Linux系统安全配置的一些规则

1.设置口令最小长度和最短使用时间
口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为5，但为保证口令不易被猜测

攻击，可增加口令的最小长度，至少等于8。
修改文件/etc/login.defs中参数PASS_MIN_LEN。同时应限制口令使用时间，保证定期更换口令，修改参

数PASS_MIN_DAYS。
2.用户超时注销
编辑文件/etc/profile，在“HISTFILESIZE=”行的下一行增加如下一行：
TMOUT=600
则所有用户将在10分钟无操作后自动注销。
3.禁止访问重要文件
对于系统中的某些关键性文件如inetd.conf、services和lilo.conf等可修改其属性，防止意外修改和被

普通用户查看。
首先改变文件属性为600：
# chmod 600 /etc/inetd.conf
保证文件的属主为root，然后还可以将其设置为不能改变：
# chattr +i /etc/inetd.conf
这样，对该文件的任何改变都将被禁止。
只有root重新设置复位标志后才能进行修改：
# chattr -i /etc/inetd.conf
4.允许和禁止远程访问
在Linux中可通过/etc/hosts.allow 和/etc/hosts.deny 这2个文件允许和禁止远程主机对本地服务的访

问。通常的做法是：
（1）编辑hosts.deny文件，加入下列行：
# Deny access to everyone. ALL: ALL@ALL
则所有服务对所有外部主机禁止，除非由hosts.allow文件指明允许。
（2）编辑hosts.allow 文件，可加入下列行：
#Just an example: 　　ftp: 192.168.12.10 abc.com
则将允许IP地址为202.84.17.11和主机名为xinhuanet.com的机器作为Client访问FTP服务。
（3）设置完成后，可用tcpdchk检查设置是否正确。
5.禁止不必要的SUID程序
SUID可以使普通用户以root权限执行某个程序，因此应严格控制系统中的此类程序。
找出root所属的带s位的程序：
# find / -type f \（ -perm -04000 -o -perm -02000 \） -print 　less
禁止其中不必要的程序：
# chmod a-s program_name
6.取消不必要的服务
Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检

查/etc/inetd.conf文件，在不要的服务前加上“＃”号。
一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网

络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和

time等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻

找用户非常有用，但也给黑客提供了方便之门。例如，黑客可以利用finger服务查找用户的电话、使用目

录以及其他重要信息。可以将这些服务全部取消或部分取消，以增强系统的安全性。
Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的

端口。在Linux中有两种不同的服务型态：一种是仅在有需要时才执行的服务，如finger服务；另一种是

一直在执行的永不停顿的服务。这类服务在系统启动时就开始执行，因此不能靠修改inetd来停止其服务

，只能从修改/etc/rc.d/rc[n].d/文件或用Runleveleditor去修改它。提供文件服务的NFS服务器和提供

NNTP新闻服务的news都属于这类服务，如果没有必要，最好取消这些服务。
7.限制系统的出入
Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd

文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译

工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅

读该文件。
如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简

便的方法是采用插入式验证模块（PAM）。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证

机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。此外，PAM还有很

多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地

遭人破译；它可以设定每个用户使用电脑资源的上限；它甚至可以设定用户的上机时间和地点。
8.保持最新的系统核心
Kernel是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功

能。由于Kernel控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。
在设定Kernel的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使Kernel变得很大，既

占用系统资源，也给黑客留下可乘之机。
9.设定用户账号的安全等级
除密码之外，用户账号也有安全等级，这是因为在Linux上每个账号可以被赋予不同的权限，因此在建立

一个新用户ID时，系统管理员应该根据需要赋予该账号不同的权限，并且归并到不同的用户组中。
每个账号ID应该有专人负责。在企业中，如果负责某个ID的职员离职，管理员应立即从系统中删除该账号

。很多入侵事件都是借用了那些很久不用的账号。负责某个ID的职员离职，管理员应立即从系统中删除该

账号，，如果一定要从远程登录为root权限，最好是先以普通账号登录，然后利用su命令升级为超级用户

。
10.追踪黑客的踪迹
管理人员要经常提高警惕，随时注意各种可疑状况，并且按时检查各种系统日志文件，包括一般信息日志

、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常理的时间

记载。例如：
•正常用户在半夜三更登录；
•不正常的日志记录，比如日志只记录了一半就切断了，或者整个日志文件被删除了；
•用户从陌生的网址进入系统；
•因密码错误或用户账号错误被摈弃在外的日志记录，尤其是那些一再连续尝试进入失败，但却有一定模

