网站服务器不被攻击是不可能的事，世界上的【转载请注明来源】【原创不易，请尊重版权】黑客无时无刻不在惦记着你的服务器，用它来本文作者：唐霜，转载请注明出处。【作者：唐霜】转发攻击、作为肉鸡、甚至用来挖比特币。你著作权归作者所有，禁止商业用途转载。【作者：唐霜】或许觉得服务器的安全并没有想的那么严重，【访问 www.tangshuang.net 获取更多精彩内容】【本文首发于唐霜的博客】谁会在乎你的小站呢？话虽如此，对于黑客而本文版权归作者所有，未经授权不得转载。【未经授权禁止转载】言，只需要用自己的程序自动去扫描完成所有【本文受版权保护】【版权所有】唐霜 www.tangshuang.net入侵即可，黑客自己或许都不清楚自己到底入著作权归作者所有，禁止商业用途转载。本文作者：唐霜，转载请注明出处。侵了多少台服务器。
本文版权归作者所有，未经授权不得转载。原创内容，盗版必究。著作权归作者所有，禁止商业用途转载。【本文受版权保护】作为网站的创办者，如何连起码的服务器安全【版权所有】唐霜 www.tangshuang.net【版权所有，侵权必究】意识都没有，那么当大难来临时，或许只有捶【原创不易，请尊重版权】【版权所有】唐霜 www.tangshuang.net胸顿足。本文简单的讲一些我所遇到的想到的【版权所有】唐霜 www.tangshuang.net【转载请注明来源】安全策略，以供参考。
【原创不易，请尊重版权】未经授权，禁止复制转载。【未经授权禁止转载】登陆安全策略
黑客的90%对服务器的攻击，都是通过尝试著作权归作者所有，禁止商业用途转载。原创内容，盗版必究。破解服务器的登陆账号而实现的。由于我们很原创内容，盗版必究。本文作者：唐霜，转载请注明出处。多人缺乏经验，所以在购买云服务器之后，往本文版权归作者所有，未经授权不得转载。【关注微信公众号：wwwtangshuangnet】往按照网上的一些教程，搭建起web环境，【版权所有，侵权必究】【转载请注明来源】然后就开始把重点放在web的开发和管理上【访问 www.tangshuang.net 获取更多精彩内容】著作权归作者所有，禁止商业用途转载。，而直接无视服务器本身的安全问题。如何换原创内容，盗版必究。【版权所有】唐霜 www.tangshuang.net位思考，你作为黑客，如果想搞一个网站，最本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。狠的方法是什么？就是获取该网站所在服务器【关注微信公众号：wwwtangshuangnet】未经授权，禁止复制转载。的登陆账号及密码，登陆之后，把该服务器上著作权归作者所有，禁止商业用途转载。【原创不易，请尊重版权】的网站代码删掉，数据删掉。所以，保护你的原创内容，盗版必究。未经授权，禁止复制转载。登陆信息至关重要。
未经授权，禁止复制转载。本文版权归作者所有，未经授权不得转载。未经授权，禁止复制转载。【本文受版权保护】创建非root管理员用户
一个系统中只有一个root，但是其他用户【访问 www.tangshuang.net 获取更多精彩内容】【本文受版权保护】却可以随意创建。如果你创建了一个其他用户【访问 www.tangshuang.net 获取更多精彩内容】未经授权，禁止复制转载。用来作为管理，而禁用了root，你的系统【版权所有，侵权必究】转载请注明出处：www.tangshuang.net就会瞬间增加10倍以上的安全系数。因为你【版权所有，侵权必究】原创内容，盗版必究。所创建的管理员用户名，黑客就很难猜到。你【访问 www.tangshuang.net 获取更多精彩内容】【作者：唐霜】可以用你的名字或昵称作为管理员账号，黑客【版权所有】唐霜 www.tangshuang.net本文作者：唐霜，转载请注明出处。如何不知道这个账号，就无法登陆到你的服务转载请注明出处：www.tangshuang.net本文作者：唐霜，转载请注明出处。器干坏事了。
本文作者：唐霜，转载请注明出处。本文作者：唐霜，转载请注明出处。首先，创建非管理员用户及用户组。
【版权所有】唐霜 www.tangshu【关注微信公众号：wwwtangshuangnet】著作权归作者所有，禁止商业用途转载。ang.net未经授权，禁止复制转载。【访问 www.tangshuang.n本文作者：唐霜，转载请注明出处。【本文受版权保护】et 获取更多精彩内容】【本文受版权保护】groupadd webmaster useradd -g webmaster administrator
这样，创建了一个webmaster用户组【本文受版权保护】【原创内容，转载请注明出处】，在这个组中，增加了一个administ本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。rator用户。
【关注微信公众号：wwwtangshua【未经授权禁止转载】【本文受版权保护】ngnet】【作者：唐霜】其次，在sshd的配置文件中修改ssh登【版权所有】唐霜 www.tangshuang.net转载请注明出处：www.tangshuang.net陆权限。
