Linux系统管理11——系统安全及应用

一、基本安全措施

1、系统账号清理

（1）将非登录用户的shell设为/sbin/nologin

·方法一： usermod -s

·方法二： chsh命令，交互式修改

·方法三： chsh -s

示例：

除了上述三种方法，也可以直接vi编辑/etc/passwd文件进行修改。

（2）锁定长期不使用的账号

·方法一： passwd -l  （将在密文前增加2个“！”）解锁 passwd -u 查看passwd -S

·方法二： usermod -L（将在密文前增加1个“！”）解锁 usermod -U

示例：

 1>锁定:

2>解锁：

注意：若用passwd -l命令对某账号进行锁定，若用usermod -U命令解锁，需要进行两次操作才可以。如下：

除了上述两种方法，也可以直接vi编辑/etc/shadow文件进行修改。

（3）删除无用的账号

·userdel [-r] 用户名 （此处不过多解释，详见Linux系统管理03）

（4）锁定账号文件 /etc/passwd、/etc/shadow

1>锁定：chattr +i /etc/passwd /etc/shadow

2>解锁：chattr -i /etc/passwd /etc/shadow

3>查看：lsattr /etc/passwd /etc/shadow

4>示例：

注意：锁定后即使是超户，也不能修改该文件，即不能创建、删除、修改用户信息。

2、密码安全控制

（1）设置密码有效期

1>修改某个已存在用户的密码有效期：

chage -M 天数 用户名

passwd -x 天数 用户名

2>示例： 

2>设置今后添加用户时的默认密码有效期：

·方法：vi编辑/etc/login.defs文件，修改“PASS_MAX_DAY”后面的数值

·示例：

[root@crushlinux ~]# vi /etc/login.defs 

将99999天改为60天

（2）要求用户下次登录时修改密码

1>方法：chage -d 0 用户名

2>示例：

[root@crushlinux ~]# chage -d 0 user1

3、命令历史限制

（1）减少历史的命令条数

1>方法一：vi编辑/etc/profile文件，修改“HISTSIZE=”后面的数值

2>方法二：export HISTSIZE=数值

2>示例：

·方法一：vi编辑/etc/profile文件，修改“HISTSIZE=100”

[root@crushlinux ~]# vi /etc/profile 

[root@crushlinux ~]# source /etc/profile 使/etc/profile配置文件生效，此时全局生效

·方法二：export HISTSIZE=100

[root@crushlinux ~]# export HISTSIZE=100 仅当前用户环境下生效

（2）注销时自动清空历史命令

1>方法：vi编辑宿主目录下的“.bash_logout”文件，添加“history -c”

2>示例：设置amber用户注销时自动清空历史命令

[root@crushlinux ~]# vi ~amber/.bash_logout

4、终端自动注销

（1）方法一：vi编辑/etc/profile文件，添加“TMOUT=数值”

（2）方法二：export TMOUT=数值

（3）示例：闲置600秒后自动注销

·方法一：vi编辑/etc/profile文件，添加“TMOUT=600”

[root@crushlinux ~]# vi /etc/profile 

[root@crushlinux ~]# source /etc/profile 使/etc/profile配置文件生效，此时全局生效

·方法二：export TMOUT=600

[root@crushlinux ~]# export TMOUT=600 仅当前用户环境下生效

二、切换用户  su命令

1、作用：切换用户（Substitute User）

2、格式：su [-] 目标用户 （有“-”初始化环境变量，无“-”环境变量不改变）

3、查看su操作记录

安全日志文件：/var/log/secure 

三、提升权限sudo命令

1、su命令的缺点：

在使用su命令时，不指定用户名默认切换至root用户，需要输入root密码，但实际生产中root密码是不可以被广泛告知的。如果需要执行root用户才有权限的命令，需要通过sudo命令或wheel组的设置来实现。

