Linux系统安全，系统账户清理，锁定解锁账户

一、系统安全检查
1、系统账户清理
1）禁用不常用的账户
防止用户身份被冒充
2）设置密码满足复杂性
满足四分之三原则
长度不低于七位
3）定期修改密码
防止密码被暴力破解
4）删除不常用的用户
禁用或者删除不用的用户
增强安全性
5）设置管理服务账户禁止系统登陆
防止权限过大发生误操作
2、系统账户清理管理
1）禁用账户密码配置文件
[root@centos01~]#chattr +i /etc/passwd /etc/shadow

2）查看锁定的账户密码配置文件
[root@centos01~]#lsattr /etc/passwd /etc/shadow

3）解锁账户和密码配置文件
[root@centos01~]#chattr -i /etc/passwd /etc/shadow

3、锁定账户和解锁账户
1）锁定账户bob
[root@centos01~]#usermod -L bob
[root@centos01 ~]# passwd -S bob
2）解锁用户账户
[root@centos01~]#usermod -U bob
3）使用passwd锁定账户
[root@centos01~]#passwd -l bob

4、配置密码过期时间
1）设置密码过期时间10天
[root@centos01~]#chage -d 10 bob
[root@centos01 ~]# cat /etc/shadow

2）设置下次登陆更改密码
[root@centos01~]#chage -d 0 bob

5、配置记录历史命令重启清空命令历史记录
1）设置记录10条命令
[root@centos01~]#export HISTSIZE=10
2）重新或者注销清空历史命令
[root@centos01~]#vi ~/ .bash_logout
history -c
clear

3）终端600秒无人操作注销
[root@centos01~]#export TMOUT=600

二、su和sudo命令
1、su命令
1）su命令的作用
切换用户使用
2）su命令的特点
普通用户向其他用户切换需要输入密码
root切换其他账户不需要面膜验证
2、su命令的基本使用
1）su切换到管理员
[boot@centos01~]$ su -

2）普通用户切换到root
[boot@centos01 root] KaTeX parse error: Expected 'EOF', got '#' at position 44: …root@centos01~]#̲su bob 4）普通用户切… su
3、允许bob用户使用su命令
1）将用户加入到组
[root@centos01~]#gpasswd -a bob wheel

2）配置su的pam验证
[root@centos01~]#vi /etc/pam.d/su
auth sufficient pam_rootok.so
auth required pam_wheel.so use_uid

创建新的用户tom验证
[root@centos01 ~]# useradd tom
[root@centos01 ~]# passwd tom
[tom@centos01 ~]$ su – root

4、sudo的应用
1）sudo的作用
限制特定用户用于管理员权限执行管理员特定的命令
2）sudo的格式
用户：用户名，组需要加%号组名
计算机：localhost
授权使用命令：授权多个命令使用,号
3）配置授权bob用户修改IP地址
[root@centos01~]#vim /etc/sudoers
bob localhost=/sbin/ifconfig
:wq！
4）bob账户修改IP地址
[bob@centos01~]$ sudo ifconfig ens32 192.168.100.20 255.255.255.0

三、Linux系统开关机控制
1、Linux开关机控制类型
1）设置BIOS启动和BISO密码
防止启动被调用
增强物理安全
2）关闭重新启动计算机按键
Ctrl+alt+del
3）防止修改grub引导菜单
grub设置引导密码

更改BIOS启动方式，给BIOS设置密码，重启计算机按F2进入BIOS

按F10保存

再次进入BIOS需要使用密码

2、设置grub引导菜单密码
1）设置生成grub引导菜单密码
[root@centos01~]#grub2-mkpasswd-pbkdf2

2）备份引导菜单
[root@centos01~]#cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
[root@centos01~]#cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
3）修改grub引导菜单加载密码
[root@centos01~]#vim /etc/grub.d/00_header
cat << EOF
set superusers=“root”
password_pbkdf2 root 加密算法
EOF
4）生成grub引导菜单
[root@centos01~]#grub2-mkconfig -o /boot/grub2/grub.cfg

重启计算机按E验证

3、禁用ctrl+alt+del键
1）禁用ctrl+alt+del
[root@centos01~]#systemctl mask ctrl-alt-del.target
2）重新加载服务
[root@centos01~]#systemctl daemon-reload
4、限制用户登陆tty终端
[root@centos01~]#vim /etc/securetty
#tty3
#tty4
5、弱口令扫描JR
1）编译jr
[root@centos01~]#cd /usr/src/john-1.8.0/src/
[root@centos01 src]#make clean linux-x86-64
2）暴力破解密码文件
[root@centos01~]#cp /etc/shadow ./shadow.txt
[root@centos01~]#/usr/src/john-1.8.0/run/john ./shadow.txt

6、nmap使用
1）nmap的作用
是Linux系统平台的扫描工具
2）nmap常见的选项
-sS半关闭服务
-sT扫描TCP协议
-sU扫描UDP
-Sp扫描ICMP
-P0跳过ICMP检查

安装nmap工具
[root@centos01 ~]# yum -y install nmap
3）扫描TCP端口
[root@centos01~]#nmap 192.168.100.10

4）扫描特定端口
[root@centos01~]#nmap -p 20,22 192.168.100.10

5）扫描网段端口
[root@centos01~]#nmap -p 20,22 192.168.100.10/24

6）扫描网段范围
[root@centos01~]#nmap -p 20,22 192.168.100.10-200