【原创内容，转载请注明出处】著作权归作者所有，禁止商业用途转载。著作权归作者所有，禁止商业用途转载。vi /etc/ssh/sshd_config
找到PermitRootLogin，将它【本文受版权保护】原创内容，盗版必究。的值修改为no。这样就禁止了root通过【版权所有，侵权必究】本文版权归作者所有，未经授权不得转载。ssh登陆。但是，我们还要再做一个限制，【未经授权禁止转载】【未经授权禁止转载】就是找到（如果没有，增加一行）Allow未经授权，禁止复制转载。【转载请注明来源】Users，修改为如下：
【原创内容，转载请注明出处】转载请注明出处：www.tangshua未经授权，禁止复制转载。【访问 www.tangshuang.net 获取更多精彩内容】ng.net未经授权，禁止复制转载。本文版权归作者所有，未经授权不得转载。AllowUsers administrator
AllowUsers配置项表示，仅运行后著作权归作者所有，禁止商业用途转载。【版权所有，侵权必究】面配置的这些用户通过ssh登陆。一旦设置原创内容，盗版必究。【未经授权禁止转载】了这个项，其他所有用户都无法通过ssh登【本文首发于唐霜的博客】原创内容，盗版必究。陆了，这是我们想要的。
转载请注明出处：www.tangshua【作者：唐霜】转载请注明出处：www.tangshuang.netng.net【转载请注明来源】【转载请注明来源】【版权所有，侵权必究】重启sshd服务（先别慌马上去做，往下面【原创不易，请尊重版权】【版权所有】唐霜 www.tangshuang.net读完本节再执行重启）。
【访问 www.tangshuang.n【原创内容，转载请注明出处】原创内容，盗版必究。et 获取更多精彩内容】【本文受版权保护】service sshd restart
这样，你的服务器仅允许administr【访问 www.tangshuang.net 获取更多精彩内容】本文版权归作者所有，未经授权不得转载。ator登陆了。等一下，是不是漏了什么？【作者：唐霜】未经授权，禁止复制转载。我CAO，administrator的密本文版权归作者所有，未经授权不得转载。本文版权归作者所有，未经授权不得转载。码没有设置啊！不要慌，sshd重启之后，【原创不易，请尊重版权】原创内容，盗版必究。当前你还是root用户，你还是可以给这个【访问 www.tangshuang.net 获取更多精彩内容】【作者：唐霜】用户设置密码的。不过接着往下读，你会发现【原创内容，转载请注明出处】著作权归作者所有，禁止商业用途转载。好玩的事。
【本文受版权保护】未经授权，禁止复制转载。【本文受版权保护】补充：赋予administrator执行本文版权归作者所有，未经授权不得转载。【本文受版权保护】sudo的权限
著作权归作者所有，禁止商业用途转载。【版权所有】唐霜 www.tangshu【版权所有】唐霜 www.tangshuang.net本文作者：唐霜，转载请注明出处。ang.net【原创内容，转载请注明出处】如果是裸机，administrator默著作权归作者所有，禁止商业用途转载。【转载请注明来源】认是没有sudo命令的权限的，需要用ro【关注微信公众号：wwwtangshuangnet】【访问 www.tangshuang.net 获取更多精彩内容】ot用户登录后做如下操作。
【本文首发于唐霜的博客】【未经授权禁止转载】chmod u+w /etc/sudoers vi /etc/sudoers
找到 root ALL=(ALL) AL【原创内容，转载请注明出处】【原创内容，转载请注明出处】L,在他下面添加 administrator ALL=(ALL) ALL，这样就允许了administrator本文作者：唐霜，转载请注明出处。【原创不易，请尊重版权】可以执行sudo命令了。但是如果你按照上【原创不易，请尊重版权】【版权所有】唐霜 www.tangshuang.net面的方法，不打算为administrat本文作者：唐霜，转载请注明出处。【本文受版权保护】or设置密码，那么需要把这行修改为：
administrator ALL=(ALL) NOPASSWD:ALL
因为我们都很熟悉，一般在第一次执行sud著作权归作者所有，禁止商业用途转载。【版权所有，侵权必究】o的时候是必须要输入密码的，而如果我们按【原创内容，转载请注明出处】【作者：唐霜】照上面的方法，没有设置密码的话，就麻烦了本文版权归作者所有，未经授权不得转载。【作者：唐霜】，输入密码的时候你根本没有密码可以输入啊【访问 www.tangshuang.net 获取更多精彩内容】【本文受版权保护】，所以这个地方要注意一下。
【转载请注明来源】转载请注明出处：www.tangshua【本文受版权保护】未经授权，禁止复制转载。ng.net【本文首发于唐霜的博客】著作权归作者所有，禁止商业用途转载。使用SSH密钥登陆
