分类导航
程序笔记程序问答

系统安全及应用

程序笔记   发布时间：2022-07-20  发布网站：大佬教程  code.js-code.com
大佬教程收集整理的这篇文章主要介绍了系统安全及应用，大佬教程大佬觉得挺不错的，现在分享给大家，也给大家做个参考。

结构

账号安全控制

系统引导和登录控制

弱口令检测

端口扫描

 

 

账号安全基本措施

系统账号清理

将非登录用户的SHell设为/sbin/nologin
usermod -s /sbin/nologin用户名
 
锁定长期不使用的账号
usermod -L 用户名
passwd -l 用户名
passwd -S 用户名
 
删除无用的账号
userdel [-r] 用户名
 
锁定账号文件passwd, shadow
chattr +i /etc/passwd /etc/shadow
Isattr /etc/passwd /etc/shadow #锁定文件并查看状态
chattr -i/etc/passwd /etc/shadow #解锁文件

锁定状态下的文件无法被修改

 

账号安全基本措施

密码安全控制

  • 设置密码有期
  • 要求用户下次登录时修改密码

系统安全及应用

[root@localhost ~]# vi /etc/login.defs      ####修改密码配置文件，适用于新建用户
……
PASS_MAX_DAYS 30
[root@localhost ~]# chage -M 30 lisi
[root@localhost ~]# cat /etc/shadow | grep lis

[root@localhost ~]# chage -d 0 zhangsan     ####强制在下次登录时更改密码，文件中的第三个字段被修改为0[root@localhost ~]# cat /etc/shadow | grep zhangsan shadow

账号安全基本措施

命令历史限制

  • 减少记录的命令条数
  • 登录时自动清空命令历史
[root@localhost ~]# vi /etc/profile 
export HISTSIZE=200                  ####将命令条数设置为200条
[root@localhost ~]# source /etc/profile
[root@localhost ~]# vi ~/.bashrc 
echo " " > ~/.bash_history           ####登陆时自动清空历史命令，> ~/.bash_history 效果相同

终端自动注销

[root@localhost ~]# vi /etc/profile
……
export TMOUT=600                     ####闲置600秒自动注销
[root@localhost ~]# source /etc/profile

系统安全及应用

系统安全及应用

使用su命令切换用户

用途及用法

  • 用途: Substitute User,切换用户
  • 格式：
su -目标用户

密码验证

  • root →任意用户,不验证密码
  • 普通用户 →其他用户,验证目标用户的密码
[jerry@localhost ~]$ su -root    ####带-选项表示将使用目标用户的登录SHell环境
口令：
[root@localhost ~]# whoami
root

 

限制使用su命令的用户

  • 将允许使用su命令的用户加入wheel组
  • 启用pam_wheel认证模块
[root@localhost ~]# gpasswd -a tsengyia wheel
tsengyia
####正在将用户"tsengyia"加入到"wheel"组中

查看su操作记录

安全日志文件：/var/log/secure

 

系统安全及应用

 

Linux中的PAM安全认证

su命令的安全隐患

  • 默认情况下,任何用户都允许使用su命令, 有机会反复尝试其他用户(如root)的登录密码,带来安全风险
  • 为了加强su命令的使用控制,可借助于PAM认证模块,只允许极个别用户使用su命令进行切换

PAM(Pluggable Authentication Modules)可插拔式认证模块

  • 是一种高效而且灵活便利的用户级别的认证方式
  • 也是当前Linux服务器普遍使用的认证方式

 

PAM认证原理

Linux-PAM，是linux可插拔认证模块,是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。

PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放置在/lib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的。

PAM认证原理:

1.PAM认证一般遵循的顺序: service (服务)--> PAM (配置文件)--> pam*.so

2.PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于7etc/pam.d下)，最后调用认证模块(位于/lib64/security/下)进行安全认证。

3.用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。

如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看/etc/pam.d/

PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用。

 

一般遵循的顺序

  • service (服务) →PAM (配置文件)→pam_*so

首先要确定哪一项服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证文件(位于/lib64/security下)进行安全认证

用户访问服务器时,服务器的某一个服务程序把用户的请求发送到PAM模块进行认证

不同的应用程序所对应的PAM模块是不同的

 

PAM认证的构成

查看某个程序是否支持PAM认证,可以用Is命令

  • 示例: 查看su是否支持PAM模块认证
ls /etc/pam.d | grep su

 

系统安全及应用

查看su的PAM配置文件: cat /etc/pam.d/su

系统安全及应用

第一列代表PAM认证模块类型

auth: 对用户身份进行识别,如提示输入密码,判断是否为root.
account: 对账号各项属性进行检查,如是否允许登录系统,帐号是否已经过期,是否达到最大用户数等
password: 使用用户信息来更新数据,如修改用户密码。
session: 定义登录前以及退出后所要进行的会话操作管理,如登录连接信息,用户数据的打开和关闭,挂载文件系统。

