SSH爆破：是什么？怎么查？怎么预防？ -

一、SSH爆破是什么？

如果在设置SSH服务时，管理员设置了容易被猜解出来的用户名和密码（弱口令），那么云服务器容易被黑客使用对应的密码工具进行暴力破解弱口令。破解出来就可以使用对应的用户名和密码登录系统。所以提醒大家：云服务器的登录密码一定不要设置为弱口令。

之前我的小鸟云内蒙bgp云服务器密码就是用的弱口令，差一点就被爆破了，后来联系了技术人员，自己也上网查找了一些资料，整理如下：
1.查看自己是否被爆破和爆破者IP

cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}'

如果出现短时间内非常多次登陆失败，基本上就能确定自己的服务器是被爆破了并且是哪个IP在爆破了。确定之后就该对它进行下一步动作了。
2.封爆破者IP
这里用的是hosts.deny文件，用iptables也行，不过需要重新载入，但是功能也很强大。

cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c | awk '$1>50 {print "sshd:",$2}'>>/etc/hosts.deny

其中$1>50中的50为次数

最主要的还是修改SSH默认登陆端口，修改方式主要是修改ssh配置文件，如果你像我一样用的是Linux系统，可以参考这篇文档：https://www.niaoyun.com/docs/15900.html/?utm_source=phpc-1224

1.修改iptables
首先要过防火墙，修改防火墙规则：

/sbin/iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 2333 -j ACCEPT

保存规则：

service iptables save

重启防火墙：

service iptables restart

2.修改ssh配置文件

cp /etc/ssh/ssh_config /etc/ssh/ssh_config.bak
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak

修改ssh端口：

vim /etc/ssh/sshd_config

在端口#Port 22下面增加Port 2333

vim /etc/ssh/ssh_config

重启ssh服务：

service sshd restart