十分钟解决Linux VPS建站中不能忽视的安全问题
因为Linux的安全性、性能和效率相对Win系统的VPS高，越来越多的站长使用Linux的VPS，使用LNMP环境搭建WordPress网站，但是很多站长往往忽视了一些基础的安全问题，导致网站遭受攻击。最常见的类型是主机被尝试暴力破解登陆密码，站长朋友们写文章，搞外链接辛辛苦苦打造出一个赚美刀的平台，被破解后，hacker建帐号留后门清除登陆痕迹，日后慢慢榨干这台VPS上每一个可以盈利的资源，到时站长们不喝酒也是要醉了。其实这样被扫描+暴力破解的情况我们花上十分钟就可以应付了，当然最主要还是要保持一定的安全意识。
进入正题，暴力破解，解决的办法可以分三步：1、禁Root 2、换端口 3、使用定期更换的长密码（用密钥取代密码）
1、不少站长拿到初始化好了Linux VPS环境，直接使用远程root帐号登陆，众所周知root权限无所不能，方便是方便了，却留下安全隐患。为了提高服务器的安全度，需要对它进行禁止，使得攻击者无法通过暴力破解来获取root权限。
1）新建一个用户
#useradd cnwebmasters(cnwebmasters为新建的用户名)
2）为新用户设置密码
#passwd cnwebmasters(cnwebmasters为新建的用户名)
3）修改SSHD配置，禁止root直接登录
#vi /etc/ssh/sshd_config
查找"#PermitRootLogin yes"，将前面的"#"去掉，短尾"Yes"改为"No"后:wq保存文件。
4）修改完毕后，重启sshd服务
#service sshd restart
5）下次登录，先使用cnwebmasters登录，然后通过su - root 来获取root权限。
2、禁了root后还是会被尝试登陆，没关系，咱把SSH的端口改下，虽然更改端口无法在根本上抵御端口扫描，但是，可以在一定程度上提高VPS的防御B格。
1）打开sshd配置文件
#vi /etc/ssh/sshd_config
2）找到#Port 22字段删掉#，将22改为其他不被使用的端口
服务器端口最大可以开到65536，建议使用4XXXX端口
3）重启sshd服务
#service sshd restart
4）千万千万要记得增加防火墙规则啊，见过不少朋友开着防火墙把自己墙在外面的;P，我也是醉了
修改iptables配置文件：vi /etc/sysconfig/iptables添加以下内容
-A INPUT -p tcp -m state --state NEW -m tcp --dport 49999 -j ACCEPT
保存退出:wq后重启防火墙服务
#service iptables restart
3、最后推荐大家定期手工更新强密码，强密码定义是长度8位以上有大小字母写加数字，B格高的可以使用密钥取代密码登陆，大家自行百度，大前提是保证你的登陆工具和电脑要干净。
4、最后说下安全意识，一开始我们看到有人尝试暴力破解我们的Linux VPS，你有没有想过要看看到底是神马人物对我们的小小网站感兴趣，不懂你知不知道，反正我是想知道。
#vi /var/log/secure
大写G翻到最后，看看登陆记录
百度一下这个IP显示江苏省淮安市电信，本着眼不见心不烦的原则，我们把这个IP加到iptables里
vi /etc/sysconfig/iptables添加以下规则，禁止此IP访问我们的VPS
-I INPUT -s 218.2.0.123 -j DROP
这下世界清静了。。。。
不知道大家每天花多少时间维护自己的站，抽0.5%的时间看一下安全方面的日志，会免去很多后患。最后，在网上收集整理了一个近期进行端口扫描的主机列表，该怎么办，你懂的。
现在还不懂，有时间学一下。
非常不错的文章 我受用了
安全的确是个大问题
这个和计算机教育水平相当
有些VPS不能用iptables,怎么办
ryan2101 发表于 2015-1-3 10:20 static/image/common/back.gif
有些VPS不能用iptables,怎么办
可以把自带的防火墙卸载，自行安装iptables
像CentOS 7.0默认使用的是firewall作为防火墙，可以改为iptables防火墙。
1）关闭firewall
systemctl stop firewalld.service #停止firewall
systemctl disable firewalld.service #禁止firewall开机启动
2）安装iptables防火墙
yum install iptables-services #安装
vi /etc/sysconfig/iptables #编辑防火墙配置文件
谢谢版主和各位朋友的T币
对于这个还是要加分支持
这个可以有，学习了，谢谢楼主分享
不错不错，很简单易操作的:victory::victory::victory:
按楼主的步骤做了，也注意到防火墙设置，结果把端口少打了个0，到底还是把自己给墙了。。汗死:Q。正觉得无奈的时候，想起来WDCP里可以添加规则，把正确端口给加上才算搞定。
老同学 发表于 2015-1-5 12:06 static/image/common/back.gif
按楼主的步骤做了，也注意到防火墙设置，结果把端口少打了个0，到底还是把自己给墙了。。汗死。正觉得无 ...
被自己墙的，我只好呵呵了;P
{:13_1208:}已存，
可以按照楼主思路设置
页:
[1]