第二列代表PAM控制标记

required: 表示需要返回一个成功值,如果返回失败,不会立刻将失败结果返回,而是继续进行同类型的下一验证,所有此类型的模块都执行完成后,再返回失败

requisite: 与required类似,但如果此模块返回失败,则立刻返回失败并表示此类型失败。
sufficient: 如果此模块返回成功,则直接向程序返回成功,表示此类成功,如果失败,也不影响这类型的返回值
optional: 不进行成功与否的返回,一般不用于验证,只是显示信息(通常用于session类型)

include: 表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth (主要负责用户登录系统的认证工作)来实现认证而不需要重新逐一去写配置项

第三列代表PAM模块,默认是在/lib64/security/目录下,如果不在此默认路径下,要填写绝对路径

同一个模块,可以出现在不同的模块类型中,它在不同的类型中所执行的操作都不相同,这是由于每个模块针对不同的模块类型编制了不同的执行函数。

第四列代表PAM模块的参数,这个需要根据所使用的模块来添加.

传递给模块的参数。参数可以有多个,之间用空格分隔开

　　

PAM安全认证流程

控制类型也称做Control Flags,用于PAM验证类型的返回结果

@H_489_312@

 

 

 

1.required验证失败时仍然继续,但返回Fail

2.requisite验证失败则立即结束整个验证过程,返回Fail

3.sufficient验证成功则立即返回,不再继续,否则忽略结果并继续

4.optional不用于验证,只显示信息(通常用于session类型)

 
      用户1 用户2 用户3 用户4
auth required 模块1 pass fail pass pass
auth sufficient 模块2 pass pass fail pass
auth required 模块3 pass pass pass fail
    结果 pass fail pass pass
 
 
 
 

使用sudo机制提升权限

su命令的缺点

  • 默认情况下,任何用户都允许使用su命令, 有机会反复尝试其他用户(如root)的登录密码,带来安全风险

sudo命令的用途及用法

  • 用途：以其他用户身份(如root)执行授权的命令
  • 用法：sudo 授权命令

 配置sudo授权

visudo 或者 vi /etc/sudoers
记录格式：用户    主机名=命令程序

系统安全及应用

系统安全及应用

vi /etc/sudoers (此文件的默认权限为440,保存退出时必须执行":wq!"命令来强制操作)

语法格式:

用户 主机名=命令程序列表

用户 主机名=(用户) 命令程序列表

  • 用户: 直接授权指定的用户名,或采用"%组名"的形式(授权一个组的所有用户)。
  • 主机名: 使用此规则的主机名。没配置过主机名时可用localhost,有配过主机名则用实际的主机名, ALL则代表所有主机
  • (用户): 用户能够以何种身份来执行命令。此项可省略,缺省时以root用户的身份来运行命令
  • 命令程序列表: 允许授权的用户通过sudo方式执行的特权命令,需填写命令程序的完整路径,多个命令之间以逗号","进行分隔。ALL则代表系统中的所有命令

 示例：

Tom ALL=/sbin/ifconfig
jerry localhost=/sbin/*, !/sbin/reboot, !/sbin/poweroff     #通配符"*"表示所有、取反符号"!"表示排除
 
%wheel ALL=NOPASSWD: ALL                                     #表示wheel组成员无需验证密码即可使用sudo执行任何命令
@H_268_18@mike ALL=(root)NOPASSWD: /bin/kill, /usr/bin/killall
 
使用关键字@R_616_9004@Alias、Host_Alias、Cmnd_Alias来进行设置别名(别名必须为大写)
@R_616_9004@Alias USERS=Tom,jerry,Mike
Host_Alias HOSTS=localhost,bogon
Cmnd_Alias CMNDS=/sbin/ifconfig, /usr/sbin/useradd, /usr/sbin/userdel
USERS HOSTS=CMNDS                                               #调用
 

查看sudo操作记录

需启用Defaults logfile配置
启用sudo操作日志
  
[root@localhost ~]# visudo
Defaults logfile = "/var/log/sudo“　

启用日志配置以后，sudo操作过程才会被记录

系统安全及应用

 sudo -l 查看用户权限

系统安全及应用

 

开关机安全控制

调整BIOS引导设置

  • 将第一引导设备设为当前系统所在硬盘
  • 禁止从其他设备(光盘、U盘、网络)引导系统
  • 将安全级别设为setup,并设置管理员密码

GRUB限制

  • 使用grub2-mkpasswd-pbkdf2生成密钥
  • 修改/etc/grub.d/00-header文件中,添加密码记录
  • 生成新的grub.cfg配置文件

限制更改GRUB引导参数

通常情况下在系统开机进入GRUB菜单时,按e键可以查看并修改GRUB引导参数,这对服务器是一个极大的威胁。

可以为GRUB菜单设置一个密码,只有提供正确的密码才被允许修改引导参数。

 

grub2-mkpasswd-pbkdf2                  #根据提示设置GRUB菜单的密码
PBKDF2 hash of your password is grub.pbkdf2...                 #省略部分内容为经过加密生成的密码字符串
 
cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

系统安全及应用

 
vim /etc/grub.d/00_header
cat << EOF
set superusers="root" #设置用户名为root
password_pbkdf2 root grub.pbkdf2... #设置密码,省略部分内容为经过加密生成的密码字符串
EOF