在《使用SSH证书远程登陆你的服务器》一文中，我大致讲到了使用ssh密钥登陆著作权归作者所有，禁止商业用途转载。【未经授权禁止转载】的过程。不过，本文讲的更简洁好用。前面不【本文首发于唐霜的博客】【本文首发于唐霜的博客】是已经提到了，你没有给administr【关注微信公众号：wwwtangshuangnet】转载请注明出处：www.tangshuang.netator设置密码吗？如果你使用ssh密钥转载请注明出处：www.tangshuang.net【未经授权禁止转载】登陆，就不需要密码了。注意，你当前在服务器上操作的，还是roo原创内容，盗版必究。【版权所有，侵权必究】t用户，千万不要退出来，否则你就悲剧了！读罢上面我提到这篇文章，我想你应该懂了著作权归作者所有，禁止商业用途转载。【原创不易，请尊重版权】了ssh登陆的原理。我们这篇文章就不讲了【原创不易，请尊重版权】著作权归作者所有，禁止商业用途转载。，直接上操作方法。
转载请注明出处：www.tangshua【原创不易，请尊重版权】本文版权归作者所有，未经授权不得转载。ng.net本文版权归作者所有，未经授权不得转载。首先，生成ssh密钥对。使用ssh-ke原创内容，盗版必究。【关注微信公众号：wwwtangshuangnet】ygen命令即可。如果你本地不是linu【原创不易，请尊重版权】转载请注明出处：www.tangshuang.netx系统，那么直接在服务器上面操作也行，我本文版权归作者所有，未经授权不得转载。【本文受版权保护】们需要的，是这个密钥对，系统无所谓。
原创内容，盗版必究。【关注微信公众号：wwwtangshua【原创不易，请尊重版权】【版权所有，侵权必究】ngnet】cd ~ ssh-keygen
接下来会让你输入密码。这一点我在上面那篇【访问 www.tangshuang.net 获取更多精彩内容】未经授权，禁止复制转载。文章没有讲到。这个密码是用来认证当前密钥【转载请注明来源】【版权所有】唐霜 www.tangshuang.net是不是你的，是客户端系统干的事情。在详细原创内容，盗版必究。【版权所有】唐霜 www.tangshuang.net解释一下：当你准备使用ssh密钥登陆服务本文作者：唐霜，转载请注明出处。原创内容，盗版必究。器的时候，如果这个密码没有设置，会直接登转载请注明出处：www.tangshuang.net【本文受版权保护】陆到服务器上，这样很方便。但是如果一旦你【未经授权禁止转载】【访问 www.tangshuang.net 获取更多精彩内容】的私钥（本地电脑上的）被盗，那么黑客只需【作者：唐霜】【未经授权禁止转载】要使用这个私钥，直接就可以连到你的服务器【未经授权禁止转载】【本文受版权保护】上面。那么怎么办呢？ssh在使用你的私钥【关注微信公众号：wwwtangshuangnet】本文版权归作者所有，未经授权不得转载。之前，再对你的身份进行验证，也就是对私钥本文作者：唐霜，转载请注明出处。【原创不易，请尊重版权】再进行加密。一旦加密后，你下次再使用ss本文作者：唐霜，转载请注明出处。本文作者：唐霜，转载请注明出处。h登陆服务器时，会让你输入你对私钥进行加【原创内容，转载请注明出处】【关注微信公众号：wwwtangshuangnet】密时的密码，而这个密码验证是在你本地电脑本文作者：唐霜，转载请注明出处。【访问 www.tangshuang.net 获取更多精彩内容】上完成的，速度更快，密码也不用在网络上传著作权归作者所有，禁止商业用途转载。转载请注明出处：www.tangshuang.net播，当然也就更安全。说了这么多，我的目的【未经授权禁止转载】【作者：唐霜】就是让你设置这个私钥。
【未经授权禁止转载】原创内容，盗版必究。【本文受版权保护】设置好私钥之后，系统会自动创建一个.ss【未经授权禁止转载】【未经授权禁止转载】h目录。
【原创内容，转载请注明出处】【原创内容，转载请注明出处】cd .ssh ls
可以看到有id_rsa和 id_rsa.【原创内容，转载请注明出处】未经授权，禁止复制转载。pub两个文件，第一个是私钥，第二个是公【转载请注明来源】【作者：唐霜】钥，公钥可以公开给任何人看。如果你是在服原创内容，盗版必究。转载请注明出处：www.tangshuang.net务器上生成的这两个文件，把它们下载下来。原创内容，盗版必究。著作权归作者所有，禁止商业用途转载。如果不知道怎么下载，直接用vi打开它的内【关注微信公众号：wwwtangshuangnet】【未经授权禁止转载】容，在你自己的电脑上建立两个文件名相同的【关注微信公众号：wwwtangshuangnet】转载请注明出处：www.tangshuang.net文件，把里面的内容拷贝过来就可以了。一旦未经授权，禁止复制转载。本文版权归作者所有，未经授权不得转载。得到这两个文件，就在服务器上把它们删掉。
