搜索结果: "ssh"

title: Linux SSH 防暴力破解脚本 — anti_brute_force.sh 实战部署指南

sources: [raw/articles/20260519-SSH防暴力破解脚本-anti-brute-force.md]

# Linux SSH 防暴力破解脚本 — anti_brute_force.sh 实战部署指南

> 一个功能完整的 Linux 防暴力破解 bash 脚本，自动检测 SSH 登录失败行为，对恶意 IP 进行 iptables/ufw 封禁。可作为 fail2ban 的轻量替代或补充方案。

| SSH 登录失败检测 | 自动扫描 `/var/log/auth.log` 或 `/var/log/secure`，识别暴力破解 |

title: SSH 暴力破解防御指南 — 公钥认证 / fail2ban / 2FA / 入侵检测 / 连接限制 / 蜜罐

sources: [raw/articles/ssh-brute-force-protection-guide.md, raw/articles/server-security-hardening-checklist.md, raw/articles/7招锁死SSH-从端口伪装到Fail2ban-教你把暴力破解挡在门外.md]

# SSH 暴力破解防御指南

> 只要服务器暴露在公网上，SSH 端口扫描和暴力破解几乎必然发生。

| **进阶加固** | ⑦ SSH 连接限制 | 降低暴力破解成功率 |

title: SSH 连接调试完全指南 — ssh -vvv 输出解读 + 服务端日志联查 + 典型问题排查

- raw/articles/ssh-connection-debugging-guide-服务端日志才是真相用-ssh-vvv-排查-OpenSSH-问题的完整思路与示例.md

# SSH 连接调试完全指南

> 排查 SSH 连接问题，核心在于 **ssh -vvv 客户端输出 + 服务端日志联查**。本文覆盖四个调试阶段（连接建立 → 协议协商 → 身份认证 → 会话），配合真实输出示例和分析方法。

ssh -vvv 输出 + 服务端日志 → 判断失败阶段 → 定位根因

title: SSH 密钥目录全解 — ~/.ssh 各文件职责与权限

tags: [linux, security, ssh, command]

sources: [raw/articles/2026-08-31-ssh-keys-directory-guide.md]

# SSH 密钥目录全解 — ~/.ssh 各文件职责与权限

> 来源：微信公众号「Python运维实践」《一文读懂 ~/.ssh：私钥、公钥、known_hosts 到底各管什么》

### SSH 免密配置

Jenkins 运行用户 `jenkins` 需能免密 SSH 到被管节点：

ssh-keygen -t ed25519 -N "" -f ~/.ssh/id_ed25519

ssh-copy-id -i ~/.ssh/id_ed25519.pub [email protected]

> ⚠️ Ubuntu 24 的 `ssh-copy-id` 对 ED25519 密钥偶有抽风，失败时手动追加公钥到目标机器 `~/.ssh/authorized_keys`。目标机器需确认 `PubkeyAuthentication yes`。

**应用场景：** 每天早上 8 点 cron 执行，产出报告推送至钉钉群。替代手动 SSH 巡检（1 小时 → 10 秒）。

{"host": "192.168.1.10", "user": "root", "key": "/root/.ssh/id_rsa"},

{"host": "192.168.1.11", "user": "root", "key": "/root/.ssh/id_rsa"},

ssh = paramiko.SSHClient()

ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())

参见 [[ssh-brute-force-protection-guide]]（fail2ban + iptables 防暴力破解）。

### 48. 禁止 root SSH 登录

# /etc/ssh/sshd_config

systemctl restart sshd

参见 [[ssh-connection-debugging-guide]] 和 [[ssh-brute-force-protection-guide]]。

# SSH 到节点查看 iptables 规则

ssh "sudo iptables -t nat -L -n | grep "

ssh "sudo iptables -t nat -L KUBE-SERVICES -n | grep "

ssh "sudo iptables -t filter -L FORWARD -n | grep KUBE"

ssh "sudo ipvsadm -L -n"

