Linux rsh 命令

使用SSH进行安全的批量远程命令执行：

方法1：并行执行（使用GNU parallel）

# 安装parallel（如果需要）
sudo apt install parallel  # Debian/Ubuntu
sudo yum install parallel  # RHEL/CentOS

# 并行在多个主机上执行命令
parallel -j 10 ssh {} "uptime" ::: host1 host2 host3 host4

# 从文件读取主机列表
cat hosts.txt | parallel -j 10 ssh {} "df -h"

方法2：使用Ansible（推荐用于复杂管理）

# 安装Ansible
sudo apt install ansible  # Debian/Ubuntu
sudo yum install ansible  # RHEL/CentOS

# 创建主机清单
echo "[webservers]
web1.example.com
web2.example.com

[dbservers]
db1.example.com" > hosts.ini

# 执行临时命令
ansible webservers -i hosts.ini -m shell -a "uptime"

# 执行Playbook（更强大的功能）
ansible-playbook -i hosts.ini deploy.yml

方法3：使用专用工具（如ClusterSSH）

# 安装ClusterSSH
sudo apt install clusterssh  # Debian/Ubuntu

# 同时在多个终端中执行命令
cssh host1 host2 host3

方法4：自定义SSH批量脚本

#!/bin/bash
# 安全的SSH批量执行脚本

execute_on_hosts() {
    local command="$1"
    shift
    local hosts=("$@")

    for host in "${hosts[@]}"; do
        echo "执行: $host"
        # 使用SSH密钥，设置超时
        ssh -o ConnectTimeout=10 -o BatchMode=yes "$host" "$command" &
    done

    # 等待所有后台任务完成
    wait
}

# 使用示例
execute_on_hosts "sudo apt update && sudo apt upgrade -y" host1 host2 host3

如果由于某些原因必须使用rsh（如旧系统不支持SSH），可以采取以下措施最小化风险：

1. 网络隔离

# 使用VPN或专用网络
# 配置防火墙只允许特定IP访问rsh端口
sudo iptables -A INPUT -p tcp --dport 514 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 514 -j DROP

2. 使用一次性密码

# 使用OTP（一次性密码）替代静态密码
# 安装OTP工具
sudo apt install libpam-google-authenticator

# 配置PAM使用OTP

3. 严格的信任主机配置

# 仅允许特定的、安全的连接
# ~/.rhosts 应该只包含必要的主机
# 使用IP地址而不是主机名（防止DNS欺骗）
192.168.1.100 trusted_user

# 定期审计.rhosts文件
find /home /root -name ".rhosts" -exec ls -la {} \;

4. 监控和审计

# 启用详细的日志记录
# 监控rsh连接尝试
sudo grep rsh /var/log/auth.log

# 使用网络监控工具检测异常
sudo tcpdump -i eth0 port 514 -w rsh_traffic.pcap

5. 尽快迁移到SSH

# 制定迁移计划
# 1. 在所有系统上安装SSH
# 2. 配置SSH密钥认证
# 3. 测试SSH功能
# 4. 逐步禁用rsh服务
# 5. 完全移除rsh软件包

检测和防止rsh相关攻击的方法：

1. 入侵检测系统（IDS）规则

# Snort规则示例
alert tcp any any -> any 514 (msg:"RSH连接尝试"; sid:1000001;)

# Suricata规则示例
alert tcp any any -> any 514 (msg:"RSH流量检测"; flow:to_server; sid:1;)

2. 日志监控脚本

#!/bin/bash
# rsh攻击检测脚本

LOG_FILE="/var/log/rsh_monitor.log"
ALERT_THRESHOLD=10  # 10分钟内最大尝试次数

# 监控失败尝试
monitor_rsh_attempts() {
    while true; do
        # 检查最近10分钟的失败尝试
        failed_attempts=$(grep "rsh.*failed" /var/log/auth.log | \
            grep "$(date -d '10 minutes ago' '+%b %d %H:%M')" | wc -l)

        if [ "$failed_attempts" -gt "$ALERT_THRESHOLD" ]; then
            echo "[$(date)] 警告: 检测到 $failed_attempts 次rsh失败尝试" >> $LOG_FILE

            # 可以添加自动阻止IP的代码
            # last_failed_ip=$(grep "rsh.*failed" /var/log/auth.log | tail -1 | awk '{print $NF}')
            # iptables -A INPUT -s $last_failed_ip -j DROP
        fi

        sleep 60
    done
}

monitor_rsh_attempts

3. 主动防御措施

# 1. 禁用rsh服务
sudo systemctl disable rsh

# 2. 防火墙规则
sudo iptables -A INPUT -p tcp --dport 514 -j DROP
sudo iptables -A OUTPUT -p tcp --dport 514 -j DROP

# 3. 删除.rhosts文件
sudo find / -name ".rhosts" -type f -delete 2>/dev/null
sudo find / -name "hosts.equiv" -type f -delete 2>/dev/null

# 4. 安装fail2ban
sudo apt install fail2ban
# 配置fail2ban监控rsh
echo "[rsh]
enabled = true
port = 514
filter = rsh
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600" | sudo tee /etc/fail2ban/jail.d/rsh.conf

4. 定期安全扫描

# 使用nmap扫描开放的rsh端口
nmap -p 514 192.168.1.0/24

# 使用Nessus、OpenVAS等漏洞扫描器
# 检查系统是否存在rsh相关漏洞

# 定期检查系统配置
sudo lynis audit system | grep -i rsh

5. 应急响应计划

• 立即断开受影响系统的网络连接
• 检查系统日志和用户活动
• 检查.rhosts文件是否被篡改
• 审查所有用户账户和权限
• 重新安装系统（如果严重受损）