式的试错法；
•非法使用或不正当使用超级用户权限su的指令；
•重新开机或重新启动各项服务的记录。
11.使用防火墙等其他安全工具，共同防御黑客入侵

具体操作方法：
     Linux下用户组安全设置
     chmod o-r /etc/passwd //让其他用户得不到passwd里的信息
     chmod o-r /etc/group //让其他用户得不到group里的信息
     chgrp apache /etc/passwd /etc/group //把passwd与group改为apache组
     权限设置
     cd /
     chmod o-r *
     cd /usr
     chmod o-r *
     cd /var
     chmod o-r *
     chmod Go-r /etc/httpd/conf
     chmod go-rx /etc/rc.d/init.d
     chmod o-r /etc/rc.d/init.d/* //去掉几个目录的列权限
     chmod go-rx /usr/bin/gcc
     chmod go-rx /usr/bin/g++
     chmod go-rx /usr/include //去掉glibc的其他用户的权限
    1、禁止使用Ping命令
    在命令行中输入如下命令： echo 1 > /proc/sys/net/ipv4/icmp_echo_igore_all
    如果想恢复使用ping命令，就可以输入 echo 0 > /proc/sys/net/ipv4/icmp_echo_igore_all
　　2、注意对系统及时备份
　　为了防止系统在使用的过程中发生以外情况而难以正常运行，我们应该对Linux完好的系统进行备份

。
　　3、改进登录服务器
　　将系统的登录服务器移到一个单独的机器中会增加系统的安全级别，使用一个更安全的登录服务器来

取代Linux自身的登录工具也可以进一步提高安全。在大的Linux网络中，最好使用一个单独的登录服务器

用于syslog服务。它必须是一个能够满足所有系统登录需求并且拥有足够的磁盘空间的服务器系统，在这

个系统上应该没有其它的服务运行。更安全的登录服务器会大大削弱入侵者透过登录系统窜改日志文件的

能力。
　　4、取消Root命令历史记录
    编辑/etc/profile文件，并在其中输入如下内容： HISTFILESIZE=0HISTSIZE=0
　　可以直接在命令行中输入如下命令： ln -s /dev/null ~/.bash_history
　　5、为关键分区建立只读属性
　　Linux的文件系统可以分成几个主要的分区，每个分区分别进行不同的配置和安装，一般情况下至少

要建立/、/usr/local、/var和 /home等分区。/usr可以安装成只读并且可以被认为是不可修改的。如

果/usr中有任何文件发生了改变，那么系统将立即发出安全报警。当然这不包括用户自己改变/usr中的内

容。/lib、/boot和/sbin的安装和设置也一样。在安装时应该尽量将它们设置为只读，并且对它们的文件

、目录和属性进行的任何修改都会导致系统报警。
　　当然将所有主要的分区都设置为只读是不可能的,有的分区如/var等，其自身的性质就决定了不能将

它们设置为只读，但应该不允许它具有执行权限。
　　6、杀掉攻击者的所有进程
　　假设我们从系统的日志文件中发现了一个用户从我们未知的主机登录，而且我们确定该用户在这台主

机上没有相应的帐号，这表明此时我们正在受到攻击。为了保证系统的安全被进一步破坏，我们应该马上

锁住指定的帐号，如果攻击者已经登录到指定的系统，我们应该马上断开主机与网络的物理连接。如有可

能，我们还要进一步查看此用户的历史记录，再仔细查看一下其他用户是否也已经被假冒，攻击者是否拥

有有限权限;最后应该杀掉此用户的所有进程，并把此主机的 IP地址掩码加入到文件hosts.deny中。
　　7、改进系统内部安全机制
　　改进Linux操作系统的内部功能来防止缓冲区溢出，提高了整个系统的安全性。但缓冲区溢出实施起

