第 9 章 · 服务器安全加固

Port 2222                    # 换端口（防扫描噪音；云安全组同步放行）
PermitRootLogin no           # 禁止 root 直接登录（用普通用户+sudo）
PasswordAuthentication no    # 禁用密码登录，只用密钥
PubkeyAuthentication yes
MaxAuthTries 3               # 登录尝试上限
LoginGraceTime 30            # 登录超时 30 秒
AllowUsers alice bob         # 白名单用户（强烈建议）
ClientAliveInterval 120      # 心跳保活（断开僵死连接）

sudo apt install fail2ban    # Ubuntu；Rocky: dnf install fail2ban
sudo systemctl enable --now fail2ban
# 配置在 /etc/fail2ban/jail.local（覆盖默认 jail.conf）
# [sshd] enabled=true  maxretry=5  bantime=1h
sudo fail2ban-client status sshd      # 看封禁情况（几小时就被爆破几十次的常态）
sudo fail2ban-client set sshd unbanip 1.2.3.4   # 手动解封误封 IP

# Ubuntu：安装并启用 unattended-upgrades（默认已装）
sudo dpkg-reconfigure --priority=low unattended-upgrades
sudo apt list --installed | grep unattended

# Rocky：dnf-automatic 定时自动安装安全更新
sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic.timer

# 手动检查是否有安全更新（Ubuntu 特有）
sudo apt update && apt list --upgradable
apt-get -s upgrade | grep security

cat /etc/passwd | grep -v nologin | grep -v false   # 能登录的账号清单
awk -F: '$3==0 {print $1}' /etc/passwd              # UID=0 账号（理论上只能有 root）
cat /etc/sudoers.d/* 2>/dev/null; grep -r "" /etc/sudoers.d/
find / -perm -4000 -type f 2>/dev/null              # setuid 后门排查
lastlog | head -20                                  # 各账号最后登录
last -f /var/log/wtmp | head                          # 登录历史

getenforce                          # Enforcing/Permissive/Disabled
sudo ausearch -m avc -ts recent     # 最近被拒的操作（avc 拒绝日志）
sudo grep "avc:  denied" /var/log/audit/audit.log | tail
# 确认是 SELinux 拦截后，放行（示例：给 httpd 开放端口/目录）
sudo semanage port -a -t http_port_t -p tcp 8080
sudo semanage fcontext -a -t httpd_sys_content_t "/data/web(/.*)?"
sudo restorecon -Rv /data/web
# 真拿不准时：临时 Permissive 观察（setenforce 0），修好再开回 Enforcing

sudo apt install auditd         # Ubuntu；Rocky: dnf install audit
sudo systemctl enable --now auditd
# 规则：监控 /etc/passwd、/etc/shadow 的写入与 /bin 改动
sudo auditctl -w /etc/passwd -p wa -k passwd_watch
sudo auditctl -w /etc/shadow -p wa -k shadow_watch
sudo auditctl -l                 # 查看规则
sudo ausearch -k passwd_watch    # 查谁改过 passwd（证据！）
# 永久规则写 /etc/audit/rules.d/audit.rules

# Ubuntu: /var/log/auth.log；Rocky: /var/log/secure
sudo tail -100 /var/log/auth.log          # 最近登录/失败
sudo grep "Failed password" /var/log/auth.log | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn
# ↑ 统计爆破来源 IP 排行（你问的「知道哪里攻击的」就是这个）
sudo grep "Accepted" /var/log/auth.log    # 成功登录记录（重点核对是不是自己）
last -i | head                            # 登录会话历史（IP）
lastb -i | head                           # 失败登录（爆破记录）
who / w                                   # 当前在线用户（发现陌生会话=已被入侵迹象）

top / htop                 # 异常高 CPU 进程（挖矿病毒特征：CPU 100% + 陌生进程名）
ps aux --sort=-%cpu | head # 按 CPU 排名的进程
ss -tunap                  # 陌生对外连接（挖矿外连矿池、反弹 shell）
crontab -l; ls /etc/cron.*  # 被植入的定时任务后门
ls -la /tmp /dev/shm        # 攻击者爱放文件的目录（可执行文件可疑）
cat /etc/rc.local 2>/dev/null
systemctl list-units --type=service --state=running   # 陌生服务
find / -name "*miner*" -o -name "*xmrig*" 2>/dev/null
rkhunter --check           # 根套件扫描（dnf/apt 安装后先 rkhunter --update）
sudo chkrootkit            # 同类扫描工具
last -20                   # 登录历史里的异常时段

tail -100 /var/log/nginx/access.log
grep -E "\.(php|jsp|asp)" access.log | awk '{print $1}' | sort | uniq -c | sort -rn
grep -iE "union|select|/etc/passwd|\.\./" access.log   # SQL注入/路径穿越特征
grep -E '" (400|403|404|500|502) ' access.log | tail    # 异常状态码
find /data/web -name "*.php" -newer /data/web/index.html  # 最近新增的 php（webshell 特征）
grep -r "eval\|base64_decode\|shell_exec" /data/web --include="*.php"   # 一句话木马特征函数