[toc]

安全加固

安全加固脚本V1

• 用来做iptables ssh地址白名单限制
• openssh-server ssh用户白名单限制
• 更改登录欢迎信息为警告信息
• 应用根目录权限最小化
• zabbix agent安装配置

COPY
#!/bin/bash
#定义一个函数，程序由前往后执行，次顺序非常重要，一不小心会将自己拒在外面，遇到这种情况让规则失效的处理方式是重启服器，或者从阿里云接接口接入清空规则，可选后者；
#注zabbix(xxx.xx.xxx.xx)\xx.xx.xx.xxx主机不加入iptables规则 
IP_TABLES () {
    /sbin/iptables -A INPUT -p tcp --dport 22 -s xxx.xxx.xx.xx -j ACCEPT #首先放行 xxx.xxx.xxx.xxx 我们内网路由地址
    /sbin/iptables -A INPUT -p tcp --dport 22 -s xxx.xxx.xx.xx -j ACCEPT #放行备用地址 xxx.xxx.xx.xxx 同时也是我们的zabbix地址
    /sbin/iptables -A INPUT -p tcp --dport 22 -s xxx.xxx.xx.xx  -j ACCEPT #此服务器为我们闲置的一台服务器
    /sbin/iptables -A INPUT -p tcp --dport 22 -j DROP #丢弃所有对22号端口的请求
    iptables -vnL #查看防火墙设置
}
#添加唯一可以登录服务器的用户
SSH_INIT () {
    useradd xxxxxxxx #添加用户
    cp -a /etc/skel /home/xxxxxxxx
    chown -R xxxxxxxx.xxxxxxxx /home/TransferEasyd0--01 
    usermod -s /bin/bash xxxxxxxx 
    PASS='xxxxxxxxxx'
    echo "xxxxxxxx:$PASS" | chpasswd #给用户设置密码 
    echo "AllowUsers xxxxxxxx" >> /etc/ssh/sshd_config #添加白名单到sshd_config中
    service  ssh restart   #重启服务器
}
#Web根目录权限最小化
PY_INIT () {
chmod 700 /home/admin/
}
WEB_INIT () {
    chown www-data.www-data  /var/www/html && chmod 700 /var/www/html #设置启动用户和用启动组都为www-data用户，设置所有者权限读\写\执行; 所属组0; 其它人0;
    usermod -s /sbin/nologin www-data  #完全禁止www-data用户登录
    cat /etc/passwd | grep --color www-data  #查看修改登录 
    ls -ld /var/www/html                      #查看修改权限
}
#更改欢迎信息为警告信息
MO_TD () {
    [ -e /etc/.motd.bak ] || cp /etc/motd /etc/.motd.bak
    cat <<EOF > /etc/motd
非xxxxxxxx管理人员请勿登录系统，否则后果自负
非xxxxxxxx管理人员请勿登录系统，否则后果自负
Non xxxxxxxx administrators are not allowed to log on to the system, otherwise they may be affected
EOF
    [ -e /etc/update-motd.d/.00-header.bak ] || cp /etc/update-motd.d/00-header /etc/update-motd.d/.00-header.bak
cat <<EOF > /etc/update-motd.d/00-header
#!/bin/sh
[ -r /etc/lsb-release ] && . /etc/lsb-release
if [ -z "$DISTRIB_DESCRIPTION" ] && [ -x /usr/bin/lsb_release ]; then
# Fall back to using the very slow lsb_release utility
DISTRIB_DESCRIPTION=$(lsb_release -s -d)
fi
printf "xxxxxxxx %s (%s %s %s)\n" "$DISTRIB_DESCRIPTION" "$(uname -o)" "$(uname -r)" "$(uname -m)"
EOF
    [ -e /etc/.lsb-release.bak ] || cp /etc/lsb-release /etc/.lsb-release.bak
cat <<EOF > /etc/lsb-release 
DISTRIB_ID=CentOS
DISTRIB_RELEASE=10000
DISTRIB_CODENAME=trusty
DISTRIB_DESCRIPTION="CentOS 1000"
EOF
}
ZAB_BBIX () {
   apt-get install zabbix-agent 
    mv /etc/zabbix/zabbix_agentd.conf /etc/zabbix/zabbix_agentd.conf.bak
    cp /home/admin/zabbix_agentd.conf /etc/zabbix/
    cp /home/admin/zabbix_agentd.conf /tmp
    service zabbix-agent restart 
}
IP_TABLES
SSH_INIT
PY_INIT
WEB_INIT
MO_TD
ZAB_BBIX