来是相当困难的，因为入侵者必须能够判断潜在的缓冲区溢出何时会出现以及它在内存中的什么位置出现

。缓冲区溢出预防起来也十分困难，系统管理员必须完全去掉缓冲区溢出存在的条件才能防止这种方式的

攻击。正因为如此，许多人甚至包括Linux Torvalds本人也认为这个安全Linux补丁十分重要，因为它防

止了所有使用缓冲区溢出的攻击。但是需要引起注意的是，这些补丁也会导致对执行栈的某些程序和库的

依赖问题，这些问题也给系统管理员带来的新的挑战。
　　8、对系统进行跟踪记录
　　启动日志文件，来记录系统的运行情况，当黑客在攻击系统时，它的蛛丝马迹都会被记录在日志文件

中的，因此有许多黑客在开始攻击系统时，往往首先通过修改系统的日志文件，来隐藏自己的行踪，为此

我们必须限制对/var/log文件的访问，禁止一般权限的用户去查看日志文件。当然，系统中内置的日志管

理程序功能可能不是太强，我们应该采用专门的日志程序，来观察那些可疑的多次连接尝试。另外，我们

还要小心保护好具有根权限的密码和用户，因为黑客一旦知道了这些具有根权限的帐号后，他们就可以修

改日志文件来隐藏其踪迹了。
　　9、使用专用程序来防范安全
　　通过专业程序来防范系统的安全，目前最典型的方法为设置陷井和设置蜜罐两种方法。所谓陷井就是

激活时能够触发报警事件的软件，而蜜罐(honey pot)程序是指设计来引诱有入侵企图者触发专门的报警

的陷井程序。通过设置陷井和蜜罐程序，一旦出现入侵事件系统可以很快发出报警。在许多大的网络中，

一般都设计有专门的陷井程序。陷井程序一般分为两种：一种是只发现入侵者而不对其采取报复行动，另

一种是同时采取报复行动。
　　10、将入侵消灭在萌芽状态
　　采用诸如Abacus Port Sentry这样专业的工具，来监视网络接口并且与防火墙交互操作，最终达到关

闭端口扫瞄攻击的目的。当发生正在进行的端口扫瞄时，Abacus Sentry可以迅速阻止它继续执行。但是

如果配置不当，它也可能允许敌意的外部者在你的系统中安装拒绝服务攻击。正确地使用这个软件将能够

有效地防止对端号大量的并行扫瞄并且阻止所有这样的入侵者。
　　11、严格管理好口令
    如果我们的口令选择不当，就很容易被黑客搜索到。因此，我们一定要选择一个确保不容易被搜索的

口令。另外，我们最好能安装一个口令过滤工具，并借用该工具来帮助自己检查设置的口令是否耐得住攻

击。

Linux安全配置步骤:
一、磁盘分区 
　　1、如果是新安装系统，对磁盘分区应考虑安全性： 
　  1）根目录（/）、用户目录（/home）、临时目录（/tmp）和/var目录应分开到不同的磁盘分区； 
　　2）以上各目录所在分区的磁盘空间大小应充分考虑，避免因某些原因造成分区空间用完而导致系统

崩溃； 
　　2、对于/tmp和/var目录所在分区，大多数情况下不需要有suid属性的程序，所以应为这些分区添加

nosuid属性； 
方法一：修改/etc/fstab文件，添加nosuid属性字。例如： 
/dev/hda2 /tmp ext2 exec,dev,nosuid,rw 0 0 
方法二：如果对/etc/fstab文件操作不熟，建议通过linuxconf程序来修改。 
运行linuxconf程序； 
选择"File systems"下的"Access local drive"； 
选择需要修改属性的磁盘分区； 
选择"No setuid programs allowed"选项； 
根据需要选择其它可选项； 
正常退出。（一般会提示重新mount该分区） 
二、安装 
    正式生产环境的机器，不应安装过多的软件包。这样可以降低因软件包而导致出现安全漏洞的可能性

。选择主机启动服务时不应选择非必需的服务。例如routed、ypbind等。 
三、安全配置与增强 
　　内核升级。
　　GNU libc共享库升级。（警告：如果没有经验，不可轻易尝试。可暂缓。） 
　　关闭危险的网络服务。echo、chargen、shell、login、finger、NFS、RPC等 
　　关闭非必需的网络服务。talk、ntalk、pop-2等 
　　常见网络服务安全配置与升级 
　　确保网络服务所使用版本为当前最新和最安全的版本。 
　　取消匿名FTP访问 
　　去除非必需的suid程序 
　　使用tcpwrapper 
　　使用iptables防火墙 
　　日志系统syslogd