2、sudo命令

（1）作用：以其他用户身份（默认root身份）执行授权的命令

（2）用法：

sudo 授权命令

默认设置为首次执行时，需输入当前用户的登录密码，5分钟内再次执行sudo命 令时则无需再输入密码。

（3）配置sudo授权

1>方法一：添加单个用户的sudo授权

·visudo或者vi /etc/sudoers（效果相同），添加配置内容

·格式：用户 主机名列表=命令程序列表，命令前加“！”表示“除了”此命令

示例：

2>方法二：批量授权

·wheel组

（将希望提权的用户加入wheel组，略）

·别名

·根据示例以及实际需求，设置别名。（建议先复制行，再粘贴修改）

·设置别名后，添加格式：

用户别名 主机别名=命令别名（所有别名均大写） 

（4）查看sudo操作记录

·方法：

第一步：visudo或者vi /etc/sudoers 添加“Defaults logfile=/var/log/sudo”

第二步：cat /var/log/sudo

示例：启用Defaults logfile配置，给amber用户所有/sbin/以及/usr/sbin下的命令执行权限，除了关机以及重启。

[root@crushlinux ~]# visudo

（5）查询授权操作 sudo -l

示例：

四、PAM安全认证

1、su命令的安全隐患

默认情况下，任何用户都允许使用su命令，从而有机会反复尝试其他用户（如root）的登录密码，带来安全风险。为了增强su命令的使用控制，可以借助PAM认证模块，只允许极个别用户使用su命令进行切换。

2、可插拔认证模块PAM（Pluggable Authentication Modules）

（1）PAM简介

PAM是一种高效而且灵活便利的用户级别的认证方式，它也是当前Linux服务器普遍使用的认证方式。

PAM提供了对所有服务进行认证的中央机制，适用于login，远程登录（telent，rlogin，fsh，ftp），su等应用程序。系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略。

（2）PAM认证原理

PAM认证一般遵循的顺序：Service（服务）→PAM→pam_*.so

PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（32位系统位于/lib/security下，64位系统位于/lib64/security下）进行安全认证。下图为Linux x86_64位系统中PAM的配置文件：

用户访问服务器的时候，服务器的某一个服务进程把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。

如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看，如查看su是否支持PAM模块认证：ls /etc/pam.d|grep su