# SSH 到节点查看 Service 相关规则

ssh "sudo iptables -t nat -L -n | grep "

ssh "sudo iptables -t filter -L FORWARD -n | grep KUBE"

ssh "sudo ipvsadm -L -n"

ssh "lsmod | grep ip_vs"

journalctl -u sshd -f # 监控 sshd 服务

journalctl -u docker -u sshd -p warning -n 20 -f

- 同时监控 docker 和 sshd 服务

| `journalctl -u sshd -f` | 实时指定服务 | 服务故障排查 |

**SSH 暴力破解检测：** 使用 `journalctl -u sshd -f` 实时监控 SSH 登录尝试，观察 `Failed password` 事件。日志中可清晰看到来自特定 IP 的自动化暴力破解尝试，结合 `ssh-brute-force-protection-guide` 中的 fail2ban 或公钥认证方案加固。

传输速度的瓶颈通常不是网络带宽，而是：**加密开销**（SSH 加密消耗 CPU）、**磁盘 I/O**（源端读取和目标端写入）、**网络协议开销**（TCP 拥塞控制/窗口大小/重传）、**系统参数**（socket buffer/tcp 窗口）、**文件数量**（大量小文件比单一大文件慢得多，每个文件都要打开/关闭/读取元数据）。

| **rsync** | ✅ SSH | ✅ | ✅ 增量之王 | ❌ | 70-110 MB/s | 定期同步、增量备份、生产首选 |

| **scp / sftp** | ✅ SSH | ❌ 弱 | ❌ | ❌ | 80-120 MB/s | 临时小文件（<1GB）|

## 方案一：scp / sftp（基础 SSH 传输）

最简单，几乎所有 Linux 发行版自带。基于 SSH 协议，适合临时单次传输。

# 检查 SSH 公钥（常被留做永久后门）

cat ~/.ssh/authorized_keys

cat /root/.ssh/authorized_keys

# 检查 SSH 配置

grep "PermitRootLogin\|PasswordAuthentication" /etc/ssh/sshd_config

tags: [linux, security, incident-response, troubleshooting, production, methodology, case-study, ssh, iptables, monitoring]

| 进程 | 进程名伪装成系统进程（kworker、systemd、sshd）；进程路径位于 /tmp、/var/tmp、/dev/shm 等可写目录；启动参数含矿池或钱包地址；CPU 占用接近 100% |

初始入侵（漏洞/弱密码/供应链投毒）→ 权限提升（内核漏洞、SUID、sudo 配置错误）→ 持久化（定时任务、启动脚本、SSH 后门）→ 清理痕迹（清空或篡改日志、history）→ 执行挖矿（下载并运行挖矿程序）→ 对抗检测（隐藏进程、伪装进程名、监控并杀死安全工具进程）→ 横向移动（扫描内网、批量感染）。

⚠️ 会导致 SSH 断开，需通过带外管理（IPMI、云控制台 VNC）操作。

| 用户配置 | 复制 /root/.bashrc、.bash_profile、/root/.ssh/authorized_keys |

# SSH 后门

cat /root/.ssh/authorized_keys

1. **07:30** — 攻击者暴力破解 SSH 密码

# 清理 SSH 后门

cp /root/.ssh/authorized_keys /root/.ssh/authorized_keys.bak

典型场景：`/usr/bin/passwd` 是 setuid root，普通用户才能写 `/etc/shadow`。`/tmp` 有 sticky bit，普通用户能创建文件但不能删别人的文件。`ssh-agent` 等会用 setgid 切换到特定组。`/var/tmp` 没有 sticky bit，是所有用户共享的临时目录。

**核心字段：** 进程 domain（`httpd_t`、`sshd_t`、`unconfined_t`），文件 type（`httpd_sys_content_t`、`tmp_t`、`default_t`），通过 te rules 控制 domain → type 的访问。若文件 type 未正确设置（如 `default_t`），即使权限 777 也无法访问。

影响登录和认证过程。涉及 `login`、`sshd`、`su`、`sudo`。配置文件在 `/etc/pam.d/` 下。常见问题：PAM 配置错误导致 SSH 登录直接被拒绝（即使密码和文件权限都对），或 `sudo` 权限无故失效。

cat /etc/pam.d/sshd

pamtester sshd authenticate

| **登录 Shell** | SSH 登录、telnet、本地登录 | `/etc/profile` → `~/.bash_profile`/`~/.bash_login`/`~/.profile` |