对应回滚脚本

COPY
#!/bin/bash
#安全加固后，服务器如有问题时的回滚方案；
IP_TABLES_F () {
    iptables -F
}
SSH_INIT_F () {
    sed -i 's/AllowUsers xxxxxxxx//g' /etc/ssh/sshd_config
    userdel xxxxxxxx
    service ssh restart
}
WEB_INIT_F () {
    chmod 700 /var/www/html
    chown admin.admin /var/www/html
    usermod -s /sbin/false www-data
}
PY_INIT_F () {
    chmod 700 /home/admin
}
MO_TD_F() {
    rm -rf /etc/motd
    mv /etc/.motd.bak /etc/motd
    rm -rf /etc/update-motd.d/00-header
    mv  /etc/update-motd.d/.00-header.bak /etc/update-motd.d/00-header
    rm -rf /etc/lsb-release
    mv /etc/.lsb-release.bak /etc/lsb-release
}
ZA_BBIX_F () {
    service zabbix-agent stop
    apt-get remove zabbix-agent
    rm -rf /etc/zabbix/
}
 
IP_TABLES_F
SSH_INIT_F
WEB_INIT_F
MO_TD_F
ZA_BBIX_F
PY_INIT_F

对无agent探针的RDS网络监控

COPY
#!/bin/bash
#用户RDS通知及报警
#作者：任锦
#RDS_IP="localhost"
RDS_IP="www.xxxxxxxx.com"
TOOL_S () { 
    rpm -qa nc &> /dev/null || yum -y install nc
}
 
ON_LINE () {
    DATE=`date | awk '{print $4}' | cut -d":" -f3`
        echo -e "\n\n" |nc -w 5 $RDS_IP 3306 &> /dev/null || STATP="RDS 服务器已经停止了运行，请您尽快来处理 😰  😰  😰  😰  😰  😰  "
        #echo $STATP
}
 
WEI_XIN () {
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$STATP" --user=xxx@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null  
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$STATP" --user=xxx2@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null  
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$STATP" --user=xxx3@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null  
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$STATP" --user=xxx4@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null  
 
while sleep 60 ; do 
TOOL_S
ON_LINE
WEI_XIN 
done

除线上zabbix多角度的监控网络状态

COPY
#!/bin/bash
HOSTS ()  {
        CN='xxx.xxx.xxx.xxx xxx.xxx.xx.xx.xxx xxx.xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx'
        HK='xxx.xxx.xxx.xxx xxx.xxx.xx.xx.xxx xxx.xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx'
        XN='xxx.xxx.xxx.xxx xxx.xxx.xx.xx.xxx xxx.xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx'
}
 
MESSAGES () {
        OK_MESSAGES_CN='阿里云xx区域ECS主机网络正常'
        OK_MESSAGES_HK='阿里云xx区域ECS主机网络正常'
        OK_MESSAGES_XN='阿里云xx区域ECS主机网络正常'
        CN_MES='阿里云xx区域ECS主机网络不通！'
        HK_MES='阿里云xx区域ECS主机网络不通！'
        XN_MES='阿里云xx区域ECS主机网络不通！'
        CN_MES_TIME="阿里云xx区域ECS主机网络超时较高，超时时间及丢包率为"
        HK_MES_TIME="阿里云xx区域ECS主机网络超时较高，超时时间及丢包率为"
        XN_MES_TIME="阿里云xx区域ECS主机网络超时较高，超时时间及丢包率为"
}
 