　　一些细节： 
　　1.运行#more /var/log/secure 　 grep refused 去检查那些人对你的系统做telnet/ftp登录尝试
　　2. 限制具有SUID权限标志的程序数量，具有该权限标志的程序以root身份运行，是一个潜在的安全

漏洞，当然，有些程序是必须要具有该标志的，象passwd程序。  　　 
　　3. 用户口令 
　　5./etc/exports 文件。如果你使用NFS网络文件系统服务，那么确保你的/etc/exports具有最严格的

存取权限设置，不意味着不要使用任何通配符，不允许root写权限，mount成只读文件系统。编辑文

件/etc/exports并且加：例如： 
　　/dir/to/export host1.mydomain.com(ro,root_squash) 
　　/dir/to/export host2.mydomain.com(ro,root_squash) 
　　/dir/to/export 是你想输出的目录，host.mydomain.com是登录这个目录的机器名， 
　　ro意味着mount成只读系统，root_squash禁止root写入该目录。 
　　为了让上面的改变生效，运行/usr/sbin/exportfs -a
    6.确信/etc/inetd.conf的所有者是root，且文件权限设置为600 。

　　[root@deep]# chmod 600 /etc/inetd.conf 
　　ENSURE that the owner is root. 
　　[root@deep]# stat /etc/inetd.conf 
　　File: "/etc/inetd.conf" 
　　Size: 2869 Filetype: Regular File 
　　Mode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root) 
　　Device: 8,6 Inode: 18219 Links: 1 
　　Access: Wed Sep 22 16:24:16 1999(00000.00:10:44) 
　　Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16) 
　　Change:Mon Sep 20 10:22:44 1999(00002.06:12:16)

　　编辑/etc/inetd.conf禁止以下服务： 
　　ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, 
　　auth, etc. 除非你真的想用它。 
　　特别是禁止那些r命令.如果你用ssh/scp，那么你也可以禁止掉telnet/ftp。 
　　为了使改变生效，运行#killall -HUP inetd 
　　你也可以运行#chattr +i /etc/inetd.conf使该文件具有不可更改属性。 
　　只有root才能解开，用命令 
　　#chattr -i /etc/inetd.conf 
　　 
　　7. TCP_WRAPPERS 
　　默认地，Redhat Linux允许所有的请求,用TCP_WRAPPERS增强你的站点的安全性是举手 
　　之劳，你可以放入 
　　“ALL: ALL”到/etc/hosts.deny中禁止所有的请求，然后放那些明确允许的请求到 
　　/etc/hosts.allow中，如: 
　　sshd: 192.168.1.10/255.255.255.0 gate.openarch.com 
　　对IP地址192.168.1.10和主机名gate.openarch.com，允许通过ssh连接。 
　　配置完了之后，用tcpdchk检查 　　 
　　[root@deep]# tcpdchk 
　　tcpchk是TCP_Wrapper配置检查工具， 
　 它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。 　

　　8. 别名文件aliases

　　编辑别名文件/etc/aliases（也可能是/etc/mail/aliases)，移走/注释掉下面的行。 　　 
　　# Basic system aliases -- these MUST be present. 
　　MAILER-DAEMON: postmaster 
　　postmaster: root 
　　# General redirections for pseudo accounts. 
　　bin: root 
　　daemon: root 
　　#games: root ?remove or comment out. 
　　#ingres: root ?remove or comment out. 
　　nobody: root 
　　#system: root ?remove or comment out. 
　　#toor: root ?remove or comment out. 
　　#uucp: root ?remove or comment out. 
　　# Well-known aliases. 
　　#manager: root ?remove or comment out. 
　　#dumper: root ?remove or comment out. 
　　#operator: root ?remove or comment out. 
　　# trap decode to catch security attacks 
　　#decode: root 
　　# Person who should get root's mail 
　　#root: marc 
　　最后更新后不要忘记运行/usr/bin/newaliases，使改变生效。 
　　 
　　9.阻止你的系统响应任何从外部/内部来的ping请求。 
　　 既然没有人能ping通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一