【版权所有】唐霜 www.tangshu原创内容，盗版必究。【本文首发于唐霜的博客】ang.net转载请注明出处：www.tangshua转载请注明出处：www.tangshuang.net【版权所有，侵权必究】ng.net原创内容，盗版必究。如果你本地是linux系统，把这两个文件转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。放到你当前家目录的.ssh文件夹下面。在【本文受版权保护】本文版权归作者所有，未经授权不得转载。服务器上继续操作。
本文版权归作者所有，未经授权不得转载。未经授权，禁止复制转载。未经授权，禁止复制转载。【未经授权禁止转载】因为你是希望administrator这原创内容，盗版必究。著作权归作者所有，禁止商业用途转载。个用户登陆上去，所以要把id_rsa.p本文版权归作者所有，未经授权不得转载。未经授权，禁止复制转载。ub这个文件上传到administrat【版权所有】唐霜 www.tangshuang.net【本文受版权保护】or用户的家目录下的认证文件夹中，或者直【版权所有】唐霜 www.tangshuang.net【版权所有】唐霜 www.tangshuang.net接用vi来创建也可以。
【版权所有，侵权必究】转载请注明出处：www.tangshua未经授权，禁止复制转载。【本文受版权保护】ng.net【本文受版权保护】vi /home/administrator/.ssh/authorized_keys
把id_rsa.pub文件的内容拷贝进去【未经授权禁止转载】转载请注明出处：www.tangshuang.net，保存退出。
【关注微信公众号：wwwtangshua【访问 www.tangshuang.net 获取更多精彩内容】【原创不易，请尊重版权】ngnet】原创内容，盗版必究。【访问 www.tangshuang.n未经授权，禁止复制转载。原创内容，盗版必究。et 获取更多精彩内容】完成上面的操作之后，你就可以实现：1.禁【本文首发于唐霜的博客】【版权所有】唐霜 www.tangshuang.net止root通过ssh登陆服务器；2.通过未经授权，禁止复制转载。著作权归作者所有，禁止商业用途转载。ssh密钥以administrator的【关注微信公众号：wwwtangshuangnet】未经授权，禁止复制转载。身份登陆服务器。在本地测试一下吧：
【转载请注明来源】本文版权归作者所有，未经授权不得转载。ssh administrator@192.168.1.111
输入刚才给密钥加密时用的密码。看看是否已【访问 www.tangshuang.net 获取更多精彩内容】本文作者：唐霜，转载请注明出处。经登陆服务器了呢？登陆到服务器上，要善于【本文受版权保护】转载请注明出处：www.tangshuang.net使用sudo命令哦。你所要保管好的，就是【本文首发于唐霜的博客】【版权所有，侵权必究】你的私钥，如果你想装逼，用一个只有可读权本文版权归作者所有，未经授权不得转载。【本文首发于唐霜的博客】限的U盘把私钥和公钥装起来，再装一个pu【本文首发于唐霜的博客】原创内容，盗版必究。tty，走到哪儿都不用怕了，U盘一插，很【作者：唐霜】【关注微信公众号：wwwtangshuangnet】快就能连上服务器。如果你把你的私钥弄丢了【未经授权禁止转载】原创内容，盗版必究。，那你就完全悲剧了。所以，私钥还是使用多本文版权归作者所有，未经授权不得转载。著作权归作者所有，禁止商业用途转载。种比较安全的方式进行备份吧。
本文作者：唐霜，转载请注明出处。未经授权，禁止复制转载。访问安全策略
除了让黑客猜不到你的管理员登陆信息之外，未经授权，禁止复制转载。转载请注明出处：www.tangshuang.net修改你的服务器对外提供访问的端口，也是一【本文首发于唐霜的博客】本文作者：唐霜，转载请注明出处。个安全策略。而这个安全，需要用到防火墙，本文版权归作者所有，未经授权不得转载。【未经授权禁止转载】通过防火墙来控制哪些端口是对外可以访问的本文版权归作者所有，未经授权不得转载。【访问 www.tangshuang.net 获取更多精彩内容】，哪些端口是仅对局域网可以访问的，哪些端未经授权，禁止复制转载。未经授权，禁止复制转载。口是只有本机可以访问的。linux中最常本文作者：唐霜，转载请注明出处。【本文受版权保护】用的防火墙软件就是iptables，我们转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。这里就通过iptables作为防火墙案例【本文受版权保护】转载请注明出处：www.tangshuang.net进行实操。
【版权所有】唐霜 www.tangshu【转载请注明来源】【版权所有】唐霜 www.tangshuang.netang.net著作权归作者所有，禁止商业用途转载。未经授权，禁止复制转载。iptables的配置规则
关于iptables，这里有一篇参考文献，可以去了解。我们这里简单的对iptab未经授权，禁止复制转载。本文作者：唐霜，转载请注明出处。les的配置进行介绍，以完成我们本文要实【版权所有，侵权必究】未经授权，禁止复制转载。现的访问安全控制。