WEIXIN_E-MAIL_API () {
#       echo "$1
#       $2" | mutt -s "Zabbix 报警" xxx@xxxxxxxxxxx.com  xxx2.xxxxxxxxxxxx.com  xxx3@xxxxxxxxxxx.com
 
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --
corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$1
$2" --user=xxx@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null 
 
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$1
$2" --user=xxx2@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null 
 
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$1
$2" --user=xxx3@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null 
 
/bin/weixin --corpid=xxxxxxxxxxxxxxxxxx --corpsecret=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx --msg="$1
$2" --user=xxx4@xxxxxxxxxxx.com --agentid=xxxxxx02 &> /dev/null 
}
HOSTS
MESSAGES
 
for HOSTS_NET_CN in $CN
        do
                STATE_CN=`ping -c 2  -W 1  -S 1 $HOSTS_NET_CN | tail -n 2 | head -n 1 | awk {'print $6'}`
                TIME_CN=`ping -c 2  -W 1  -S 1 $HOSTS_NET_CN | head -n 3 | tail -n2 | awk {'print $7,$8'}`
                if ping -c 2  -W 1  -S 1 $HOSTS_NET_CN &> /dev/null ;then
                        echo "$OK_MESSAGES_CN `date` $HOSTS_NET_CN  OK" &>> /tmp/$HOSTS_NET_CN
                else
                        WEIXIN_E-MAIL_API "$CN_MES `date` $HOSTS_NET_CN $CN_MES_TIME $STATE_CN
                        $TIME_CN" "PROBLEM"
                fi
        done
 
 
for HOSTS_NET_HK in $HK
        do
                STATE_HK=`ping -c 2  -W 1  -S 1 $HOSTS_NET_HK | tail -n 2 | head -n 1 | awk {'print $6'}`
                TIME_HK=`ping -c 2  -W 1  -S 1 $HOSTS_NET_HK | head -n 3 | tail -n2 | awk {'print $7,$8'}`
                if ping -c 2  -W 1  -S 1 $HOSTS_NET_HK &> /dev/null ; then
                        echo "$OK_MESSAGES_HK `date` $HOSTS_NET_HK  OK" &>> /tmp/$HOSTS_NET_HK
                else
                        WEIXIN_E-MAIL_API "$HK_MES `date` $HOSTS_NET_HK $HK_MES_TIME $STATE_HK
                $TIME_HK" "PROBLEM"
                fi
        done
 
 
for HOSTS_NET_XN in $XN
        do
                STATE_XN=`ping -c 2  -W 1  -S 1 $HOSTS_NET_XN | tail -n 2 | head -n 1 | awk {'print $6'}`
                TIME_XN=`ping -c 2  -W 1  -S 1 $HOSTS_NET_XN | head -n 3 | tail -n2 | awk {'print $7,$8'}`
                if ping -c 2  -W 1  -S 1 $HOSTS_NET_XN &> /dev/null ; then
                        echo "$OK_MESSAGES_XN `date` $HOSTS_NET_XN  OK" &>> /tmp/$HOSTS_NET_XN
                else
                        WEIXIN_E-MAIL_API "$XN_MES `date` $HOSTS_NET_XN $XN_MES_TIME $STATE_XN
                $TIME_XN" "PROBLEM"
                fi
        done

将对应的脚本加入定时计划

COPY
crontab -e
*/3 * * * * /bin/bash /root/bin/ds.sh

关于/bin/weixin

COPY
链接:http://pan.baidu.com/s/1slcAlTb  密码:f3gz
weixin接口的调用可以创建一个企业微信来配置一个接口
mutt发短信，mutt+msmtp配置使用

删除mongo表中的某一字段

COPY
db.screening_sections.remove({'no':'5a279c19756a7'})