行命令到/etc/rc.d/rc.local，以使每次启动后自动运行。 
　　echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all 
　 
　　10. 不要显示出操作系统和版本信息。

　　修改/etc/inetd.conf中的一行象下面这样：

　　telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

　　加-h标志在最后使得telnet后台不要显示系统信息，而仅仅显示login:

　　11.The /etc/host.conf file

　　编辑host.conf文件(vi /etc/host.conf)且加下面的行： 
　　# Lookup names via DNS first then fall back to /etc/hosts. 
　　order bind,hosts 
　　# We don't have machines with multiple IP addresses on the same card 
　　(like virtual server,IP Aliasing). 
　　multi off 
　　# Check for IP address spoofing. 
　　nospoof on 
　　IP Spoofing: IP-Spoofing is a security exploit that works by tricking 
　　computers in a trust relationship that you are someone that you really aren't. 
　　 
　　12. The /etc/securetty file 
　　该文件指定了允许root登录的tty设备，/etc/securetty被/bin/login程序读取,它的 
　　格式是一行一个被允许的名字列表，如你可以编辑/etc/securetty且注释出下面的行。 
　　tty1 
　　#tty2 
　　#tty3 
　　#tty4 
　　#tty5 
　　#tty6 
　　#tty7 
　　#tty8 
　　-意味着root仅仅被允许在tty1终端登录。 
　　 
　　13. 特别的帐号 
　　禁止所有默认的被操作系统本身启动的且不需要的帐号，当你第一次装上系统时就应该做此检查，

Linux提供了各种帐号，你可能不需要，如果你不需要这个帐号，就移走它，你有的帐号越多，就越容易

受到攻击。 
　　为删除你系统上的用户，用下面的命令： 
　　[root@deep]# userdel username 
    为删除你系统上的组用户帐号，用下面的命令： 
    [root@deep]# groupdel username 
    在终端上打入下面的命令删掉下面的用户。 
　　[root@deep]# userdel adm 
　　[root@deep]# userdel lp 
　　[root@deep]# userdel sync 
　　[root@deep]# userdel shutdown 
　　[root@deep]# userdel halt 
　　[root@deep]# userdel mail 
　　如果你不用sendmail服务器，procmail.mailx,就删除这个帐号。 
　　[root@deep]# userdel news 
　　[root@deep]# userdel uucp 
　　[root@deep]# userdel operator 
　　[root@deep]# userdel games 
　　如果你不用X windows 服务器，就删掉这个帐号。 
　　[root@deep]# userdel gopher 
　　[root@deep]# userdel ftp 
　　如果你不允许匿名FTP，就删掉这个用户帐号。 
　　=== 
　　 打入下面的命令删除组帐号 
　　[root@deep]# groupdel adm 
　　[root@deep]# groupdel lp 
　　[root@deep]# groupdel mail 
　　如不用Sendmail服务器，删除这个组帐号 
　　[root@deep]# groupdel news 
　　[root@deep]# groupdel uucp 
　　[root@deep]# groupdel games 
　　如你不用X Windows，删除这个组帐号 
　　[root@deep]# groupdel dip 
　　[root@deep]# groupdel pppusers 
　　[root@deep]# groupdel popusers 
　　如果你不用POP服务器，删除这个组帐号 
　　[root@deep]# groupdel slipusers 
　　==== 
　　用下面的命令加需要的用户帐号 
　　[root@deep]# useradd username 
　　用下面的命令改变用户口令 
　　[root@deep]# passwd username 
　　 
　　用chattr命令给下面的文件加上不可更改属性。 
　　[root@deep]# chattr +i /etc/passwd 
　　[root@deep]# chattr +i /etc/shadow 
　　[root@deep]# chattr +i /etc/group 
　　[root@deep]# chattr +i /etc/gshadow 
　　 
　　14. 阻止任何人su作为root. 
　　如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行： 
　　 
　　auth sufficient /lib/security/pam_rootok.so debug 
　　auth required /lib/security/pam_wheel.so group=isd 
　　 
　　意味着仅仅isd组的用户可以su作为root. 
　　然后，如果你希望用户admin能su作为root.就运行下面的命令。 
　　[root@deep]# usermod -G10 admin

