Linux 安全设置.docx
- 文档编号:9685547
- 上传时间:2023-02-05
- 格式:DOCX
- 页数:43
- 大小:41.30KB
Linux 安全设置.docx
《Linux 安全设置.docx》由会员分享,可在线阅读,更多相关《Linux 安全设置.docx(43页珍藏版)》请在冰豆网上搜索。
Linux安全设置
linux安全攻略
对Linux/UNIX系统安全的考虑(面对不熟悉Linux的人)。
很显然,面对Linux/UNIX的安全问题我没有太多资格来评价,以至于,拿到一份系统日至都不能分析出究竟是出了什么问题。
但是,我希望尝试对一个完全陌生的系统实施安全保障,虽然不知效果会怎么样,但这的确是有价值的一个尝试,谁也不能保证自己对任何系统都熟悉,但工作又不允许为不同的系统配备相应的专职管理员。
首先可以肯定的是,任何系统都有补丁,这是必然要打的。
下面是服务和端口,如果只想用web:
80,那么,其他的端口完全可以利用前面的router/Firewall屏蔽掉,而只针对网管使用的IP地址开放,另外,如果能在服务器上安装snort之类的IDS系统,并且及时针对WEB内容升级过滤代码,完全有可能抵御大部分溢出和扫描。
另外,借鉴别人的方法也是必不可少的,这里推荐一位业界友人的文章,他曾是南京补天的solaris大拿,后来去了理工华泰,现在可能是去了北航的什么研究室,看来只有前辈的地位一直没怎么变:
)
1,安装
安装的时候,大家都轻车熟路了,呵呵,首先,隔离网络进行系统安装,当然选择custom方式,安装你需要的软件包。
硬盘分区:
如果用root分区纪录数据,如log文件和email,就可能因为拒绝服务产生大量日志或垃圾邮件。
导致系统崩溃。
所以建议为/var开辟单独的分区,用来存放日志和邮件,以避免root分区被溢出啦,那就惨喽。
最好为特殊的应用程序单独开一个分区,特别是可以产生大量日志的程序,还有建议为/home单独分一个区,这样他们就不能填满/分区了,以下是我硬盘上的分区情况:
/root
/varlog
/hacking嘻嘻,我的一些黑软
swap不多说了
/home
当系统安装完重新启动后,最好打上相应系统的安全补丁,请大家养成良好的习惯,记住,你不是在自己家里装98,你装的是一个linux服务器,呵呵。
对于redhat系统而言可以在:
在redhat6.1以后的版本带有一个工具up2date,它能够测定哪些rpm包需要升级,然后自动从redhat的站点下载并完成安装。
2,关闭服务
呵呵,有句话说的好,要想你的系统绝对安全,就是掐断网线,呵呵,当然我们的机器要对外提供服务,那是不现实的,所以关闭不必要的服务是必要的,因为有些服务会为您的系统带来麻烦。
默认的linux就是一个强大的系统,运行了很多的服务。
但,有许多服务是不需要的,很容易引起安全风险。
第一个文件是/etc/inetd.conf,它制定了/usr/sbin/inetd将要监听的服务,你可能只需要其中的两个:
telnet和ftp,其他的许多如popd,imapd和rsh都是有可能引发安全问题的。
用下面的命令显示没有被注释掉的服务:
suneagle#grep-v"#"/etc/inetd.conf
ftpstreamtcpnowaitroot/usr/sbin/tcpdin.ftpd-l-a
telnetstreamtcpnowaitroot/usr/sbin/tcpdin.telnetd
shellstreamtcpnowaitroot/usr/sbin/tcpdin.rshd
loginstreamtcpnowaitroot/usr/sbin/tcpdin.rlogind
talkdgramudpwaitnobody.tty/usr/sbin/tcpdin.talkd
ntalkdgramudpwaitnobody.tty/usr/sbin/tcpdin.ntalkd
pop-3streamtcpnowaitroot/usr/sbin/tcpdipop3d
imapstreamtcpnowaitroot/usr/sbin/tcpdimapd
fingerstreamtcpnowaitnobody/usr/sbin/tcpdin.fingerd
linuxconfstreamtcpwaitroot/bin/linuxconflinuxconf--http
execstreamtcpnowaitroot/bin/shsh-i
哈哈,大家看最后一行,不就被绑了个rootshell么?