本文作者：唐霜，转载请注明出处。著作权归作者所有，禁止商业用途转载。首先，我们打开iptables的配置文件著作权归作者所有，禁止商业用途转载。【作者：唐霜】：vi /etc/sysconfig/i原创内容，盗版必究。【未经授权禁止转载】ptables，可以先大概了解一些规则的【转载请注明来源】原创内容，盗版必究。格式。
【版权所有】唐霜 www.tangshu【版权所有】唐霜 www.tangshuang.net【版权所有】唐霜 www.tangshuang.netang.net【访问 www.tangshuang.n【关注微信公众号：wwwtangshuangnet】本文作者：唐霜，转载请注明出处。et 获取更多精彩内容】本文版权归作者所有，未经授权不得转载。转载请注明出处：www.tangshua【本文受版权保护】【作者：唐霜】ng.net我们必须要理解iptables中的一个些本文作者：唐霜，转载请注明出处。本文作者：唐霜，转载请注明出处。概念。一个请求指令（术语称为“数据包”）未经授权，禁止复制转载。未经授权，禁止复制转载。，从客户端发出，进入服务器，在服务器中流【本文首发于唐霜的博客】转载请注明出处：www.tangshuang.net动，再从服务器流出，服务器在接受到这个指【版权所有，侵权必究】【原创内容，转载请注明出处】令那一刻开始，就会对它进行监测，并设置了【版权所有】唐霜 www.tangshuang.net【版权所有，侵权必究】几个重要的关卡，在这些关卡（术语称为“链未经授权，禁止复制转载。【访问 www.tangshuang.net 获取更多精彩内容】”）上，就可以对该指令进行拦截、放行或修【原创不易，请尊重版权】转载请注明出处：www.tangshuang.net改。这些关卡包括（按时间顺序）：PRER【本文首发于唐霜的博客】【关注微信公众号：wwwtangshuangnet】OUTING（路由器）、INPUT（进入未经授权，禁止复制转载。本文版权归作者所有，未经授权不得转载。）、FORWARD（转发）、OUTPUT【本文受版权保护】原创内容，盗版必究。（流出、服务器去访问外网时）、POSTR【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。OUTING（路由后、服务器去访问外网时本文作者：唐霜，转载请注明出处。转载请注明出处：www.tangshuang.net）。实际上，一个指令流动不一定非得经过这【作者：唐霜】原创内容，盗版必究。些关卡，大部分情况下不需要经过两个路由关【作者：唐霜】转载请注明出处：www.tangshuang.net卡，当我们的服务器作为代理服务器的时候，【访问 www.tangshuang.net 获取更多精彩内容】【版权所有，侵权必究】就会要经过路由关卡来处理数据。
【版权所有，侵权必究】未经授权，禁止复制转载。转载请注明出处：www.tangshua本文作者：唐霜，转载请注明出处。本文版权归作者所有，未经授权不得转载。ng.net我们举一个例子来说明一个指令的情况：在自【转载请注明来源】本文版权归作者所有，未经授权不得转载。己的电脑上ping服务器和在服务器上pi【版权所有】唐霜 www.tangshuang.net著作权归作者所有，禁止商业用途转载。ng自己的电脑。
【版权所有】唐霜 www.tangshu【未经授权禁止转载】未经授权，禁止复制转载。ang.net【版权所有】唐霜 www.tangshu转载请注明出处：www.tangshuang.net原创内容，盗版必究。ang.net当我们ping服务器的时候，指令由我们客【转载请注明来源】本文作者：唐霜，转载请注明出处。户端发出，达到服务器的时候，就开始受防火原创内容，盗版必究。【本文首发于唐霜的博客】墙监控，我们为了禁止外部用户ping通我【原创内容，转载请注明出处】转载请注明出处：www.tangshuang.net们的服务器，我们在INPUT这个关卡上增未经授权，禁止复制转载。【关注微信公众号：wwwtangshuangnet】加一个规则：
未经授权，禁止复制转载。著作权归作者所有，禁止商业用途转载。-A INPUT -p icmp --icmp-type 0 -j ACCEPT -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT
防火墙规则被保存在几张（四张）表中，其中【版权所有，侵权必究】本文版权归作者所有，未经授权不得转载。我们最常用到的是nat、filter这两【版权所有，侵权必究】【本文受版权保护】张表，在指令到达每一个关卡的时候，防火墙【版权所有】唐霜 www.tangshuang.net【关注微信公众号：wwwtangshuangnet】就去从表里面找出该关卡对应的规则序列，从【版权所有，侵权必究】【转载请注明来源】上往下执行（也就是说前面的规则优先级更高转载请注明出处：www.tangshuang.net【关注微信公众号：wwwtangshuangnet】，在满足前面的规则之后，后面的规则才能生效），选择用那张表，用-t tablena【原创不易，请尊重版权】【关注微信公众号：wwwtangshuangnet】me来确定，例如：