⚠️ 如果 `lastb` 输出很多，说明有人在暴力破解 SSH！

与 [[ssh-brute-force-protection-guide]] 的纵深防御体系一致，本文从用户管理视角给出快速落地方法：

# /etc/ssh/sshd_config

# /etc/ssh/sshd_config

scp（Secure Copy）基于 SSH 协议实现文件加密传输。在本地执行命令，通过 SSH 连接到远程主机完成传输后返回结果。

| `-v` | 详细/调试模式，显示 SSH 连接过程 | `scp -v file user@host:/dest/` |

| `-P port` | 指定 SSH 端口（**注意是大写 P**） | `scp -P 2222 file user@host:/dest/` |

| `-i file` | 指定私钥文件 | `scp -i ~/.ssh/id_rsa file user@host:/dest/` |

| `-o option` | 传递 SSH 选项 | `scp -o "ConnectTimeout=10" file user@host:/dest/` |

⚠️ 任何生产环境操作前，必须先做好备份和快照。加固涉及 SSH、iptables、服务重启，操作失误可能导致服务器无法登录。

2. 记录当前 SSH 连接的方式和 IP

4. 确认快照恢复后需重新配置的项（IP、hostname、SSH keys 等）

# /etc/ssh/sshd_config: PermitRootLogin no

sudo systemctl restart sshd

- [[anti-brute-force-script]] — SSH 防暴力破解脚本：iptables/ufw 自动封禁 + whitelist + Webhook 通知 + systemd 服务

- [[linux-hacked-server-emergency-response]] — Linux 服务器入侵应急响应完整清单与实战指南。覆盖从发现被黑到恢复全流程：断网隔离、取证快照、后门排查、SSH加固、入侵复盘。含7项核心检查清单和完整报告模板。

- [[server-security-hardening-checklist]] — 服务器安全加固清单：20 项新机器上线前必做操作/账号权限/防火墙/系统安全/SSH 加固

- [[ssh-brute-force-protection-guide]] — SSH 暴力破解防御指南：公钥认证/fail2ban/2FA/入侵检测/应急处置

- [[ssh-connection-debugging-guide]] — SSH 连接调试完全指南：ssh -vvv 输出解读 / 服务端日志联查 / 典型问题排查

## [2026-05-11] ingest | SSH 暴力破解频繁？这几种防护手段必须配置

- Created raw: raw/articles/ssh-brute-force-protection-guide.md

- Created concepts: ssh-brute-force-protection-guide

- 添加入链：database-on-kubernetes-debate, ssh-brute-force-protection-guide, registry-center-comparison

- Updated: ssh-brute-force-protection-guide, linux-kernel-tuning-production

| SSH Pipelining | `pipelining=True` | 减少连接开销，速度 2-3 倍 |

| SSH 连接复用 | `ControlPersist=60s` | 减少 TCP 握手 |

一个 playbook 完成 13 步：主机名 → DNS → 基础工具（vim/wget/curl/htop/sysstat 等）→ 创建运维用户 → sudo 免密 → SSH 公钥 → 关 SELinux → 关 firewalld → 内核参数调优（`fs.file-max`/`net.core.somaxconn`/`vm.swappiness` 等）→ 时区 → NTP → 远程 syslog → 清理无用服务（postfix/abrt）。

| 批量部署 SSH 密钥 | `deploy_ssh_keys.yml` | 支持多用户，禁用 SSH 密码登录 |

├── ssh/ # SSH 配置（sshd_config）

│ ├── secure # SSH 登录日志

| /home/username | 普通用户家目录 | .bashrc, .ssh/, Documents/ |

| 查看 SSH 登录日志 | /var/log/secure (CentOS) / /var/log/auth.log (Ubuntu) |

| P3-低 | 单次 SSH 失败、端口扫描 | 记录日志 | 日报汇总 |

| P2-中 | 5 分钟内 ≥ 10 次 SSH 失败 | 自动封禁 IP 1 小时 | 企业微信/钉钉 |

安全加固详细操作参见 [[server-security-hardening-checklist]] 和 [[ssh-brute-force-protection-guide]]。

| [[ssh-brute-force-protection-guide]] | SSH 暴力破解防御（检测+应急排查的配合） |

### SSH 转发（type=ssh）

RUN --mount=type=ssh git clone [email protected]:company/private-lib.git

docker build --ssh default -t myapp:1.0.0 .

