Linux系统安全及应用
目录
1、系统账号清理
1.1 将非登录用户的Shell设为/sbin/nologin
usermod -s /sbin/nologin 用户名
1.2 锁定长期不使用的账号
usermod -L 用户名 passwd -l 用户名 passwd -S 用户名
1.3 删除无用的账号
userdel [-r] 用户名
1.4 锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow //锁定文件并查看状态 lsattr /etc/passwd /etc/shadow chattr -i /etc/passwd /etc/shadow //解锁文件
2、密码安全控制
设置密码有效期
要求用户下次登录时修改密码
2.1 适用于新建用户(不会影响以前的以前的用户)
vi /etc/login.defs
2.2 适用于已有用户
chage -M 时间 用户
2.3 强行在下次登录时更改密码
chage -d 0 用户
注:必须更改密码,而且不能设置太过简单
3、命令历史限制
3.1 减少命令的记录条数
vi /etc/profile
export HISTSIZE=条数
3.2 登录时自动清空命令历史
vi ~/.bashrc echo "" >~/.bash_history
3.3 终端自动注销
vi /etc/profile
export TMOUT=时间
1、su命令用途及用法
- 用途:切换用户
- 格式:su - 目标用户名
2、密码验证
- root——>>任意用户,不验证密码
- 普通用户——>>其他用户,验证目标用户的密码
3、限制使用su命令的用户
将允许使用su命令的用户加入wheel组
启用pam_wheel认证模块
gpasswd -a lili wheel //添加授权用户zhangsan 到wheel组中 groups lili vim /etc/pam.d/su auth required pam_wheel.so use_uid //去掉此行开头的注释 //启用pam_wheel认证以后,未加入到wheel组内的其他用户将无法使用su命令
4、查看su操作日志
安全日志文件:/var/log/secure
1、su命令的安全隐患
- 默认情况下,任何用户都允许使用su命令,有机会反复尝试其他用户(如root)的登录密码,带来安全风险
- 为了加强su命令的使用控制,可借助于PAM认证模块,只允许极个别用户使用su命令进行切换
2、PAM(Pluggable Authentication Modules)可插拔式认证模块
- 是一种高效而且灵活便利的用户级别的认证方式
- 也是当前Linux服务器普遍使用的认证方式
3、PAM认证原理
- 一般遵循的顺序:Service(服务)→PAM(配置文件)→pam_*.so
- 首先要确定哪一项服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证文件(位于/lib64/security 下)进行安全认证
- 用户访问服务器时,服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
- 不同的应用程序所对应的PAM模块是不同的
4、PAM认证的构成
4.1 查看某个程序是否支持PAM认证,可以用Is命令
ls /etc/pam.d | grep su //查看su是否支持PAM模块认证
4.2 查看su的PAM配置文件∶ cat /etc/pam.d/su
- 每一行都是一个独立的认证过程
- 每一行可以区分为三个字段
- 认证类型
- 控制类型
- PAM模块及其参数
第一列:代表PAM认证模块类型
auth∶ 对用户身份进行识别,如提示输入密码,判断是否为root。
account∶ 对账号各项属性进行检查,如是否允许登录系统,帐号是否已经过期,是否达到最大用 户数等。
password∶ 使用用户信息来更新数据,如修改用户密码。
session∶ 定义登录前以及退出后所要进行的会话操作管理,如登录连接信息,用户数据的打开和关闭,挂载文件系统。
第二列:代表PAM控制标记
reguired∶ 表示需要返回一个成功值, 如果返回失败,不会立亥将失败结果返回,而是继续进行同类型的下一一验证,所有此类型的模块都执行完成后,再返回失败。
requisite∶ 与required类似,但如果此模块返回失败,则立刻返回失败并表示此类型失败。
sufficient∶ 如果此模块返回成功,则直接向程序返回成功,表示此类成功, 如果失败, 也不影响这类型的返回值。
optional∶不进行成功与否的返回,一般不用于验证,只是显示信息(通常用于 session 类型)。
include∶ 表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth(主要负责用户登录系统的认证工.作)来实现认证而不需要重新逐一去写配置项。
第三列:代表PAM模块,默认是在/1ib64/security/ 目录下,如果不在此默认路径下, 要填写相对路径。
同一个模块,可以出现在不同的模块类型中,它在不同的类型中所执行的操作都不相同,这是由于每个模块针对不同的模块类型编制了不同的执行函数。
第四列:代表PAM模块的参数,这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个,之间用空格分隔开。
5、PAM安全认证流程
5.1 控制类型也称做Control Flags,用于PAM验证类型的返回结果
- required验证失败时仍然继续,但返回Fail
- requisite验证失败则立即结束整个验证过程,返回Fail
- sufficient验证成功则立即返回,不再继续,否则忽略结果并继续
- optional不用于验证,只显示信息(通常用于session类型)
- 用途:以其他用户身份(如root)执行授权的命令
- 用法:sudo 授权命令
2、配置sudo授权
- visudo或者vi /etc/sudoers
- 记录格式:用户 主机名=命令程序列表
注:带有感叹号的意思为 不可以执行这个操作
//使用关键字User_ Alias、Host_ Alias、Cmnd_ Alias 来进行设置别名( 别名必须为大写) User_Alias USERS=Tom, Jerry, Mike Host_Alias HOSTS=localhost, bogon Cmnd_Alias CMNDS=/ sbin/ ifconfig, /usr/ sbin/useradd,/usr/sbin/ userdel USERS HOSTS=CMNDS USERS HOSTS=NOPASSWD:CMNDS //执行过程不需要验证密码
