Linux操作系统安全配置（一）

写在前面：

为了帮助大家快速掌握Linux中的知识点，特别整理了一套知识笔记，搭配思维导图帮助大家理解记忆，作为福利免费分享出来！

技术日新月异，不学习就是退步。

• 基础篇

Linux版本：

 

一、文件系统安全

文件系统简介

在Linux操作系统中，文件系统采用梳妆的层次的目录结构，最顶层是根目录，用“/”表示，往下延伸其各级子目录

 

目录	说明
/root	root 文件系统是文件系统的顶级目录。它必须包含在挂载其它文件系统前需要用来启动 Linux 系 统的全部文件。它必须包含需要用来启动剩余文件系统的全部可执行文件和库。文件系统启动以后， 所有其他文件系统作为 root 文件系统的子目录挂载到标准的、预定义好的挂载点上。
/bin	目录包含用户的可执行文件
/boot	包含启动linux系统所需要的静态引导程序和内核可执行文件以及配置文件
/dev	包含每一个链接到系统的硬件设备的设备文件，不是驱动，而是计算机上能够访问的设备
/etc	包含主机计算机的本地系统配置文件
/home	主目录存储用户文件，每一个用户都有一个位于/home目录中的子目录
/lib	包含启动系统所需要的共享库文件
/opt	可选文件
/sbin	系统二进制文件，用于系统管理的可执行文件
/tmp	临时目录
/var	可变数据文件存储，包括日志文件、mysql和其他的数据库文件
/usr	包含可共享、只读的文件，包括可执行的二进制文件和库等

查看文件属性 ls命令 

-a：列出指定目录下的所有文件和子目录（包括以“.”开头的隐含文件）。

-b：如果文件或目录名中有不可显示的字符时，显示该字符的八进制值。

-c：以文件状态信息的最后一次更新时间进行排序。

-d：如果是目录，则显示目录的属性而不是目录下的内容。

-g：与-l选项类似，但不显示文件或目录的所有者信息。

-G：与-l选项类似，但不显示文件或目录所有者的用户组信息。

-l：使用长格式显示文件或目录的详细属性信息。

-n：与-l选项类似，但以UID和GID代替文件或目录所有者和用户组信息。

-R：以递归方式显示目录下的各级子目录和文件。

路径操作（分绝对路径和相对路径）

cd : 进入指定路径

pwd：显示当前路径

mkdir：新建目录

rmdir：删除空目录

cp：复制文件

rm：删除文件

文件查看

head：先是文件前n行

tail：显示结尾n行

cat：查看文件（文件内容过长时不建议cat直接查看）

more：分页查看文件（文件内容过长时，建议采用more查看）

wc：统计文件行数

打包和压缩

tar:   打包命令,扩展名.tar

gzip： 压缩与解压缩命令，扩展名.gz

bzip2: 压缩与解压缩命令，扩展名.bz2

系统文件属性

第1部分：由10个字符组成，第一个字符用于标识文件的类型，其中“-”表示普通文件，d表示目录，l表示 链接文件，s表示套接字文件，p表示命名管道文件，c表示字符设备文件，b表示块设备文件。

第2部分：以冒号分隔，冒号前的是文件的所有者，冒号后为文件所有者的用户组。在图中，文件的所有者是 root，用户组也是root。

第3部分：表示文件的链接数 第4部分：以字节为单位的文件大小 第5、6、7部分：表示文件最后更新的时间 第8部分：文件名

文件类型 

Linux有4种基本文件系统类型：普通文件、目录文件、链接文件和特殊文件。通过ls-l命令可以返回文件 的相关属性，其中第一个字符就是用于标识文件的类型。

普通文件 

普通文件包括文本文件、程序代码文件、Shell脚本、二进制的可执行文件等，系统中的绝大部分文件都 属于这种类型。

目录文件 

目录是被作为一个文件来对待，其标识值为d。目录下可以包括文件和子目录。

链接文件 

链接文件其实是一个指向文件的指针，通过链接文件，用户访问的将会是指针所指向的文件。

特殊文件 

在Linux系统中有以下3种特殊文件。

套接字（socket）文件：通过套接字文件，可以实现网络通信。套接字文件的标识值为s。

命名管道文件：通过管道文件，可以实现进程间的通信。命名管道文件的标识值为p。

设备文件：Linux为每个设备分配一个设备文件，它们存放于/dev目录下，分字符设备文件和块设备文件。

其中，键盘、tty等属于字符设备，其标识值为c；内存、磁盘等属于块设备文件，标识值为b。

在Linux中的每一个文件或目录都有自己的访问权限，这些访问权限决定了谁能访问和如何访问这些文件和目录。

权限	文件	目录
r	可以查看文件的内容，可以使用cat、more、less等命令查看文件的内容	可以列出目录中的内容，可以使用ls命令列出目录内容
w	可以更改文件的内容，可以使用vi等文本编辑工具编辑文件的内容	可以在目录中添加删除文件， 可以使用mv、rm等命令对目录中的文件进行操作
x	可以执行文件，需要同时具有r的权限	可以进入目录，使用cd等命令