呵呵,有什么后果?
呵呵看看,在远程的一台win2000机器上用如下命令:
E:
\cmd>nc192.0.0.88512
bash#id
id
uid=0(root)gid=0(root)groups=0(root)
bash#
知道了吧?
嘿嘿,大家注意哦*^_^*
我有写过一篇关于用这个文件绑后门的文章,呵呵,攻击性很强,这个命令可以帮你查出有没有后门,呵呵。
下个要启动的是.rc脚本,它们决定了init进程要启动哪些服务。
redhat系统下,这些脚本在/etc/rc.d/rc3.d(如果你的系统以x为默认启动的话,就是/etc/rc.d/rc5.d)。
要在启动时禁止某个服务,只需要把大写的S替换为小写的s,同时,redhat也提供一个工具来帮助你关闭服务,输入/usr/sbin/setup,然后选择"systemservices",就可以定制系统启动时跑哪些服务。
另外一个选择是chkconfig命令,很多linux版本的系统都自带这个工具。
脚本名字中的数字是启动的顺序,以大写的K开头的是杀死进程用的。
以下是一些主要的服务:
S05apmd笔记本需要
S10xntpd网络时间协议
S11portmap运行rpc服务必需
S15sound声卡相关
S15netfsnfs客户端
S20rstatd避免运行r服务,远程用户可以从中获取很多信息
S20rusersd
S20rwhod
S20rwalld
S20bootparamd无盘工作站
S25squid代理服务
S34yppasswddNIS服务器,此服务漏洞很多
S35ypservNIS服务器,此服务漏洞很多
S35dhcpddhcp服务
S40atd和cron很相似的定时运行程序的服务
S45pcmciapcmcia卡,笔记本
S50snmpdSNMP,远程用户能从中获得许多系统信息
S55namedDNS服务
S55routedRIP,没有必要就别运行它
S60lpd打印服务
S60mars-nweNetware的文件和打印服务
S60nfsNFS服务器,漏洞极多
S72amdautomount,mount远程用的
S75gated另外一种路由服务,例如OSPF
S80sendmail邮件服务,如关闭,仍然可以发信,只是不能收信和作中继
S85httpdweb服务器
S87ypbindNIS客户端
S90xfsXfont服务器
S95inndNews服务器
Slinuxconf这个都熟悉吧,呵呵,通过浏览器远程管理系统用的
用这个命令察看在关闭启动脚本之前有多少服务在运行:
suneagle#ps-eaf|wc-l
54
我的系统有54种服务在运行呢,呵呵
当你关闭一些服务以后,重新运行以上命令看看少了多少服务。
运行的服务越少,系统自然越安全了,嘿嘿。
用下面命令察看哪些服务在运行
:
suneagle#netstat-na--ip
ActiveInternetconnections(serversandestablished)
ProtoRecv-QSend-QLocalAddressForeignAddressState
tcp0136192.0.0.88:
23192.0.0.5:
1236ESTABLISHED
tcp00192.0.0.88:
23192.0.0.8:
1113ESTABLISHED
tcp00192.0.0.88:
139192.0.0.8:
1112ESTABLISHED
tcp00192.0.0.88:
102461.153.17.24:
23ESTABLISHED
tcp00192.0.0.88:
23192.0.0.8:
1084ESTABLISHED
tcp000.0.0.0:
1390.0.0.0:
*LISTEN
tcp000.0.0.0:
800.0.0.0:
*LISTEN
tcp000.0.0.0:
250.0.0.0:
*LISTEN
tcp000.0.0.0:
5150.0.0.0:
*LISTEN
tcp000.0.0.0:
5120.0.0.0:
*LISTEN
tcp000.0.0.0:
980.0.0.0:
*LISTEN
tcp000.0.0.0:
790.0.0.0:
*LISTEN
tcp000.0.0.0:
1430.0.0.0:
*LISTEN
tcp000.0.0.0:
1100.0.0.0:
*LISTEN
tcp000.0.0.0:
5130.0.0.0:
*LISTEN
tcp000.0.0.0:
5140.0.0.0:
*LISTEN
tcp000.0.0.0:
230.0.0.0:
*LISTEN
tcp000.0.0.0:
210.0.0.0:
*LISTEN
tcp000.0.0.0:
1130.0.0.0:
*LISTEN
tcp000.0.0.0:
1110.0.0.0:
*LISTEN
udp00127.0.0.1:
10240.0.0.0:
*
udp00192.0.0.88:
1380.0.0.0:
*
udp00192.0.0.88:
1370.0.0.0:
*
udp000.0.0.0:
1380.0.0.0:
*
udp000.0.0.0:
1370.0.0.0:
*
udp000.0.0.0:
5180.0.0.0:
*
udp000.0.0.0:
5170.0.0.0:
*
udp000.0.0.0:
1110.0.0.0:
*
raw000.0.0.0:
10.0.0.0:
*7
raw000.0.0.0:
60.0.0.0:
*7
呵呵,我这个系统由于测试用,所以故意开了不少危险端口,呵呵,大家别学我哦,该关的就关啦,哈哈。
3,日志纪录和增强
关闭一些不必要的服务以后,日志也是需要我们关心的一块,配置好的unix系统日志非常强大,甚至可以做出陷阱,关于日志,我可以写长篇大论,这里就不很详细讲述日志的原理了,感兴趣的朋友可以参考相关资料或阅读我的另一篇文章《solaris系统日志原理》。
好!
所有的日志都在/var/log下(仅对linux系统而言),默认情况下linux的日志就很强大了,除了ftp。
但我们可以通过修改/etc/ftpaccess或者/etc/inetd.conf,来保证每一个ftp连接日志都能够纪录下来。
下面是一个修改inetd.conf的例子:
ftpstreamtcpnowaitroot/usr/sbin/tcpdin.ftpd-l-L-i-o
-l每一个ftp连接都写到syslog
-L纪录用户的每一个命令
-i文件received,纪录到xferlog
-o文件transmitted,记录到xferlog
账号的安全问题
删除/etc/passwd&/etc/shadow中的一些系统账号,如mail,news等等。
尽量关闭匿名ftp服务,删掉ftp用户。
/etc/ftpusers文件,包含了不能使用ftp的用户列表,root应该在其中。
修改/etc/securetty,去除终端ttyp0-ttyp9,使root只能从console或者使用ssh登陆。
/etc/issue,不要让次文件透露系统信息。
同时要修改
/etc/rc.d/rc/local。
SUID程序是非常危险的,这些程序被普通用户以euid=0(即root)的身份执行,只能有少量程序被设置为SUID。
用一下命令列出系统的SUID二
进制程序:
suneagle#find/-perm-4000-print
用chmod-s去掉一些不需要程序的suid位。
4,连接服务器
作为系统管理员,需要经常对系统进行关系和上传文件,这些通过通信过程必须要保证是安全的。
我介绍两个方法:
ssh和tcpwrappers。
其实我比较偏向于用ssh,它把你和防火墙之间的通信全部进行了加密,而tcpwrappers没有做到加密一点,呵呵虽然现在先进的sniffer技术
也可以嗅探到ssh的数据包,但它依然还是最安全的。
建议用ssh完全取代telnet/ftp,它能够确保数据在网络中的安全传输。
ssh和tcpwrapper
都有它们自己的日志纪录,并设有访问控制策略,大家如果要深入了解ssh的话,可以参考想关书籍。
tcpwrappers尽管没有对数据进行加密,但它有日志系统并且可以控制哪些人可以访问你的系统,它在inetd中包装了其他的二进制文件,如
telnet,ftp,finger等等。
系统用tcpwrapper进行inetd监听连接,记录了所有请求并且与访问控制列表作比较,如果允许连接,tcpwrapper将
调用实际的服务器进程来连接,如in.telnetd服务,如果拒绝,连接将断开。
对linux用户比较幸运的是tcpwrapper已经被默认安装了,我们所
要做的就是编辑/etc/hosts.allow和/etc/hosts.deny两个文件,注意以下事项:
1,尽量使用ip
2,首先通过/etc/hosts.deny禁止来自任何地方对所有服务的访问:
ALL:
ALL
然后在/etc/hosts.allow中添加要授权的机器及服务。
冒号左边为服务,冒号右边为授权机器。
5,加固系统
一上的措施足以应付一般的网络攻击,但你的系统不是100%安全的,从来就没有绝对安全的系统,不是么?