3、查看sudo操作记录
cat /var/log/sudo
4、查看授权的sudo操作
sudo -l
注:初次使用sudo时需验证当前用户的密码,默认超时时长为5分钟,在此期间不再重复验证密码
1、调整BIOS引导设置
- 将第一引导设备设为当前系统所在硬盘
- 禁止从其他设备(光盘、U盘、网络)引导系统
- 将安全级别设为setup,并设置管理员密码
2、GRUB限制
- 使用grub2-mkpasswd-pbkdf2生成密钥
- 修改/etc/grub.d/00_header文件中,添加密码记录
- 生成新的grub.cfg配置文件
限制更改GRUB 引导参数
通常情况下在系统开机进入GRUB菜单时,按 e 键可以查看并修改GRUB引导参数,这对服务器是–个极大的威胁
可以为GRUB菜单设置一个密码,只有提供正确的密码才被允许修改引导参数
grub2 -mkpasswd-pbkdf2 //根据提示设置GRUB菜单的密码 PBKDF2 hash of your password is grub. pbkdf2... //省略部分内容为经过加密生成的密码字符串 cp /boot/grub2/grub.cfg /boot/grub2/grub. cfg .bak cp /etc/grub.d/00_ header /etc/grub.d/00_ header . bak vim /etc/grub.d/00_ header cat << EOF set superusers=" root " //设置用户名为root password_ pbkdf2 root grub . pbkdf2.... //设置密码,省略部分内容为经过加密生成的密码字符串 EOF grub2-mkconfig -o /boot/grub2/grub.cfg //生成新的 grub.cfg 文件 //重启系统进入GRUB菜单时,按e键将需要输入账号密码才能修改引导参数
1、限制root只在安全终端登录
vi /etc/securetty #tty5 //禁止root用户从终端tty5、tty6登录 #tty6
2、禁止普通用户登录
- 建立/etc/nologin文件
- 删除nologin文件或重启后即恢复正常
touch /etc/nologin //禁止普通用户登录 rm -rf /etc/nologin //取消上述登录限制
1、Joth the Ripper,简称为JR
- 一款密码分析工具,支持字典式的暴力破解
- 通过对shadow文件的口令分析,可以检测密码强度
- 官方网站:http∶//www.openwall.com/john/
2、安装JR工具
- 安装方法:make clean 系统类型
- 主程序文件为john
3、检测弱口令账号
- 获得Linux/Unix服务器的shadow文件
- 执行John程序,将shadow文件作为参数
4、密码文件的暴力破解
- 准备好密码字典文件,默认为password.lst
- 执行john程序,结合--wordlist=字典文件
cd /opt tar zxvf john-1.8.0.tar.gz //解压工具包 yum install -y gcc gcc-c++ make //安装软件编译工具 cd /opt/john-1.8.0/src //切换到src子目录 make clean linux-x86-64 //进行编译安装 cp /etc/shadow /opt/shadow.txt //准备待破解的密码文件 cd /opt/john-1.8.0/run ./john /opt/shadow.txt //执行暴力破解 ./john --show /opt/ shadow.txt //查看破解出的账户列表 //使用密码字典文件 > john.pot //清空已破解出的账户列表,以便重新分析 ./john --wordlist=. /password.lst /opt/shadow.txt //使用指定的字典文件进行破解
1、网络扫描NMAP
- nmap [扫描类型] [选项] <扫描目标...>
- 一款强大的网络扫描、安全检测工具
- 官方网站:http://nmap.org/
- CentOS 7.3光盘中安装包nmap-6.40-7.el7.x86_64.rpm
- NMAP是一个强大的端口扫描类安全测评工具,支持ping扫描、多端口检测等多种技术。
//安装 NMAP 软件包 rpm -qa | grep nmap yum install -y nmap
2、nmap命令常用的选项和扫描类型
- -p∶ 指定扫描的端口。
- -n∶ 禁用反向DNS 解析(以加快扫描速度)。
- -sS∶TCP的SYN扫描(半开扫描),只向目标发出SYN数据包,如果收到SYN/ACK响应包就认为目标端口正在监听,并立即断开连接;否则认为目标端口并未开放。
- -sT∶ TCP连接扫描,这是完整的TCP扫描方式(默认扫描类型),用来建立一个TCP连接,如果成功则认为目标端口正在监听服务,否则认为目标端口并未开放。
- -sF∶ TCP的FIN扫描,开放的端口会忽略这种数据包,关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤,而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
- -sU∶ UDP扫描,探测目标主机提供哪些UDP服务,UDP扫描的速度会比较慢。
- -sP∶ ICMP扫描,类似于ping检测,快速判断目标主机是否存活, 不做其他扫描。
- -P0∶跳过ping检测,这种方式认为所有的目标主机是存活的,当对方不响应ICMP请求时,使用这种方式可以避免因无法ping通而放弃扫描。
3、netstat命令常用选项
- -a∶ 显示主机中所有活动的网络连接信息(包括监听、非监听状态的服务端口)。
- -n∶ 以数字的形式显示相关的主机地址、端口等信息。
- -t∶ 查看TCP相关的信息。
- -u∶ 显示UDP协议相关的信息。
- -p∶ 显示与网络连接相关联的进程号、进程名称信息(该选项需要 root 权限)。
- -r∶ 显示路由表信息。
- -l∶ 显示处于监听状态的网络连接及端口信息。
netstat -natp //查看正在运行使用TCP协议的网络状态信息
netstat -naup //查看正在运行的使用UDP协议的网络状态信息
//分别查看本机开放的TCP端口、UDP端口 nmap -sT 127.0.0.1 nmap -sU 127.0.0.1
//检测192.168.80.0/24网段有哪些主机提供HTTP服务 nmap -p 80 192.168.80.0/24
//检测192.168.80.0/24网段有哪些存活主机 nmap -n -sP 192.168.80.0/24