[系统运维] 安全及应用

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> 系统运维 -> 安全及应用 -> 正文阅读

[系统运维]安全及应用

安全及应用

账号安全的的基本措施

系统账号清理

将非登录用户的shell设为不可登陆	usermod -s /sbin/nologin 用户名	禁止用户登录
	usermod -s /bin/false 用户名	禁止用户登录
锁定长期不使用的账号	usermod -L 用户名	锁定用户账户
	passwd -l 用户名	锁定用户账户
删除无用的账号	userdel [-r] 用户名
	chattr +i /etc/passwd /etc/shadow	锁定账号文件
锁定账号文件	lsattr /etc/passwd /etc/shadow	查看账号文件
	chattr -i /etc/passwd /etc/shadow	解锁账号文件

在这里插入图片描述

密码的安全控制

设置密码有效期
要求用户下次登录时修改密码、
- 打错字修改密码配置文件适用于新建用户

在这里插入图片描述

2、要求用户下次登陆时更改密码

在这里插入图片描述

3、命令历史限制

减少记录的命令条数
登录时自动清空命令历史

在这里插入图片描述

4、终端自动注销

在这里插入图片描述

5、切换用户： su

用途及用法

在这里插入图片描述

2）、密码验证

root→任意用户，不验证密码
普通用户→其他用户，验证目标用户的密码

在这里插入图片描述

3）、限制使用su命令切换用户

将允许使用su命令的用户加入wheel组
启用pam_wheel认证模块

在这里插入图片描述

在这里插入图片描述
第二步：修改/etc/pam.d/su认证配置启用pam_wheel认证

vim /etc/pam.d/su     #编辑/etc/pam.d/su文件
auth sufficient pam_rootok.so  
#pam_rootok.so模块的主要作用是使uid为0的用户root能够直接通过认证而不用输入密码
...      #省略部分
auth required pam_wheel.so use_uid 
 #pam_wheel.so作用是让wheel组内的用户使用su命令，其他人（包括root）无法使用su命令

每种状态的解释：
两行都注释：所有用户都能使用su命令，切换时root和普通用户都需要密码验证
开启第一行，注释第二行：（默认状态）允许所有用户间使用su命令进行切换的，切换时，root不需要密码，其他用户需要密码。
注释第一行，开启第二行：只有wheel组内的用户才能使用su命令，root用户也无法切换。
两行都开启：只有root用户和wheel组内的用户才可以使用su命令。

在这里插入图片描述

例：修改文档将命令前面的注释符“#”删除，并“wq”保存。

在这里插入图片描述

3、查看su操作的记录

/var/log/secure是su的安全日志，使用su命令切换用户的操作都会被记录，所以可以查看此文件来看记录。

例如：cat /var/log/secure

查看/var/log/secure文件

下图就是我上面部分切换用户的记录，可以看到每行里的参数，大概意思能看懂即可。

在这里插入图片描述

2、PAM安全认证

在su命令时，有提到pam_wheel认证，这里对PAM补充一些内容。

（1）pam及其作用

PAM是linux可插拔认证模块，是一套可定制、可动态加载的共享库，系统管理员通过PAM配置文件随意选择程序的认证方式。
PAM的配置文件位于/etc/pam.d目录下，CentOS7的本地认证模块放置在/lib64/security下。想要了解有哪些，可以使用ls查看。

（2）认证原理

PAM认证顺序：Service（服务）—>PAM（配置文件）—>pam_*.so
PAM首先确定服务，然后加载相应的PAM配置文件，最后调用PAM认证模块进行安全认证。
用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。

如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/。
例如：ls /etc/pam.d | grep su    #查看su是否支持PAM模块认证

在这里插入图片描述

（3）PAM认证的构成

每一行都是一个独立的认证和过程，它们按从上往下的顺序依次由PAM模块调用
每行都有三个分区：认证类型、控制类型、PAM模块、PAM模块参数

查看一个login配置文件，先cd /etc/pam.d/，ls查看有哪些，cat选择一个。

在这里插入图片描述

各个分区的解释

第一列：PAM有以下四种模块类型，分别代表四种不同的任务

认证模块类型	作用
auth	对用户身份进行识别，如提示输入密码，判断是否为root
account	对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等
password	使用用户信息来更新数据，如修改用户密码
session	定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统

第二列：PAM使用控制类型来处理和判断各个模块的返回值

控制类型	作用
required	需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。该行以及所涉及模块的成功是用户通过鉴别的必要条件
requisite	与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient	如果此模块返回成功，则不管后面的验证，直接向程序返回成功，表示验证通过，如果返回失败，则可以看成optional（慎用）
optional	不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。不管成功、失败，继续下一模块的验证，且此模块的服务也能享用
include	表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项