　　16. 资源限制 
　　 对你的系统上所有的用户设置资源限制可以防止DoS类型攻击（denial of service attacks） 
　　如最大进程数，内存数量等。例如，对所有用户的限制象下面这样： 
　　编辑/etc/security/limits.con加： 
　　* hard core 0 
　　* hard rss 5000 
　　* hard nproc 20 
　　你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。 
　　session required /lib/security/pam_limits.so 
　　 
　　上面的命令禁止core files“core 0”，限制进程数为“nproc 50“，且限制内存使用 
　　为5M“rss 5000”。 
　　 
　　17. The /etc/lilo.conf file 
　　 
　　a) Add: restricted 
　　加这一行到每一个引导映像下面，就这表明如果你引导时用(linux single),则需要一个password. 
　　 
　　b) Add: password=some_password 
　　当与restricted联合用，且正常引导时，需要用户输入密码，你也要确保lilo.conf 
　　文件不能被不属于root的用户可读，也免看到密码明文。下面是例子： 
　　编辑/etc/lilo.conf加： 
　　==== 
　　boot=/dev/sda 
　　map=/boot/map 
　　install=/boot/boot.b 
　　prompt 
　　timeout=50 
　　Default=linux 
　　restricted ?add this line. 
　　password=some_password ?add this line. 
　　image=/boot/vmlinuz-2.2.12-20 
　　label=linux 
　　initrd=/boot/initrd-2.2.12-10.img 
　　root=/dev/sda6 
　　read-only 
　　[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读). 
　　[root@deep]# /sbin/lilo -v (更新lilo配置). 
　　[root@deep]# chattr +i /etc/lilo.conf（阻止该文件被修改） 
　　 
　　18. 禁止 Control-Alt-Delete 重启动机器命令  
　　[root@deep]# vi /etc/inittab 
　　ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
　　To 
　　#ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
　　[root@deep]# /sbin/init q 
　　 
　　19. 重新设置/etc/rc.d/init.d/目录下所有文件的许可权限 
　　[root@deep]# chmod -R 700 /etc/rc.d/init.d/* 
　　仅仅root可以读，写，执行上述所有script file. 
　　 
　　20. The /etc/rc.d/rc.local file 
　　默认地，当你login到linux server时，它告诉你linux版本名，内核版本名和服务器 
　　主机名。它给了你太多的信息，如果你就希望得到提示login: ,编辑 
　　/etc/rc.d/rc.local放#在下面的行前面： 
　　-- 
　　# This will overwrite /etc/issue at every boot. So, make any changes you 
　　# want to make to /etc/issue here or you will lose them when you reboot. 
　　#echo "" > /etc/issue 
　　#echo "$R" >> /etc/issue 
　　#echo "Kernel $(uname -r) on $a $(uname -m)" >> /etc/issue 
　　# 
　　#cp -f /etc/issue /etc/issue.NET 
　　#echo >> /etc/issue 
　　-- 
　　然后，做下面的事情: 
　　[root@deep]# rm -f /etc/issue 
　　[root@deep]# rm -f /etc/issue.Net 
　　[root@deep]# touch /etc/issue 
　　[root@deep]# touch /etc/issue.net
    21. 被root拥有的程序的位。