【访问 www.tangshuang.n【原创内容，转载请注明出处】本文版权归作者所有，未经授权不得转载。et 获取更多精彩内容】本文作者：唐霜，转载请注明出处。-t filter -A INPUT -p tcp --dport 80 -j ACCEPT
意思就是在filter表中增加一条规则，【访问 www.tangshuang.net 获取更多精彩内容】【作者：唐霜】这条规则作用在INPUT这个关卡上。后面【作者：唐霜】【关注微信公众号：wwwtangshuangnet】蓝色字就是规则的内容。由于防火墙默认使用转载请注明出处：www.tangshuang.net原创内容，盗版必究。的是filter表，所以当写防火墙规则的著作权归作者所有，禁止商业用途转载。本文版权归作者所有，未经授权不得转载。时候，如果不存在-t，则默认表示往fil本文作者：唐霜，转载请注明出处。未经授权，禁止复制转载。ter这个表增加或删除规则。理解ipta【访问 www.tangshuang.net 获取更多精彩内容】原创内容，盗版必究。bles，就必须理解这“四表五链”的概念转载请注明出处：www.tangshuang.net【访问 www.tangshuang.net 获取更多精彩内容】，理解之后，再深入去研究规则即可。
【关注微信公众号：wwwtangshua本文版权归作者所有，未经授权不得转载。转载请注明出处：www.tangshuang.netngnet】【转载请注明来源】关于规则的部分，就不予多阐述，在参考文献【原创内容，转载请注明出处】【作者：唐霜】中有了比较多的解释。要强调的就是，必须认【关注微信公众号：wwwtangshuangnet】著作权归作者所有，禁止商业用途转载。真思考规则的先后顺序，保证这些先后顺序最【原创内容，转载请注明出处】【原创不易，请尊重版权】终实现的防火墙规则是你想要的结果。
【版权所有，侵权必究】【本文受版权保护】 【作者：唐霜】未经授权，禁止复制转载。【未经授权禁止转载】控制外网公开访问规则
我们本文的重点是服务器安全，因此，重点还本文版权归作者所有，未经授权不得转载。【本文首发于唐霜的博客】是来讨论防火墙中各个关卡的一些安全性规则【原创不易，请尊重版权】本文版权归作者所有，未经授权不得转载。。
本文版权归作者所有，未经授权不得转载。【作者：唐霜】本文作者：唐霜，转载请注明出处。【版权所有】唐霜 www.tangshu【转载请注明来源】【访问 www.tangshuang.net 获取更多精彩内容】ang.net首先，一个基本的策略：堵。意思就是，首先【原创不易，请尊重版权】【版权所有】唐霜 www.tangshuang.net，把所有的关卡堵起来，然后再一个一个的打【本文首发于唐霜的博客】著作权归作者所有，禁止商业用途转载。开。
本文作者：唐霜，转载请注明出处。【本文首发于唐霜的博客】就像我上面展示出来的iptables中一未经授权，禁止复制转载。未经授权，禁止复制转载。样，我们仅允许22端口和80端口可以被外转载请注明出处：www.tangshuang.net【转载请注明来源】部访问。22端口是提供ssh登陆的，80本文版权归作者所有，未经授权不得转载。【版权所有，侵权必究】端口是提供web访问的。如果你的服务器不本文作者：唐霜，转载请注明出处。【本文首发于唐霜的博客】需要其他的服务，比如代理、转发，或者对外【本文受版权保护】【未经授权禁止转载】提供mysql服务或某些图片服务等等，就本文版权归作者所有，未经授权不得转载。著作权归作者所有，禁止商业用途转载。可以只提供这两个端口可以对外访问。
【原创不易，请尊重版权】【本文首发于唐霜的博客】为了禁止别人ping通我们的服务器？上面转载请注明出处：www.tangshuang.net【作者：唐霜】好像已经给出了规则。把那两条规则加到DR【未经授权禁止转载】【转载请注明来源】OP前面。
原创内容，盗版必究。【原创内容，转载请注明出处】【原创不易，请尊重版权】修改默认端口
通过前文，我们已经欺骗黑客，让他无法得知【本文受版权保护】【转载请注明来源】我们的服务器的登陆信息。另外，我们还可以【转载请注明来源】【版权所有】唐霜 www.tangshuang.net直接隐藏ssh的连接端口，让黑客根本找不【版权所有】唐霜 www.tangshuang.net转载请注明出处：www.tangshuang.net到我们的服务器如何去连接。
【本文首发于唐霜的博客】未经授权，禁止复制转载。vi /etc/ssh/sshd_config
找到Port 22，去掉前面的#，把22原创内容，盗版必究。【本文受版权保护】改为其他端口，比如1452。再重启ssh未经授权，禁止复制转载。【未经授权禁止转载】d服务。下次你在连接到服务器的时候，记住【本文受版权保护】【版权所有，侵权必究】使用1452端口去连接，而不是原来的22【本文受版权保护】【原创不易，请尊重版权】。
