服务端安全

服务端安全一直是一个不容忽视却最容易被忽视的问题，本篇将介绍一些使服务端更为安全的最佳实践。此篇使用 Ubuntu 作为服务端操作系统。

Ubuntu

升级软件

对当前系统中默认安装的软件进行版本更新和安全修补，这一步可以使软件库和系统应用到最新的安全补丁：

apt-get update && apt-get upgrade

创建新用户

我们需要创建一个自己的用户来登录和使用服务器资源，而不是 root 这种众所周知的神一般的存在：

adduser Dearmadman --force-badname

接着，把 Dearmadman 加入 sodu 用户组，让自己拥有神的能力：

usermod -a -G sudo Dearmadman 

启用 SSH 密钥对认证

通常远程连接到服务器时，一般都是用用户名密码的方式进行验证，类似下面这样：

ssh root@dearmadman.com

password: _

服务端要求你输入密码进行验证，这种密码验证是有可能被暴力破解的，所以我们可以禁用密码登录功能，使用密钥对来进行认证。

所谓密钥对就是在本地机器中生成一对密钥 —— 公钥和私钥，你需要将公钥存储于服务器中，服务器会在你请求认证时要求你使用私钥对公钥内容进行解密，并把解密后的消息传递到服务器进行验证。这种方式可以有效的杜绝暴力破解的可能，同时也避免了中间人攻击的可能。

生成 SSH 密钥对

ssh-keygen

这个命令会生成一对秘钥，存放在 ~/.ssh 目录中，其中 id_rsa.pub 是公钥，你需要将公钥传递到服务端，我们可以使用 scp 命令来复制公钥到服务端：

scp ~/.ssh/id_rsa.pub Dearmadman@dearmadman.com:

该命令会将公钥传递到服务器的 Dearmadman 用户的根目录中，我们需要确认在用户根目录中是否存在 .ssh 目录，如果不存在则需要手动创建，并在 .ssh 目录中创建一个保存一系列公钥的文件 authorized_keys，然后将上传的公钥追加到文件中:

cd /home/Dearmadman

mkdir .ssh

touch .ssh/authorized_keys

cat ~/id_rsa.pub >> /home/Dearmadman/.ssh/authorized_keys

最后修改目录和文件的访问权限，只让 Dearmadman 用户访问 .ssh 目录和 .ssh/authorized_keys 文件：

chwon -R Dearmadman:Dearmadman .ssh
chmod 700 .ssh
chmod 600 .ssh/authorized_keys

SSH 配置

SSH 的配置信息存放在 /etc/ssh/sshd_config 文件中。

修改默认端口

SSH 默认监听的是 22 号端口，我们可以转换为监听其他端口:

Port 6293

禁用密码登录

PasswordAuthentication no

禁用 root 用户

PermitRootLogin no

重启 SSh

sudo service ssh restart

IPTABLES

利用 IPTABLES 可以对服务端流入和流出的数据包进行有效的管理。

保存原有规则：

iptables-save > /etc/iptables.rules

修改 filter 部分内容：

*filter
# 设置默认的链策略
-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT

# 开放 6293 端口，用于 SSH 认证，默认为 22 端口，前文修改为 6293
-A INPUT -p tcp -m tcp --dport 6293 -j ACCEPT

# 开放 80 和 443 端口，分别用于 http 和 https 协议
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

# 禁止 ping，默认的连策略已经禁止了 ping，这里修改 DROP 为 ACCEPT 将允许 ping
#-A INPUT -p icmp -m icmp --icmp-type 8 -j DROP
COMMIT

刷新规则:

iptables-restore < /etc/iptables.rules

下面是一些常用 web 服务相关软件，对于这些软件应独立出一个低权限用户来独立运行，并且应禁用该账号的登录权限。在此不做详细说明

PHP

修改 php.ini 禁止响应版本号

expose_php = Off

Nginx

修改 nginx.conf 隐藏版本号

http {
  server_tokens off;
}

MySQL

禁用远程访问，如果必要，请选择 ssh 密钥登录