文件和目录权限

文件和目录权限模型的控制对象包括3种用户，分别为文件的所有者、用户组用户和其他用户。

文件所有者：文件所有者默认就是创建该文件的用户。

文件属组：属于该用户组中的所有用户，文件的属组默认就是文件所有者所属的用户组

其它用户：除上述两类用户以外的系统中的所有用户。

更改文件和目录的所有者

chown命令用于更改文件或者目录的所有者和属组，包括目录下的各级子目录和文件。命令格式如下：

Chown 【option】…[owner]:[group] file…

如果更改目录及其中各级子目录和文件的所有者和属性Chown –R root：users /test

字符方式实例：

Chmod u+x file1             为所有者添加file1文件的执行权限

Chmod g+w，o+w file1 file2     为属组和其它用户添加文件file1和file2的更改权限

Chmod a=rwx fiile1             设置所有用户对file1文件的权限为可读、可修改和可执行

Chmod o-w file1             取消其他用户对file1文件的可修改权限

Chmod o=1 file1             取消其他用户访问file1文件的所有权限

Chmod –R u+w dir1             为目录所有者添加对目录dir1的添加、删除文件权限

chown:更改属主、属组

chgrp：可以单独更改属组，不常用

设置文件和目录的默认权限

对于每个新创建的文件和目录，系统会为它们设置默认的访问权限。通过使用umask命令可以更改文件或目录的默认权限；

进程掩码的作用：

1）新建文件、新建目录的权限由系统默认权限和默认权限掩码共同确定。

2）Linux系统中目录的最大权限是777，文件的最大权限是666。

3）默认权限掩码告诉系统当创建一个文件或目录时不应该赋予哪些权限。

在Linux中，每个用户都有自己的umask值，所以可以通过为不同安全级别的用户设置不同的umask值， 来灵活控制用户的默认访问权限。用户每次登录系统，都必须先读取.bash_profile配置文件的内容并执行， 所以每次用户登录完成后，新的umask值都会立即生效。

为普通用户提权

在企业中往往需要让普通用户具备指定的权限，不会轻易把管理员权限随意赋予，所以为普通用户提权就特别重要。

使用sudo命令为普通用户提权，通过配置文件来限制用户的权限 ，让普通用户在执行指定的命令或程序时，拥有超级用户的权限。

sudo的工作过程如下：

1、当用户执行sudo时，系统会主动寻找/etc/sudoers文件，判断该用户是否有执行sudo的权限2、确认用户具有可执行sudo的权限后，让用户输入自己的密码确认

3、若密码输入成功，则开始执行sudo后续的命令

4、root执行sudo时不需要输入密码(因为sudoers文件中有配置root ALL=(ALL) ALL这样一条规则)

需求：

给普通用户agan提权,让普通用户可以查看root用户的家目录；普通用户可以使用useradd 命令，创建新用户，实例步骤：

1）useradd agan

2）visudo=vi打开/etc/sudoers文件 或 vim /etc/sudoers

3) 编辑文件的第98行，编辑完成后，wq! 强制保存退出root ALL=(ALL) ALL

agan ALL=(ALL) /bin/ls,/usr/sbin/useradd

备注：

第一个ALL：多个系统之间部署 sudo 环境时，该ALL代表所有主机。也可以换成相应的主机名，表示改规则只适用主机名对应的系统第二个ALL（即括号内的）：指出规定的 user 用户能够以何种身份来执行命令。该ALL表示user用户能够以任何用户的身份执行命令第三个ALL：表示能执行"命令表"，ALL表示用户能够执行系统中的所有命令。

使用agan 用户登录测试

sudo useradd u11 //可成功创建用户，证明提权成功

sudo ls /root //可查看root的家，证明提权成功

sudo -l //-l 参数是列出当前用户可执行的命令，但只有在sudoers文件里的用户才能使用该选项。

文本与文件查找

 

整理不易，转载请注明出处~