使用 .bashrc 的 SSH 蜜罐

Question

今天我和我公司的系统管理员讨论了保护（SSH）服务器的问题，他提出了一个有趣的想法：

• 他在该服务器上有几个测试用户（john、admin、steve 等），密码都很简单（asdf、a、b、qwer……）
• 每个用户的权限有限
• 每个用户的 .bashrc 都包含对一个函数的调用，以立即阻止该用户正在连接的 IP
• .bashrc 中的第二行是“退出”

我的感觉是这打开了潘多拉的盒子，但我不知道为什么。这可能有什么问题？

Answer 1

之所以觉得危险，是因为它很危险。您打算让某个您认识的人试图破坏您的系统，从而在该系统中立足，以便您可以阻止他们极其可替换的 IP 地址？

当他们弄清楚如何绕过你的小脚本时，也许通过使用 SFTP（不执行 .bashrc）来替换 .bashrc 以便他们可以交互登录，他们现在可以本地访问该框，这意味着除非您对定期修补非常警惕，他们可能有一条通过本地漏洞快速获取 root 的途径 - 即使您保持警惕，他们也只需要等到发现一个尚未修补的新本地漏洞。

最糟糕的是，你冒着巨大的风险只是为了阻止他们的 IP 地址；为什么不自动阻止所有暴力破解地址并避免蜜罐风险？除此之外，IP 地址很容易获得，维护一个所谓的“坏”地址列表将成为徒劳或映射 IPv4 地址空间的练习。

我希望这有帮助！

Answer 2

它打开了一个潘多拉的盒子，因为 ssh 服务器可以很容易地用于生成 sftp 或 scp。我没有使用蜜罐，而是使用 fail2ban 将攻击我的 VPS 服务器的坏地址列入黑名单。

http://www.fail2ban.org/

我将它设置为 5 分钟内尝试 5 次失败，结果是 20 分钟的禁令。如果我觉得它受到更多攻击，我会增加禁用时间。

我总是使用 RSA 身份验证密钥登录到我的 VPS，因此，当我在尝试登录之前没有将密钥加载到代理中时，我个人只会遇到一次失败。