linux安全加固脚本

Linux安全加固：别等被入侵了才想起来

上个月帮朋友收拾一台被挖矿程序劫持的全加服务器，登录进去一看，固脚CPU跑满，全加/tmp目录下躺着一堆陌生文件，固脚crontab里多了条定时任务——每五分钟从某个俄罗斯IP下载执行脚本。全加朋友一脸无辜："我密码设得挺复杂啊。固脚"我问他SSH端口是全加不是22，root能不能直接登录，固脚他点头。全加问题就在这。固脚

Linux安全加固不是全加装个杀毒软件就完事，也不是固脚把防火墙打开就高枕无忧。它是全加一连串琐碎但必要的动作，每个动作堵住一个常见的固脚攻击路径。我整理了一份加固脚本的全加思路，按实战顺序来，照着做能挡掉绝大多数自动化攻击。

第一刀：砍掉SSH的默认配置

SSH是攻击者的第一道门。默认的22端口每天被扫描几千次，root账户直接登录等于把钥匙挂在门上。改掉端口，禁用root登录，改用密钥认证——这三件事做完，90%的暴力破解直接失效。脚本里写清楚：PermitRootLogin no，PasswordAuthentication no，Port 某个不常用的高位端口。别嫌麻烦，密钥生成一次，以后登录反而更快。

有个细节很多人忽略：sshd_config改完要记得systemctl restart sshd，而且先别断开当前连接，等新会话能登进去再退出。我见过太多人改完配置直接断线，然后蹲在机房门口等救援。

第二刀：用户和权限，别给多余的东西

检查/etc/passwd，看看哪些用户有shell登录权限。awk -F: '$7 != "/sbin/nologin" && $7 != "/bin/false" { print $1}' ——跑一下，把不需要登录的系统账户全部改成nologin。特别是那些数据库、消息队列自建的账户，它们只需要服务运行权限，不需要shell。

sudoers文件也要清理。visudo进去看，删掉那些注释掉的、过期的规则。有个真实案例：某公司运维离职前在sudoers里留了个后门账户，半年后被人用这个账户提权删了数据库。权限这东西，给出去容易收回来难，定期清理是必须的。

第三刀：防火墙不是摆设，要真的用起来

很多人装了firewalld或者ufw，但规则写得跟没有一样——放行所有端口。加固脚本里至少要做三件事：默认拒绝入站，只放行SSH端口和你业务需要的端口；限制SSH来源IP（如果办公IP固定的话）；开启日志记录。用iptables也行，但firewalld更直观：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="x.x.x.x" port port="2222" protocol="tcp" accept'，然后reload。

别小看这个动作。我见过一台被爆破的机器，攻击者换了三千多个IP尝试登录，如果防火墙只允许公司IP访问SSH，这三千次尝试根本到不了sshd面前。

第四刀：文件系统和内核参数，堵住提权路径

/tmp、/var/tmp这些目录要挂载成nosuid、nodev、noexec。攻击者经常往/tmp丢编译好的提权工具，如果这些目录不能执行二进制，攻击链直接断掉。改/etc/fstab，加挂载参数，然后mount -o remount /tmp。

内核参数里，net.ipv4.conf.all.accept_redirects = 0、net.ipv4.icmp_echo_ignore_broadcasts = 1这些基础项要设上。还有一个容易被忽视的：kernel.dmesg_restrict = 1，不让普通用户看内核日志，防止泄露内存地址信息。

第五刀：日志和自动更新，别等到出事才查

journald和syslog要开，日志保留策略要设好。journalctl --vacuum-time=30d，别让日志无限膨胀占满磁盘——磁盘满了服务会挂，这本身就是一个攻击向量。另外把auth.log单独拎出来，每天扫一眼SSH登录失败的IP，如果某个IP反复尝试，直接加黑名单。

自动更新这件事有争议。我建议安全更新自动装，内核大版本更新手动控制。Debian/Ubuntu用unattended-upgrades，CentOS/RHEL用yum-cron，只开启安全源。别小看这个，去年某个OpenSSL漏洞爆出来，没自动更新的机器被扫了一整夜。

最后说句实在话：这些操作做完，你的服务器依然不是铜墙铁壁，但已经能挡住绝大多数脚本小子和批量扫描。真正的定向攻击靠的是人，不是脚本。不过话说回来，先把自己能做的做了，剩下的交给运气——反正运气这东西，总是偏向有准备的人。