原创内容，盗版必究。【未经授权禁止转载】转载请注明出处：www.tangshua【访问 www.tangshuang.net 获取更多精彩内容】【作者：唐霜】ng.net最后是我的/etc/sysconfig/本文版权归作者所有，未经授权不得转载。本文作者：唐霜，转载请注明出处。iptables：
【未经授权禁止转载】【本文受版权保护】原创内容，盗版必究。【作者：唐霜】# Generated by iptables-save v1.4.7 on Sun Dec 20 16:02:52 2015 *filter:INPUT DROP [0:0]:FORWARD DROP [0:0] :OUTPUT ACCEPT [55:5672] -A INPUT -i lo -j ACCEPT # 允许内部通信，本机访问本机，比如访问localhost -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # 接收到的数据包是本机回应后的，或者由于客户端接收到本机回应产生的新包，也就是说该数据包是服务器认证过的包 -A INPUT -p tcp -m tcp --dport 1452 -j ACCEPT # 允许1452端口被外网访问，也就是ssh连接，如果你调整了ssh端口，那么这里必须修改，否则你就悲剧了 -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT # 允许80端口被外网访问 -A INPUT -s 127.0.0.1/32 -p tcp -m tcp --dport 3306 -j ACCEPT # 允许3306端口被外网中的某个网段访问，这个外网也包括局域网，凡是非本机的，在这里都称为外网，只有在你希望通过外网使用本服务器的mysql时，才使用该规则，否则，如果在本机使用mysql其实可以不需要，只需要使用localhost作为连接地址即可 -A INPUT -p icmp --icmp-type 0 -j ACCEPT -A OUTPUT -p icmp --icmp-type 8 -j ACCEPT # 上面两条ping不通 -A INPUT -j DROP # 不允许其他访问，由于执行顺序是从上往下的，当上面的规则都不满足时，这一条才会执行 -A FORWARD -j DROP # 不允许转发 COMMIT # Completed on Sun Dec 20 16:02:52 2015
权限安全策略
我们在服务器上面运行web环境，主要有n【本文受版权保护】【版权所有，侵权必究】ginx、apache、mysql、ph未经授权，禁止复制转载。【原创不易，请尊重版权】p、redis、php-fpm等几种常用原创内容，盗版必究。未经授权，禁止复制转载。的环境。但是，如果我们安装这些环境的时候原创内容，盗版必究。【本文首发于唐霜的博客】，没有注意安全性问题，可能直接就用roo著作权归作者所有，禁止商业用途转载。【作者：唐霜】t去运行这些环境软件了，这个后果比较严重【转载请注明来源】著作权归作者所有，禁止商业用途转载。，我曾经就因为redis漏洞，导致服务器本文作者：唐霜，转载请注明出处。本文版权归作者所有，未经授权不得转载。被黑，有一个木马进程无限制的重生，害得我本文版权归作者所有，未经授权不得转载。【原创内容，转载请注明出处】只能重装系统。所以，我们尽可能的在权限问未经授权，禁止复制转载。【转载请注明来源】题上事先处理好。
本文版权归作者所有，未经授权不得转载。【版权所有】唐霜 www.tangshu【版权所有】唐霜 www.tangshuang.net【本文首发于唐霜的博客】ang.net转载请注明出处：www.tangshua未经授权，禁止复制转载。【关注微信公众号：wwwtangshuangnet】ng.net【本文受版权保护】用户和用户组
首先，我们可以大概看下自己服务器上面运行【版权所有】唐霜 www.tangshuang.net【转载请注明来源】的一些软件哪些是提供给外部使用的，或者通转载请注明出处：www.tangshuang.net本文版权归作者所有，未经授权不得转载。过外部调用可以在环境内使用的。其次，我们【未经授权禁止转载】【原创内容，转载请注明出处】要为这些软件创建独立的，或者共用权限有限未经授权，禁止复制转载。【原创内容，转载请注明出处】的用户。比如nginx、apache、m【作者：唐霜】【原创内容，转载请注明出处】ysql都用一个www用户去运行，由于前原创内容，盗版必究。未经授权，禁止复制转载。面我们已经只允许administrato【版权所有，侵权必究】转载请注明出处：www.tangshuang.netr用户通过ssh登陆了，所以这个用户是无转载请注明出处：www.tangshuang.net【关注微信公众号：wwwtangshuangnet】法登陆的。而且，由于这个用户不是root原创内容，盗版必究。转载请注明出处：www.tangshuang.net用户，它无法对自己权限范围内的文件（夹）【版权所有，侵权必究】转载请注明出处：www.tangshuang.net进行读写操作，比如它无法去修改bin下的本文作者：唐霜，转载请注明出处。【本文首发于唐霜的博客】软件，它也无法在系统核心文件夹中运行一些转载请注明出处：www.tangshuang.net【关注微信公众号：wwwtangshuangnet】程序。