第三列
PAM模块：CentOS7默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。

第四列

PAM模块参数：这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个，之间用空格分隔开

在这里插入图片描述

3、sudo命令

作用：提升执行权限（使用其他用户的执行）
用法：sudo 授权命令

（1）设置sudo授权

通过： vim /etc/sudoers
通过： visudo

/etc/sudoers文件默认的权限为440，需要使用visudo工具进行编辑，如果使用vim命令编辑退出时需要“：wq！”，强制保存。

在这里插入图片描述
使用visudo，可以看见里面有大量的模版，这些都是可以直接借用。

在这里插入图片描述
使用visudo编辑

查询命令路径

使用visudo，可以看见里面有大量的模版，这些都是可以直接借用。
在这里插入图片描述

3设置别名

输入时，有时候有些用户、主机名或命令字符比较长或复杂，可以设置一个别名，方便省力。

使用关键字 User_Alias、Host_Alias、Cmnd_Alias 来进行设置别名（别名必须为大写）
多个信息需要用“，”隔开。
User_Alias USERS=用户名1，用户名2，用户名3        #用户别名，USERS代表后面三个用户
Host_Alias HOSTS=localhost,bogon              #主机别名
Cmnd_Alias CMNDS=/sbin/ifconfig,/usr/sbin/useradd,/usr/sbin/userdel  #命令别名
USERS HOSTS=CMNDS   #使用别名编写授权

在这里插入图片描述

4、查看sudo操作记录

需要启动Defaults logfile配置
默认日志文件在"/var/log/sudo"

1、启用sudo操作日志

2、visudo

3、Defaults logfile = "/var/log/sudo"

“visudo”，在最后一行输入lisi localhost=/sbin/reboot；Defaults logfile = “/var/log/sudo”，将sudo操作日志打开，并给lisi用户reboot的权限。样式

在这里插入图片描述

使用sudo查看

在这里插入图片描述

开关机安全

1、调整BIOS引导设置

（1）将第一引导设备设为当前系统所在硬盘。
（2）禁止从其他设备（光盘、U盘、网络)引导系统，将对应的项设置为“disabled”。
（3）将安全级别设为setup，并设置管理员密码。

2、GRUB限制

grub2-mkpasswd-pbkdf2       #使用grub2-mkpasswd-pbkdf2生成密钥

cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

vim /etc/grub.d/00_header       #修改/etc/grub.d/00_header文件，添加密码记录
cat << EOF
set superusers="root"					#设置用户名为root
password_pbkdf2 root grub.pbkdf2……		#设置密码，省略部分内容为经过加密生成的密码字符串
EOF

grub2-mkconfig -o /boot/grub2/grub.cfg	#生成新的 grub.cfg 文件

在linux系统重启时，看最下面有一行，按“e”可以进入grub菜单。

在这里插入图片描述

进入grub菜单后，所有人可以修改grub引导参数，这样是一个极大的隐患，所以要个grup加个限制。可以为 GRUB 菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。

在这里插入图片描述

（1）使用grub2-mkpasswd-pbkdf2生成密钥

grub2-mkpasswd-pbkdf2

在这里插入图片描述

（2）修改/etc/grub.d/00_header文件，添加密码记录

修改文件前备份文件，防止出现问题好恢复。这里将第三步的grup.cfg一起备份了。

在这里插入图片描述

编辑00_header文件，记得保存

在这里插入图片描述

3、生成新的grub.cfg配置文件

在这里插入图片描述

重启系统init 6，在相应界面按“e”,会跳出下图界面，按照提示输入用户名和密码才可以进入grub菜单。

在这里插入图片描述

终端登录

1、限制root用户

linux系统启动时，login程序会读取 /etc/securetty文件（安全终端配置文件），决定允许root用户从哪些终端登录。所以想要限制需要编辑 /etc/securetty文件

vim /etc/securetty
#tty5        #想要不让在哪个终端登陆就在该终端前加注释"#"
#tty6

在这里插入图片描述

2、限制普通用户

login 程序会检查/etc/nologin 文件是否存在，如果存在，则拒绝普通用户登录系统（root 用户不受限制）

touch /etc/nologin			#禁止普通用户登录
rm -rf /etc/nologin			#取消登录限制

在etc下建立nologin文件

在这里插入图片描述
普通用户无法登录了，root用户可以登录。删除nologin文件后，恢复正常。重启也可以恢复正常，但在实际情况下，公司内部不会让你重启服务器，所以需要删除文件。

在这里插入图片描述

下面是破解密码方法涉及敏感问题省略

netstat命令

说道网络，不得不提及Netstat，它是一个监控TCP/IP网络的工具，是用来显示网络状态信息的，其中包括路由表、实际的网络连接以及每一个网络接口设备，可显示与IP、TCP、UDP和ICMP协议相关的统计数据，用于检验本机各端口的网络连接情况。

选项	作用
-a	显示主机中所有活动的网络连接信息（包括监听、非监听状态的服务端口）。
-n	以数字的形式显示相关的主机地址、端口等信息。
-t	查看 TCP相关的信息。
-u	显示 UDP协议相关的信息。
-p	显示与网络连接相关联的进程号、进程名称信息（该选项需要 root 权限）。
-r	显示路由表信息。
-l	显示处于监听状态的网络连接及端口信息。