# SSH 到目标节点（节点 SSH 安全配置参见 [[ssh-brute-force-protection-guide]]）

ssh "df -h / && free -m && uptime"

DISK=$(ssh $NODE "df -h / | tail -1 | awk '{print \$5}' | sed 's/%//'")

2026-09-07 拓宽：linux 62页（新增挖矿木马应急响应 runbook 专页：11 阶段流程+持久化五类位置+ld.so.preload+回滚方案；hacked-server/mining-virus/hardening-checklist/intrusion-detection/ssh-brute-force 五页增量合并）

- ssh: SSH 密钥/认证与连接配置

iptables -A INPUT -p tcp --dport 22 -j ACCEPT # SSH

# 限制 SSH 来源

SSH 连不上时用云厂商的远程控制台（VNC/KVM）登入，相当于坐在机房显示器前。SSH 服务安全配置参见 [[ssh-brute-force-protection-guide]]。

| [[ssh-connection-debugging-guide]] — SSH 连接调试完全指南（ssh -vvv 输出解读 / 服务端日志联查 / 应用层排查）

接手告警后，ssh 到目标机，**先停手观察**，不做任何修改操作。

- ssh 到目标主机初步确认

ssh -o ConnectTimeout=2 -o StrictHostKeyChecking=no $REMOTE_IP \

ssh root@$OTHER_NODE "curl -s http://127.0.0.1/health" >/dev/null

- **异地保留 30 天**：`rsync` + `ssh find`

参见 [[server-security-hardening-checklist]] 的服务器安全加固总纲，以及 [[ssh-brute-force-protection-guide]] 的访问控制实践。

ssh backup-server "cat > /backups/jenkins/jenkins-team-a-$(date +%Y%m%d).tar.gz"

-XX:+PrintClassHistogram # 可选

ssh [email protected]

ssh "dmesg | grep -i 'killed process'"

`sysctl net.netfilter.nf_conntrack_max` + `cat /proc/sys/net/netfilter/nf_conntrack_count`。当短连接、高并发、重试放大同时出现时，连接跟踪表很容易被打爆；表逼近上限后新连接建立抖动，业务侧表现为「什么都没变，但超时开始随机出现」。治理：调 `nf_conntrack_max`、优化客户端连接复用减少无意义短连接、故障期间避免叠加过激重试。用 DaemonSet 做节点统一调优，把这些参数配置管理起来，不要依赖人工 SSH 修机器。

tar -czvf - /home/ | ssh remote "cd /backup && tar -xzvf -"

- [ ] SSH → noop, HDD → deadline

tar -czf - dir/ | ssh host "tar -xzf - -C /dst/" # 远程传输 + 解压

1. **永远先放行 SSH，再执行拒绝规则** — 先 DROP 所有端口直接断连服务器，需机房现场重启

生产环境最常遇到的运维场景之一就是服务器负载突然飙升，业务响应变慢甚至不可用：监控频繁报警 Load Average 过高，SSH 登录都卡顿。Load Average 高不一定等于 CPU 使用率高，也不一定是内存不足——真实原因可能是磁盘 IO 瓶颈、网络流量暴增、僵尸进程堆积、软中断过高、内核任务卡死等。排查负载问题必须建立完整的观察链路和判断逻辑，避免盲目重启服务或凭感觉调参数。

tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=845,fd=3))

- SSH 是否也慢，还是只有业务请求慢

ssh $host "journalctl --disk-usage | tail -1; echo '---TOP3---'; journalctl --since '1 hour ago' | awk '{print \$5}' | sort | uniq -c | sort -rn | head -3; ps aux | grep [r]syslogd | awk '{print \$1, \$3}'"

- [[server-security-hardening-checklist]] — 服务器安全加固清单（内核参数与 SSH 加固）

resource "alicloud_security_group_rule" "allow_ssh" {