嘿嘿。
我们来进一步加固系统!
编辑/etc/groups,增加wheel组(其实我很喜欢freebsd的地方,就是默认freebsd这些工作做的很好)。
这个组包含了一些用户,可以执行/bin/su等强大的命令。
对其他用户执行这些命令的控制,可以改善系统的安全。
如下命令:
suneagle#/bin/chgrpwheel/bin/su
suneagle#/bin/chmod4750/bin/su
然后锁定一些文件:
.rhosts,.netrc,/etc/hosts.equiv。
r命令可以通过这些文件远程连入你的系统。
先touch这些文件,然后chmod至0。
suneagle#/bin/touch/root/.rhosts/root/.netrc/etc/hosts.equiv;/bin/chmod0/root/.rhosts/root/.netrc/etc/hosts.equiv
linux还有一个众所周知的命令:
chattr,呵呵+i操作,即使是root,也在-i之前改不了它们,先在你的系统的/etc/shadow,/etc/inetd.conf等文件来个chattr+i可以避免一下exploit给你添后门什么的,呵呵。
bash的问题
对于bash用户来讲,有个.bash_history文件,可以记录你的所用的命令,谁也不希望其他人包括root知道自己敲了哪些命令吧?
我有两种方法
来解决这个问题
1,在自己的.bash_profile文件中加入一行:
HISTFILESIZE=0
记住不要把HISTSIZE置零,那样就无法使用上下健来调用历史命令了。
2,删除自己目录下的.bash_history,然后建立一个连接:
suneagle$ln-s/dev/null$HOME/.bash_history
这样,大家理解吧?
历史命令都掉到黑洞洞里啦~~~~~
最后,保证物理安全,建立在/etc/lilo.conf中设置密码来控制linux的启动,呵呵,虽然也是可以被破解的,嘿嘿,因为它是明文存放,破解
方法吗,知者知之,不知者就不知啦,嘿嘿。
ok,写了这么多,大概把安全性讲了一下,但里面每个知识点又可以单独写文章,呵呵,学无止尽啊。
虽然我看得不怎么明白,但至少可以作为一种安全角度的参考,再贴上一篇:
发信人:
Sinbad
标题:
装备Linux
(1)
发信站:
辛巴达(FriSep2710:
08:
062002)
发信人:
Sinbad
标题:
装备Linux
(1)
发信站:
辛巴达(ThuSep2815:
13:
152000)
装备Linux
(1)
bySinbad
Aug23,2000
http:
//sinbad.dhs.org
1.安装
首先与网络隔离进行系统的安装,选择custom方式,仅仅安装需要的软件。
硬盘分区:
如果用root分区纪录数据,例如log文件和email,就可能因为拒绝服务产
生大量日志或垃圾邮件,导致系统崩溃。
所以,建议为/var开辟单独的分区,用来存
放日志和邮件,以避免root分区被溢出。
还可以为特殊的应用程序单独开一个分区,
特别是能产生大量日志的程序。
如果有不怀好意的用户,建议为/home单独分一个区,
这样他们就不能填满/分区。
一般Server分区看来是这样:
/-根分区
/var-400MB
swap-一般256MB
当系统安装完重新启动以后,就要打上安全补丁。
对RedHat系统,可以在http:
//www
找到补丁,要经常更新。
采用RPM的系统,可以
很容易的升级,例如:
rpm-Uvhwu-ftpd-2.6.0-14.6x.i386.rpm
如果系统与Internet是连接的,可以直接从ftp站点升级:
rpm-Uvhftp:
//
RH6.1以后的版本带有一个工具up2date,它能够测定哪些RPM包需要升级,然后自动从
RedHat的站点下载并完成安装。
这个软件能够很好的被定制并且易于使用。
2.关闭服务
安装完软件包和补丁以后,下面作的就是装备系统。
包括关闭一些服务、增加日志、
修改一些文件和配置TCPWrappers。
首先我们来关闭一些服务。
默认的linux是一个强大的系统,运行了很多服务。
但是有
许多服务是不需要的,很容易引起安全风险。