3、PAM认证的构成

·每一行都是一个独立的认证过程

·每一行可以区分为三个字段：认证类型、控制类型、PAM模块及其参数

示例：查看su的PAM配置文件

4、常见的四种认证类型

（1）auth  认证管理（authentication management）

·作用：接受用户名和密码，进而对该用户的密码进行认证

（2）account  账户管理（account management）

·作用：检查账户是否被允许登录系统，账号是否已过期，账号的登录是否有时间段的 限制等

（3）password  密码管理（password management）

·作用：主要是用来修改用户的密码

（4）session  会话管理（session management）

·作用：主要是提供对会话的管理和记账（accounting）

5、常见的五种控制类型

（1）required 验证失败时仍然继续，但返回Fail

（2）requisite 验证失败则立即结束整个验证过程，返回Fail

（3）sufficient 验证成功则立即返回，不再继续，否则忽略结果并继续

（4）optional 不用于验证，只是显示信息（通常用于session类型）

（5）include 不进行认证，转到后面PAM模块进行认证 

6、使用PAM认证模块，限制某个命令或是服务的使用权限

（1）vi编辑该命令在/etc/pam.d/下对应的配置文件，启用pam_wheel模块

（2）添加授权用户到wheel组

（3）示例：设置仅允许用户amber和user1使用su命令进行切换 

五、开关机安全控制

1、调整BOIS引导设置

（1）将第一引导设备设为当前系统所在硬盘

（2）禁止其他设备（光盘、U盘、网络）引导系统 

（3）将安全级别设为setup，并设置管理员密码 

2、禁用重启热键Ctrl+Alt+Del

（1）目的：避免用户误操作

（2）方法：vi编辑/etc/init/control-alt-delete.conf，将最后两行改为注解

[root@crushlinux ~]# init q 不重启，即时生效配置文件

3、gurb菜单限制

（1）未经授权禁止修改启动参数（第一个“title”前加密码）

（2）未经授权禁止进入指定系统（每个“title”后加密码）

（3）密码设置方式

1>password 明文串

2>password --md5 加密密码串

·使用grub-md5-crpypt命令获取加密密码串 

·将加密密码串复制进grub.conf文件

六、终端登录安全控制

1、减少开放终端个数

（1）方法：vi编辑/etc/init/start-ttus.conf以及/etc/sysconfig/init两个配置文件

（2）示例：设置所用用户仅可从tty1、tty2、tty3三个终端登录 

重启后，所有用户仅可从tty1、tty2、tty3登录 

2、限制root只在安全终端登录

（1）方法：vi编辑/etc/securetty配置文件，将禁止的终端注解掉

（2）示例：禁止root用户从tty2、tty3终端登录

此文件修改后立即生效

3、禁止普通用户登录

（1）方法：touch /etc/nologin，删除/etc/nologin这个空文件即可恢复。

（2）示例：

七、弱口令检测  JR（Joth the Ripper）

1、JR（Joth the Ripper）简介

·一款密码分析工具，支持字典式的暴力破解

·通过对shadow文件的口令分析，可以检测密码

·官方网站：http://crushlinux.openwall.com/john/

2、安装JR工具

（1）tar包解压

（2）进到解压后的src目录下，执行make clean

（3）进到解压后的run目录下，执行命令

字典式暴力破解，可添加内容至字典

查看破解记 

清空破解记录

八、端检测  NMAP

1、NMAP简介

·一款强大的网络扫描、安全检测工具

·官方网站：http://nmap.org/

·可从光盘中安装nmap-5.51-3.el6.x86_64.rpm

2、NMAP的扫描语法

nmap [扫描类型] [选项] <扫描目标>

3、常用的扫描类型

-sS TCP SYN扫描（半开）

-sT TCP链接扫描（全开）

-sF TCP FIN扫描

-sU UDP扫描

-sP ICMP扫描

-s0 跳过ping检测【较少使用】

4、常用选项：

-n 禁止DNS反向解析

-p 指定端口号

安装nmap 

1、扫描本机开放了哪些TCP端口、UDP端口

2、检测当前192.168.1.0/24网段有哪些主机提供FTP服务

3、检测192.168.1.0/24网段有哪些存活主机

4、检测192.168.1.100~254/24有哪些主机开启了文件共享服务

【课外知识补充】（来自百度百科）

·TCP（Transmission Control Protocol 传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层通信协议。

·TCP三次握手的过程如下：

客户端发送SYN（SEQ=x）报文给服务器端，进入SYN_SEND状态。

服务器端收到SYN报文，回应一个SYN （SEQ=y）ACK(ACK=x+1）报文，进入SYN_RECV状态。

客户端收到服务器端的SYN报文，回应一个ACK(ACK=y+1）报文，进入Established 状态。

三次握手完成，TCP客户端和服务器端成功地建立连接，可以开始传输数据了。

ACK表示Acknowledgment Number字段有意义

PSH表示Push功能，RST表示复位TCP连接

SYN表示SYN报文（在建立TCP连接的时候使用）

FIN表示没有数据需要发送了（在关闭TCP连接的时候使用）

·UDP（User Datagram Protocol）协议全称是用户数据报协议，在网络中它与TCP协议一样用于处理数据包，是一种无连接的协议。UDP有不提供数据包分组、组装和不能对数据包进行排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。根据OSI（开放系统互连）参考模型，UDP和TCP都属于传输层协议。

·ICMP是（Internet Control Message Protocol）Internet控制报文协议。它是TCP/IP协议族的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

·Linux常用端口：

Linux系统管理11——系统安全及应用