系统安全及应用

 

grub2-mkconfig -o /boot/grub2/grub.cfg #生成新的grub.cfg文件

系统安全及应用

 
重启系统进入GRUB菜单时,按e键将需要输入账号密码才能修改引导参数。
 

终端登录安全控制

在Linux系统中, login程序会读取/etc/securetty文件,以决定允许root用户从哪些终端(安全终端)登录系统。

限制root只在安全终端登录

  • 安全终端配置: /etc/securetty
[root@localhost ~]# vi /etc/securetty
……
#tty5
#tty6

禁止普通用户登录

  • 建立/etc/nologin文件
  • 删除nologin文件或重启后即恢复正常
[root@localhost ~]# touch /etc/nologin   ###禁止普通用户登录
[root@localhost ~]# rm -f /etc/nologin   ###取消上述登录限制

 

系统弱口令检测

John the Ripper,简称为JR

  • 一款密码分析工具,支持字典式的暴力破解
  • 通过对shadow文件的口令分析,可以检测密码强度
  • 官方网站: http://www.openwall.com/john/

#解压工具包

cd /opt
tar zxf john-1.8.0.tar.gz　

#安装软件编译工具

yum install -y gcc gcc-c++ make　

#切换到src子目录

cd /opt/john-1.8.0/src

#进行编译安装

@H_457_24@make clean linux-x86-64

#准备待破解的密码文件

cp /etc/shadow /opt/shadow.txt　

#执行暴力破解

cd /opt/john-1.8.0/run
./john /opt/shadow.txt

#查看已破解出的账户列表

./john --show /opt/shadow. txt

#使用密码字典文件

> john.pot #清空已破解出的账户列表,以便重新分析
./john --wordlist=./password.lst /opt/shadow.txt #使用指定的字典文件进行破解

　　

网络端口扫描

NMAP是一个强大的端口扫描类安全评测工具,支持ping扫描、多端口检测等多种技术。

#安装NMAP软件包
rpm -ga I grep nmap
yum install -y nmap

　　

nmap命令常用的选项和扫描类型

-p:   指定扫描的端口。
-n:   禁用反向DNS解析(以加快扫描速度)。
-ss:  TCP的SYN扫描(半开扫描) ,只向目标发出SYN数据包,如果收到SYN/ACK响应包就认为目标端口正在监听,并立即断开连接;否则认为目标端口并未开放。
-ST:  TCP连接扫描,这是完整的TCP扫描方式(默认扫描类型) ,用来建立一个TCP连接,如果成功则认为目标端口正在监听服务,否则认为目标端口并未开放。
-SF:  TCP的FIN扫描,开放的端口会忽略这种数据包,关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤,而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
-sU:   UDP扫描,探测目标主机提供哪些UDP服务, UDP扫描的速度会比较慢。
-sP:   ICMP扫描,类似于ping检测,快速判断目标主机是否存活,不做其他扫描。
-PO:  跳过ping检测,这种方式认为所有的目标主机是存活的,当对方不响应ICMP请求时,使用这种方式可以避免因无法ping通而放弃扫描。
 

 netstat命令

netstat命令常用选项:

-a: 显示主机中所有活动的网络连接信息(包括监听、非监听状态的服务端口)
-n: 以数字的形式显示相关的主机地址、端口等信息。
-t: 查看TCP相关的信息。
-u: 显示UDP协议相关的信息。
-p: 显示与网络连接相关联的进程号、进程名称信息(该选项需要root权限)
-r: 显示路由表信息。
-l: 显示处于监听状态的网络连接及端口信息。
 

netstat -natp  查看正在运行的使用TCP协议的网络状态信息

系统安全及应用

 

 netstat -naup  查看正在运行的使用UDP协议的网络状态信息

 

系统安全及应用

其他示例:

#分别查看本机开放的TCP端口、UDP端口

nmap -sT 127.0.0.1
nmap -sU 127.0.0.1

#检测192.168.80.0/24网段有哪些主机提供http服务

nmap -p 80 192.168.80.0/24

#检测192.168.80.0/24网段有哪些存活主机

nmap -n -sP 192.168.80.0/24

 

 

总结

账号基本安全措施

  • 系统账号清理、密码安全控制、命令历史清理、自动注销

用户切换与提权

  • su, sudo

开关机安全控制

  • BIOS引导设置、GRUB菜单设置密码

终端控制

John the Ripper工具

пamp命令

 

大佬总结

以上是大佬教程为你收集整理的系统安全及应用全部内容，希望文章能够帮你解决系统安全及应用所遇到的程序开发问题。

如果觉得大佬教程网站内容还不错，欢迎将大佬教程推荐给程序员好友。

本图文内容来源于网友网络收集整理提供，作为学习参考使用，版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ：384754419，请注明来意。
标签：c++linuxlistloadmapphpshellvim参数安装工具程序员
猜你在找的程序笔记相关文章
其他相关热搜词更多
phpJavaPython程序员load中如何string使用参数jquery开发安装listlinuxiosandroid工具javascriptcap