第一个文件是/etc/inetd.conf,它指定
了/usr/sbin/inetd将要监听的服务,你可能只需要其中的两个:
telnet和ftp,其他
的许多例如popd,imapd和rsh有可能引发安全问题。
下面的命令显示出没有被注释掉
的服务:
grep-v"^#"/etc/inetd.conf
下一个要启动的是.rc脚本,它们决定了init进程要启动哪些服务。
RH系统下,这些脚
本在/etc/rc.d/rc3.d(如果以GUI方式启动,就是/etc/rc.d/rc5.d,比如KDE,Gnom
e等等)。
要在启动时禁止某个服务,只要把大写的S替换为小写的s,同时,RH也提供
了一个很好的工具来关闭服务,只要输入/usr/sbin/setup,然后选择“systemserv
ices”,就可以定制系统启动时跑哪些服务。
另外一个选择是chkconfig命令,许多发
行版本都自带这个工具。
脚本名字中的数字是启动的顺序,以大写的K开头的是杀死进
程用的。
S05apmd(只有笔记本需要)
S10xntpd(网络时间协议)
S11portmap(运行rpc服务必需,例如NIS或NFS)
S15sound(声卡相关)
S15netfs(nfs客户端)
S20rstatd(避免运行r服务,远程用户能够从中得到很多信息)
S20rusersd
S20rwhod
S20rwalld
S20bootparamd(无盘工作站,应该很少需要此服务)
S25squid(代理服务)
S34yppasswdd(NIS服务器,此服务漏洞很多)
S35ypserv(NIS服务器,此服务漏洞很多)
S35dhcpd(dhcp服务)
S40atd(和cron很相似的定时运行程序的服务)
S45pcmcia(pcmcia卡,笔记本用)
S50snmpd(SNMP,远程用户能从中获得许多系统的信息)
S55named(DNS服务,最近版本在http:
//www.isc.org/bind.html)
S55routed(RIP,不要运行它除非你真的需要)
S60lpd(打印服务)
S60mars-nwe(Netware的文件和打印服务)
S60nfs(NFS服务器,漏洞极多,尽量不要使用)
S72amd(AutoMount,用来mount远程系统)
S75gated(另外一种路由服务,例如OSPF)
S80sendmail(邮件服务,如果你关闭sendmail,仍能够发信,只是不能收信和作中
继)
S85httpd(Web服务器,最近版本在http:
//www.apache.org)
S87ypbind(NIS客户端)
S90xfs(Xfont服务器)
S95innd(News服务器)
S99linuxconf(通过浏览器远程配置系统)
查看在关闭启动脚本之前有多少服务在运行:
psaux|wc-l
当你关闭一些服务以后,重新运行以上命令看看少了多少服务。
运行的服务越少,系
统越安全。
同时,用下面的命令看看哪些服务还在运行:
netstat-na--ip
3.日志纪录和增强
关闭一些不必要的服务以后,我们开始日志纪录,所有的日志都在/var/log目录下。
默认情况linux的日志功能很完善,除了ftp。
可以修改/etc/ftpaccess或者/etc/ine
td.conf,一般都是修改/etc/inetd.conf,下面的写法保证了每一个ftp连接的日志都
能够记录下来:
ftpstreamtcpnowaitroot/usr/sbin/tcpdin.ftpd-l-L-i-o
-l每一个ftp连接都写到syslog
-L纪录用户的每一个命令
-i文件received,纪录到xferlog
-o文件transmitted,纪录到xferlog
使用shadow密码,运行命令pwconv。
(现在的6.2版本都默认用MD5)
删除/etc/passwd&/etc/shadowv中的一些系统账号,如news等等。
如果不需要匿名ft
p服务,删除ftp用户。
对一个
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Linux 安全设置 安全 设置
![提示](https://static.bdocx.com/images/bang_tan.gif)