Linux系统安全及应用

摆烂的存在

已于 2024-04-24 00:58:15 修改

阅读量1k

点赞数 23

文章标签： linux 系统安全运维

于 2024-04-22 17:10:37 首次发布

本文链接：https://blog.csdn.net/2401_83784774/article/details/138063810

版权

（2）强制要求用户下一次登录时进行修改密码

一.基本安全操作

（一）账号安全管理

（1）锁定长期不使用的用户

passwd修改

passwd -l 用户名

usermod修改

usermod -L 用户名

（2）查看锁定账户状态

passwd -s 用户名

（3）禁止程序用户登录

usermod -s /sbin/nologin 用户名

usermod -s /bin/bash 用户名 #允许程序用户登录

（4）删除不用的用户

userdel -r 用户名 #-r代表连带家目录一起删除

（5）禁止账号和密码修改

chattr +i /etc/passwd #禁止账号修改；-i 取消禁止账号修改

chattr +i /etc/shadow #禁止密码修改；-i 取消禁止密码修改

（6）查看文件的状态

lsattr 文件名

（二）密码安全管理

（1）设置密码的有效期限

chage设置

chage -M 天数用户名 #天数设置99999代表密码永不过期

注意：chage设置密码有效期限只针对已经创建的用户

vi编辑器设置

vim /etc/login.defs

修改内容：PASS_MAX_DAYS 天数

注意：修改login.defs文件内容是针对新建的用户

（2）强制要求用户下一次登录时进行修改密码

chage -d 0 用户名

历史命令安全管理

（1）查看历史命令

history

（2）限制查看历史命令的数量

vim /etc/profile

修改内容：export HISTSIZE=XX

source /etc/profile #在当前shell环境中执行/etc/profile脚本文件

（3）清空历史命令

history 清空历史

history -c

注意：history 清空历史记录是临时的

vi编辑器清空历史

vim /etc/profile

~/.bash_history #加入 ~/.bash_history 命令，即可清空历史记录

二.su和sudo命令

（一）切换用户su

su - 用户名

（二）限制su切换用户

1.先将信任的用户加入到wheel组中

gpasswd wheel -a 用户名

2.修改su的PAM认证配置文件

vim /etc/pam.d/su

开启 auth required pam_wheel.so use_uid

注意：如果要求其他用户不可以使用su切换，可以直接修改此操作，达成要求

（三）sudo为用户增加权限

首先，使用 visudo vim /etc/sudoers 进入编辑器编辑命令；修改增加内容，格式为：用户名主机名=程序列表；修改完成之后，使用 wq! 强制保存

visudo vim /etc/sudoers

增加内容：

用户名主机名=程序列表 #给用户提权
%组名主机名=程序列表 #给组提权
用户名主机名=NOPASSWD: 程序列表 #NOPASSWD: 表示sudo不需要密码验证

注意：命令要用绝对路径表示，支持使用通配符 * 表示所有， ! 表示取反

三.系统引导和登录控制

（一）开关机安全控制

（1）调整BIOS引导设置

将当前系统所在硬盘设为第一引导设备
禁止光盘、U盘、网络引导系统
将安全级别设为setup，并设置管理员密码

（2）GRUB使用密码进入

使用 grub2-mkpasswd-pbkdf2 生成密钥修改
在 /etc/grub.d/00_header 文件中，添加密码记录
生成新的 grub.cfg 配置文件

（二）终端登录安全控制

（1）限制root只在安全终端登录

安全终端配置: /etc/securetty

（2）禁止普通用户登录

建立 /etc/nologin 文件
删除 nologin 文件或重启后即恢复正常

禁止普通用户登录 touch /etc/nologin

取消登录限制 rm -rf /etc/nologin

四.系统弱口令检测及端口扫描

（一）JR弱口令检测

一款密码分析工具，支持字典式的暴力破解
通过对shadow文件的口令分析，可以检测密码强度
官方双站:http://www.openwall.com/john/

（1）安装 JR 工具

使用 make clean 命令安装JR工具

make clean 系统类型

（2）检测弱口令账号

获得Linux/Unix服务器的shadow文件
执行john程序，将shadow文件作为参数

（3）密码文件的暴力破解

准备好密码字典文件，默认为 password.lst
执行 john 程序，结合 --wordlist= 字典文件

（二）端口扫描

一款强大的网络扫描、安全检测工具
官方网站:http://nmap.org/eCentOS 7.3光盘中安装包 nmap-6.40-7.el7.x86 64.rpm

（1）ENMAP

使用nmao命令扫描端口

nmap [扫描类型] [选项] <扫描目标 ..>

（2）常用的扫描类型

-sT、-sT、-sF、-sU、-SP、-P0
分别查看本机开放的TCP端口、UDP端口

nmap -sT127.0.0.1

nmap -sU 127.0.0.1

检测192.168.4.0/24网段有哪些主机提供FTP服务

nmap -p 21 192.168.4.0/24

检测192.168.4.0/24网段有哪些存活主机

nmap -n -sP 192.168.4.0/24