原创内容，盗版必究。【版权所有】唐霜 www.tangshu原创内容，盗版必究。未经授权，禁止复制转载。ang.net转载请注明出处：www.tangshua本文作者：唐霜，转载请注明出处。【原创内容，转载请注明出处】ng.net【原创内容，转载请注明出处】在nginx、apache、mysql的【原创不易，请尊重版权】【本文受版权保护】配置文件中可以对此进行配置。在apach【版权所有，侵权必究】【本文首发于唐霜的博客】e的配置文件中还可以配置php能够有权限著作权归作者所有，禁止商业用途转载。【版权所有】唐霜 www.tangshuang.net进行读写的目录，除了这些目录，php无法【本文首发于唐霜的博客】转载请注明出处：www.tangshuang.net在其他目录中进行读写。这样，即使黑客黑入【版权所有】唐霜 www.tangshuang.net【原创不易，请尊重版权】了你的网站系统，也仅仅只能对你的网站程序转载请注明出处：www.tangshuang.net【版权所有，侵权必究】和数据库做手脚，无法对服务器做坏事。
未经授权，禁止复制转载。【版权所有】唐霜 www.tangshu【未经授权禁止转载】【本文首发于唐霜的博客】ang.net本文版权归作者所有，未经授权不得转载。文件及文件夹的权限
网站程序仅可以对规定目录中的文件进行读写【转载请注明来源】【原创内容，转载请注明出处】。这涉及到两个操作，一个是chown，一著作权归作者所有，禁止商业用途转载。本文版权归作者所有，未经授权不得转载。个是chmod。chown让用户对某些文转载请注明出处：www.tangshuang.net原创内容，盗版必究。件及文件夹有所有权，可以进行读写。chm转载请注明出处：www.tangshuang.net转载请注明出处：www.tangshuang.netod修改文件文件夹的读写和可执行权限，所【本文受版权保护】本文作者：唐霜，转载请注明出处。以一般情况下，网站文件和目录都最好保持7未经授权，禁止复制转载。【转载请注明来源】55的权限。
【本文首发于唐霜的博客】转载请注明出处：www.tangshua本文版权归作者所有，未经授权不得转载。著作权归作者所有，禁止商业用途转载。ng.net数据库用户权限
mysql的root用户拥有最高权限，可【原创内容，转载请注明出处】【本文首发于唐霜的博客】以对数据库随意修改和删除，因此，在网站运【原创内容，转载请注明出处】未经授权，禁止复制转载。行上线时，最好创建一个只能对某些数据库有【关注微信公众号：wwwtangshuangnet】原创内容，盗版必究。部分权限的数据库用户，这个用户能执行增删本文作者：唐霜，转载请注明出处。原创内容，盗版必究。改查，满足网站数据操作的需要，但是不能对【本文受版权保护】【本文受版权保护】数据库进行管理。这样也可以降低数据库如果【原创内容，转载请注明出处】转载请注明出处：www.tangshuang.net被入侵可能带来的风险。
【本文首发于唐霜的博客】【作者：唐霜】本文作者：唐霜，转载请注明出处。结语
总结起来，核心知识点就包括：
【本文首发于唐霜的博客】【原创内容，转载请注明出处】本文作者：唐霜，转载请注明出处。【未经授权禁止转载】- 账号及ssh 【作者：唐霜】转载请注明出处：www.tangshua原创内容，盗版必究。【转载请注明来源】ng.net
- iptables 【本文首发于唐霜的博客】【原创内容，转载请注明出处】【关注微信公众号：wwwtangshua【作者：唐霜】著作权归作者所有，禁止商业用途转载。ngnet】本文版权归作者所有，未经授权不得转载。
写了这么多，归结起来其实就一句话，请诸君转载请注明出处：www.tangshuang.net【原创不易，请尊重版权】重视自己的服务器安全。当然，本文仅仅提供【版权所有】唐霜 www.tangshuang.net【转载请注明来源】了比较简单的安全策略，像服务器安全监测这【作者：唐霜】【访问 www.tangshuang.net 获取更多精彩内容】些知识，我也未曾接触，还需要在后期学习中本文版权归作者所有，未经授权不得转载。【作者：唐霜】不断积累。
【版权所有】唐霜 www.tangshu【转载请注明来源】【版权所有】唐霜 www.tangshuang.netang.net【版权所有】唐霜 www.tangshu原创内容，盗版必究。【访问 www.tangshuang.net 获取更多精彩内容】ang.net【原创不易，请尊重版权】2016-01-08 7635
