Aaron Ji's blog (Posts about ssh)

Unset SSH_AUTH_SOCK to workaround ssh agents issues

Aaron Ji — Sun, 02 Jan 2022 17:03:00 GMT

Today, a issue occured with my MacBook that ssh hanged at rekey after 134217728 blocks, it seems that something wrong with ssh(ssh agent).

After search on the internet, I noticed that the openssh I use is version 8.8p1, and macports has dropped the support for dropped support for launchd in ssh-agent. Then can unset SSH_AUTH_SOCK environment variable to workaround with this issue.

Another solution can use gpg-agent work as ssh-agent,see Make SSH use gpg-agent.

ssh使用public key认证登录

Aaron Ji — Mon, 22 Dec 2014 13:00:00 GMT

修改/etc/ssh/sshd_config文件：

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile      .ssh/authorized_keys
PasswordAuthentication no

在~/.ssh/authorized_keys文件末尾添加public key

# cat id_rsa.pub >> ~/.ssh/authorized_keys

重启sshd服务

# service sshd restart

如果使用 public key 登录的时候报错：

$ ssh git@jiya.io
Permission denied (publickey).

解决方法：检查 ~/.ssh/ 目录和 ~/.ssh/authorized_keys 文件的属性， ~/.ssh/ 目录的属性应该为 700 ， ~/.ssh/authorized_keys 文件的属性应为 600 ：

# stat -c %a .ssh/
700
# stat -c %a .ssh/authorized_keys
600

家目录的权限应该为700。

自动将SSH攻击者IP加入黑名单

Aaron Ji — Sun, 21 Dec 2014 13:00:00 GMT

偶然发现有人暴力破解我的VPS管理员密码，如图：

Figure 1: Hack SSH Log

真是无语了，想想一个小小的VPS也攻击，这样也不大好吧。网上找到了一个工具（sshblack），使用方法非常简单，参考「INSTALL.TXT」文件内的步骤做即可：

chmod 755 /usr/src/sshblack/sshblack.pl
iptables -N BLACKLIST
iptables -I INPUT 3 -p tcp --dport 22 -j BLACKLIST
iptables-save

在保存 iptables 的时候你可能需要直接修改 /etc/sysconfig/iptables 文件的内容。

以上，可以直接执行 iptables-setup.sh 脚本。

最后，将 sshblack.pl 脚本设为自启动即可，我是直接在 /etc/rc.d/rc.local 文件最下面添加如下内容：

nohup /usr/bin/perl /usr/src/sshblack/sshblack/sshblack.pl > /dev/null 2>&1 &

其他：另外还推荐使用denyhosts，当时没发现，这个更好用。

参考链接：http://www.pettingers.org/media/sshblack-install.txt