　　移走那些被root拥有程序的s位标志，当然有些程序需要这个，用命令‘chmod a-s’完成这个。

　　注：前面带（*）号的那些程序一般不需要拥有s位标志。

　　[root@deep]# find / -type f  −perm−04000−o−perm−02000  \-exec ls –lg {} \; 
　  -rwsr-xr-x 1 root root 33120 Mar 21 1999 /usr/bin/at 
　　*-rwsr-xr-x 1 root root 30560 Apr 15 20:03 /usr/bin/chage 
　　*-rwsr-xr-x 1 root root 29492 Apr 15 20:03 /usr/bin/gpasswd 
　　-rwsr-xr-x 1 root root 3208 Mar 22 1999 /usr/bin/disable-paste 
　　-rwxr-sr-x 1 root man 32320 Apr 9 1999 /usr/bin/man 
　　-r-s--x--x 1 root root 10704 Apr 14 17:21 /usr/bin/passwd 
　　-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/suidperl 
　　-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/sperl5.00503 
　　-rwxr-sr-x 1 root mail 11432 Apr 6 1999 /usr/bin/lockfile 
　　-rwsr-sr-x 1 root mail 64468 Apr 6 1999 /usr/bin/procmail 
　　-rwsr-xr-x 1 root root 21848 Aug 27 11:06 /usr/bin/crontab 
　　-rwxr-sr-x 1 root slocate 15032 Apr 19 14:55 /usr/bin/slocate 
　　*-r-xr-sr-x 1 root tty 6212 Apr 17 11:29 /usr/bin/wall 
　　*-rws--x--x 1 root root 14088 Apr 17 12:57 /usr/bin/chfn 
　　*-rws--x--x 1 root root 13800 Apr 17 12:57 /usr/bin/chsh 
　　*-rws--x--x 1 root root 5576 Apr 17 12:57 /usr/bin/newgrp 
　　*-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write 
　　-rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger 
　　-rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter 
　　*-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl 
　　*-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute 
　　-rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail 
　　-rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown 
　　-rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su 
　　*-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/ount 
　　*-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount 
　　*-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping 
　　-rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login 
　　*-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport 
　　-r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd 
　　[root@deep]# chmod a-s /usr/bin/chage 
　　[root@deep]# chmod a-s /usr/bin/gpasswd 
　　[root@deep]# chmod a-s /usr/bin/wall 
　　[root@deep]# chmod a-s /usr/bin/chfn 
　　[root@deep]# chmod a-s /usr/bin/chsh 
　　[root@deep]# chmod a-s /usr/bin/newgrp 
　　[root@deep]# chmod a-s /usr/bin/write 
　　[root@deep]# chmod a-s /usr/sbin/usernetctl 
　　[root@deep]# chmod a-s /usr/sbin/traceroute 
　　[root@deep]# chmod a-s /bin/mount 
　　[root@deep]# chmod a-s /bin/umount 
　　[root@deep]# chmod a-s /bin/ping 
　　[root@deep]# chmod a-s /sbin/netreport

　　你可以用下面的命令查找所有带s位标志的序： 
　　[root@deep]# find / -type f  −perm−04000−o−perm−02000  \-exec ls -lg {} \; 
　　> suid-sgid-results 
　　把结果输出到文件suid-sgid-results中。 
　　 
　　为了查找所有可写的文件和目录，用下面的命令： 
　　[root@deep]# find / -type f  −perm−2−o−perm−20  -exec ls -lg {} \; > ww-files-

results 
　　[root@deep]# find / -type d  −perm−2−o−perm−20  -exec ls -ldg {} \; > ww-

directories-results 
　　 
　　用下面的命令查找没有拥有者的文件： 
　　[root@deep]# find / -nouser -o -nogroup > unowed-results 
　　 
　　用下面的命令查找所有的.rhosts文件： 
　　[root@deep]# find /home -name .rhosts > rhost-results 
　　

　　安全守则

　　1. 废除系统所有默认的帐号和密码。 
　　2. 在用户合法性得到验证前不要显示公司题头、在线帮助以及其它信息。 
　　3. 废除“黑客”可以攻击系统的网络服务。 
　　4. 使用6到8位的字母数字式密码。 
　　5. 限制用户尝试登录到系统的次数。 
　　6. 记录违反安全性的情况并对安全记录进行复查。 
　　7. 对于重要信息，上网传输前要先进行加密。 
　　8. 重视专家提出的建议，安装他们推荐的系统“补丁”。 
　　9. 限制不需密码即可访问的主机文件。 
　　10.修改网络配置文件，以便将来自外部的TCP连接限制到最少数量的端口。不允许诸如

tftp,sunrpc,printer,rlogin或rexec之类的协议。 
　　11.用upas代替sendmail。sendmail有太多已知漏洞，很难修补完全。 
　　12.去掉对操作并非至关重要又极少使用的程序。 
　　13.使用chmod将所有系统目录变更为711模式。这样，攻击者们将无法看到它们当中有什么东西，而

用户仍可执行。 
　　14.只要可能，就将磁盘安装为只读模式。其实，仅有少数目录需读写状态。 
　　15.将系统软件升级为最新版本。老版本可能已被研究并被成功攻击，最新版本一般包括了这些问题

的补救。