SSH服务器配置文件是/etc/ssh/sshd_conf.在你对它进行每一次改动后都需要重新启动SSH服务,以便让改动生效。 1、修改SSH监听端口 默认情况下,SSH监听连接端口22,攻击者使用端口扫描软件就可以看到主机是否运行有SSH服务,将SSH端口修改为大于1024的端口是一个明智的选择,因为大多数端口扫描软件(包括nmap)默认情况都不扫描高位端口。 打开/etc/ssh/sshd_config文件并查找下面这样的行: Port 22 修改端口号并重新启动SSH服务: 以下是代码片段: /etc/init.d/ssh restart 2、仅允许SSH协议版本2 有两个SSH协议版本,仅使用SSH协议版本2会更安全,SSH协议版本1有安全问题,包括中间人攻击(man-in-the-middle)和注入(insertion)攻击。编辑/etc/ssh/sshd_config文件并查找下面这样的行: Protocol 2,1 修改为 Protocol 2 3、仅允许特定的用户通过SSH登陆 你不一个允许root用户通过SSH登陆,因为这是一个巨大的不必要的安全风险,如果一个攻击者获得root权限登陆到你的系统,相对他获得一个普通用户权限能造成更大的破坏,配置SSH服务器不允许root用户通过SSH登陆,查找下面这样的行: PermitRootLogin yes 将yes修改为no,然后重新启动服务。现在,如果你想使用特权用户,你可以先以其他用户登陆,然后再转换到root. 创建一个没有实际权限的虚拟用户是一个明智的选择,用这个用户登陆SSH,即使这个用户遭到破解也不会引起什么破坏,当创建这个用户时,确保它属于wheel组,并修改/etc/sudoers,添加wheel组的权限。因为那样你才能切换到特权用户。 如果你想让一列用户都能通过SSH登陆,你可以在sshd_config文件中指定它们,例如:我想让用户anze、dasa、kimy能通过SSH登陆,在sshd_config文件的末尾我添加下面这样一行: AllowUsers anze dasa kimy 4、创建一个自定义SSH banner 如果你想让任何连接到你SSH服务的用户看到一条特殊的消息,你可以创建一个自定义SSH banner,只需要创建一个文本文件(我的是/etc/ssh-banner.txt),然后输入你想的任何文本消息,如: 以下是代码片段: *This is a private SSH service. You are not supposed to be here.* *Please leave immediately. * 编辑好后,保存这个文件,在sshd_config中查找下面这样一行: 以下是代码片段: #Banner /etc/issue.net 取消掉注释【将#去掉】,然后将路径修改为你自定义的SSH banner文本文件。 (责任编辑:IT) |