一、系統：Centos6.9 64位

二、方法：讀取/var/log/secure，查詢關鍵字 Failed，（#cat /var/log/secure | grep Failed）例如（注：文中的IP地址特意做了刪減）：

Sep 17 09:08:09 localhost sshd[29087]: Failed password for root from 13.7.3.6 port 44367 ssh2
Sep 17 09:08:20 localhost sshd[29087]: Failed password for root from 13.7.3.6 port 44367 ssh2
Sep 17 09:10:02 localhost sshd[29223]: Failed password for root from 13.7.3.6 port 56482 ssh2
Sep 17 09:10:14 localhost sshd[29223]: Failed password for root from 13.7.3.6 port 56482 ssh2

從這些行中提取IP地址，如果次數達到10次(指令碼中判斷次數字符長度是否大於1)則將該IP寫到 /etc/hosts.deny中。

三、步驟：

1、先把始終允許的IP填入 /etc/hosts.allow ，這很重要！比如：

sshd:19.16.18.1:allow

sshd:19.16.18.2:allow

由於手機（移動的網路）經常更改IP，但是我還經常需要使用手機來登入去檢視一些使用情況，經過檢視IP地址發現一直都是某個IP地址段的，所以：

sshd：132.213.:allow

2、指令碼 /usr/local/bin/secure_ssh.sh

#! /bin/bash
cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' > /usr/local/bin/black.list
for i in `cat  /usr/local/bin/black.list`
do
  IP=`echo $i |awk -F= '{print $1}'`
  NUM=`echo $i|awk -F= '{print $2}'`
  if [ ${#NUM} -gt 1 ]; then
    grep $IP /etc/hosts.deny > /dev/null
    if [ $? -gt 0 ];then
      echo "sshd:$IP:deny" >> /etc/hosts.deny
    fi
  fi
done

3、將secure_ssh.sh指令碼放入cron計劃任務，每1分鐘執行一次。
# crontab -e

*/1 * * * *  sh /usr/local/bin/secure_ssh.sh

四、測試：

1、原本還想著是不是找個另外的方法測下呢。就在疑問還沒有結束的時候，想要不先看看吧，就發現：上個圖吧：

[[email protected] ~]#  cat /usr/local/bin/black.txt

還逮了個不小的呢！！！

再看看伺服器上的hosts.deny

[[email protected] ~]# cat /etc/hosts.deny

2、從另一個終端視窗繼續“暴力”連線伺服器。

看看伺服器上的黑名單檔案：
[

再看看伺服器上的hosts.deny
[[email protected] ~]# cat /etc/hosts.deny
sshd:13.7.3.6:deny
sshd:92.4.0.4:deny
sshd:94.10.4.2:deny
sshd:94.4.1.6:deny
sshd:11.64.11.5:deny
sshd:13.26.21.27:deny

IP 已經被加入到伺服器的hosts.deny，再用正確的密碼連線伺服器，被拒絕：
$ ssh [email protected] -p 2333
ssh_exchange_identification: Connection closed by remote host

事實證明，改了埠後+此自動新增黑名單，暴力破解的ssh連線數銳減~