 ssh登陆服务器，可进行远程拷贝文件操作。与之相类似的命令有cp，cp可以在本机进行拷贝，却不能跨服务器进行拷贝，而scp传输是[加密]的，这可能会使拷贝速度减慢；rcp 是不加密的，scp是 rcp 的加强版。当你服务器端硬盘设定为只读时，用scp可以帮你把文件拷贝出来。再者，scp还非常不占资源，不会提高多少系统负荷，在这一点上，rsync就远远不及它了。虽然 rsync比scp会快一点，但当小文件众多的情况下，rsync会导致硬盘 I/O 非常高，而scp基本不影响系统正常使用。

```
scp【本地或远程文件的路径】【服务器用户名】@【服务器地址】：【远程或本地文件的路径】
-1： 强制scp命令使用协议ssh1
-2： 强制scp命令使用协议ssh2
-4： 强制scp命令只使用IPv4寻址
-6： 强制scp命令只使用IPv6寻址
-B： 使用批处理模式（传输过程中不询问传输口令或短语）
-C： 允许压缩。（将-C标志传递给ssh，从而打开压缩功能）
-p：保留原文件的修改时间，访问时间和访问权限。
-q： 不显示传输进度条。
-r： 递归复制整个目录。
-v：详细方式显示输出。scp和ssh(1)会显示出整个过程的调试信息。这些信息用于调试连接，验证和配置问题。
-c cipher： 以cipher将数据传输进行加密，这个选项将直接传递给ssh。
-F ssh_config： 指定一个替代的ssh配置文件，此参数直接传递给ssh。
-i identity_file： 从指定文件中读取传输时使用的密钥文件，此参数直接传递给ssh。
-l limit： 限定用户所能使用的带宽，以Kbit/s为单位。
-o ssh_option： 如果习惯于使用ssh_config(5)中的参数传递方式，
-P port：注意是大写的P, port是指定数据传输用到的端口号
-S program： 指定加密传输时所使用的程序。此程序必须能够理解ssh(1)的选项。
```

**二、scp 命令使用**

**1.从本地将文件传输到服务器**

scp【本地文件的路径】【服务器用户名】@【服务器地址】：【服务器上存放文件的路径】

```
scp -r /home/ds/Desktop/example0.txt eaibot@192.168.31.200:/home/eaibot/
```

**2.从本地将文件夹传输到服务器**

scp【本地文件夹的路径】【服务器用户名】@【服务器地址】：【服务器上存放文件的路径】

```
scp -r /home/ds/Desktop/example1 eaibot@192.168.31.200:/home/eaibot/
```

**3.将服务器上的文件传输到本地**

这里，需使用ssh登陆服务器，方可进行远程拷贝文件操作。

[ssh]【服务器用户名】@【服务器地址】

scp 【服务器用户名】@【服务器地址】：【服务器上存放文件的路径】【本地文件的路径】

```
ssh eaibot@192.168.31.200
scp eaibot@192.168.31.200:/home/eaibot/example1.txt /home/ds/Desktop/
```

**4.将服务器上的文件夹传输到本地**

scp -r 【服务器用户名】@【服务器地址】:【服务器上存放文件夹的路径】【本地文件的路径】

```
scp -r eaibot@192.168.31.200:/home/eaibot/example1 /home/ds/Desktop
```

Ubuntu系统下使用scp进行远程拷贝文件文件夹

Bash编程易错总结大全

入侵成功后，往往会留下后门以便再次访问被入侵的系统，而创建系统账号是一种比较常见的后门方式。在做入侵排查的时候，用户配置文件/etc/passwd和密码配置文件/etc/shadow是需要去重点关注的地方。

**查询特权用户特权用户(uid 为0)**

```
> awk -F: '$3==0{print $1}' /etc/passwd
```

**查找远程可以登录的账户**

```
> awk '/\$1|\$5|\$6/{print $1}' /etc/shadow
```

- $1：MD5（长度 22个字符）
- $5：SHA-256（长度 43 个字符）
- $6：SHA-512（长度86 个字符）

**检查sudo权限**

```
> cat /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL"
```

**删除或锁定账号**

通过上面的步骤可以找到可疑的账号

```
> usermod -L rooot #禁用帐号，帐号无法登录，/etc/shadow第二栏为!开头
> userdel rooot    #删除user用户
> userdel -r rooot #将删除root用户，并且将/home目录下的root目录一并删除
```

**查看当前登录系统的信息**

```
> who    #查看当前登录用户（tty本地登陆  pts远程登录）
> w      #查看系统信息，想知道某一时刻用户的行为
> uptime #查看登陆多久、多少用户，负载
```

**检查异常端口**

使用netstat 网络连接命令，分析可疑端口、IP、PID等信息。

```
> netstat -tunlp | less
```

**抓包分析**

```
> tcpdump -c 10 -q //精简模式显示 10个包
```

**使用ps命令检查可疑的进程**

```
> ps -ef
```

**查超系统中占用资源最高的资源**

```
> top
```

**发现异常进一步检查**

```
> ps eho command -p $PID  #查看该进程启动的完整命令行
> readlink /proc/$PID/cwd #查看该进程启动时候所在的目录
> ls -l /proc/$PID/exe    #查看下pid所对应的进程文件路径
> strings -f /proc/$PID/environ | cut -f2 -d '' #查看该进程启动时的完整环境变量:
> lsof -p $PID #列出该进程所打开的所有文件
```

**检查系统服务**

Linux系统服务管理，CentOS7使用systemd控制  CentOS6之前使用chkconfig控制。

检查开机自启的服务

```
//对于systemd服务管理器来说，可以通过下述方式查看开机自启的服务
> systemctl list-unit-files --type=service | grep "enabled"
//chkconfig就是CentOS6以前用来控制系统服务的工具，查看服务自启动状态
> chkconfig --list | grep "3:on\|5:on"
```

**检查启动项脚本**

命令查看下开机启动项中是否有异常的启动服务。

```
> cat /etc/rc.local
```

利用计划任务进行权限维持，可作为一种持久性机制被入侵者利用。检查异常的计划任务，需要重点关注以下目录中是否存在恶意脚本。

```
/var/spool/cron/* 
/etc/crontab
/etc/cron.d/*
/etc/cron.daily/* 
/etc/cron.hourly/* 
/etc/cron.monthly/*
/etc/cron.weekly/
/etc/anacrontab
/var/spool/anacron/*
```




Linux检测系统是否被入侵

Nexopera是一个专注于Linux、网络和运维等领域的博客网站。将为读者提供广泛的相关文章，涵盖操作系统、服务器管理、网络配置、安全性等多个主题。如果你是初学者，希望这里有适合你的内容。