linux安全配置

linux rpm tips

rpm -ivh xxx.i386.rpm (install)

rpm -e xxx (uninstall)

rpm -Uvh xxx.i386.rpm (update)

rpm -q xxx (query)

rpm -qi (query infomation)

rpm -ql (query & list file)

rpm --checksig xxx (check the 签名)

rpm -ivh --rebuild xxx.src.rpm (安装以原代码发布的rpm包)

 

安装完linux 需要卸载的软件包(无法选择不安装)

rpm -e softname

[pump/apmd/lsapnptools/redhat-logos/mt-st/kernel-pcmcia-cs/Setserial/redhat-release/

eject/kudzu/gd/raidtools/pciutils/mailcap/setconsols/gnupg]

(某些视情况而定)

终端使用颜色

vi /etc/profile

add:

#enable colour is

eval 'dircolors /etc/DIR_COLORS -b'

export LS_OPTIONS='-s -F -T 0 --color=yes'

:wq!

vi /etc/bashrc

add:

alias ls='ls --color=auto'

:wq!

# source /etc/profile /etc/bashrc

强制口令长度：

vi /etc/login.defs

PASS_MIN_LEN 5 -> PASS_MIN_LEN 8

日期

PASS_MAX_DAYS   99999

PASS_MIN_DAYS   0

 

禁止控制台访问

#!/bin/sh

cd /etc/pam.d

for i in *;

do

 sed '/[^#].*pam_console.so/s/^/#/' <$i> foo && mv foo $i

done

 

配置inetd

建议先禁止所有服务

然后保证inetd.conf不可改变

chattr +i /etc/inetd.conf

 

配置简单的访问规则

先编辑

/etc/hosts.deny

加入：ALL:ALL@ALL 禁止所有访问 (可以加上PARANOID参数，进行域名解析)

再编辑 /etc/hosts.allow

加上允许远程登陆的ip

daemon:ip or hostname

然后运行 tcpdchk 命令来配置TCP_WAPPERS。

编辑/etc/aliases

注释decode

运行 /usr/bin/newaliases 使配置生效

sendmail 配置

编辑 /etc/sendmail.cf  使之无法用expn,vrfy来刺探系统用户名

把

O PrivacyOptions=autwarnings

改为

O PrivacyOptions=authwarnings,noexpn,novrfy (或者改为 O PrivacyOptions=goaway 同样效果)

编辑 /etc/sendmail.cf  修改回显banner

O SmtpGreetingMessage=$j Sendmail $v/$Z; $b NO UCE C=CN L=SZ

O SmtpGreetingMessage=mail sever; $b NO UCE C=CN L=SZ

 

使ping无响应

添加 "echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all"到/etc/rc.d/rc.local

1表示关闭ping echo

0表示启用ping echo

不显示系统登陆提示信息

telnet  stream  tcp     nowait  root    /usr/sbin/tcpd  in.telnetd -h

加个-h

 

禁止ip原路由

for i in /proc/sys/net/ipv4/conf/*/accept_source_route;do

echo 0 >$i

done

此脚本将禁止所有interface的原路由包

 

syn cookie

防止syn flood

echo 1 > /proc/sys/net/ipv4/tcp_syncookie

 

/etc/services file

chattr +i /etc/services

 

/etc/securetty file

comment out the tty2-tty8 only allow root login from tty1

 

/etc/passwd;/etc/shadow;/etc/group;/etc/gshadow file

chattr +i this file

 

防止任何人都su成root

编辑/etc/pam.d/su 文件

[root@Linux jane]# cat /etc/pam.d/su

#%PAM-1.0

#auth   sufficient      /lib/security/pam_rootok.so debug

#auth   required        /lib/security/pam_wheel.so group=wheel

auth       required     /lib/security/pam_pwdb.so shadow nullok

account    required     /lib/security/pam_pwdb.so

password   required     /lib/security/pam_cracklib.so

password   required     /lib/security/pam_pwdb.so shadow use_authtok nullok

session    required     /lib/security/pam_pwdb.so

session    optional     /lib/security/pam_xauth.so

[root@Linux jane]#

去掉 第一第二行的注释(#),此时只有wheel组用户可以su root,再编辑/etc/group文件，控制wheel组用户。

 

资源限制

1.编辑/etc/security/limits.conf

加入

* hard core 0 #禁止创建core文件

* hard rss 5000 #除了root外，其他用户最多有5m内存

* hard nproc 20 #最多进程数限制在20

*号表示所有登陆系统的用户

2.编辑/etc/pam.d/login

加入

session required /lib/security/pam_limits.so

  

控制mount的文件系统

编辑/etc/fstab

[root@Linux jane]# cat /etc/fstab

/dev/hda2               /                       ext2    defaults        1 1

/dev/hda1               /mnt/C                  vfat    defaults        1 0

/dev/hda6               /home                   ext2    nosuid,nodev        1 2

/dev/cdrom              /mnt/cdrom              iso9660 noauto,owner,ro 0 0

/dev/hda5               /usr/local              ext2    defaults        1 2

/dev/fd0                /mnt/floppy             auto    noauto,owner    0 0

none                    /proc                   proc    defaults        0 0

none                    /dev/pts                devpts  gid=5,mode=620  0 0

/dev/hda7               swap                    swap    defaults        0 0

[root@Linux jane]#

/dev/hda6               /home                   ext2    nosuid,nodev        1 2

表示/home目录不允许存在设备块文件(nodev).不允许设定文件的suid,sgid许可位(nosuid)

如果加上noexec

/dev/hda6               /home                   ext2    nosuid,nodev,noexec        1 2

则表示此文件系统上不允许有任何可执行二进制文件

  

配置安全的lilo.conf:

设置timeout=00

设置single模式密码

restricted

password=xxxxxx

注意给每个kernel都应配置密码

chattr +i /etc/lilo.conf

 

使ctrl+alt+del关机无效

编辑/etc/inittab

注释掉

ca::ctrlaltdel:/sbin/shutdown -t3 -r now -> #ca::ctrlaltdel:/sbin/shutdown -t3 -r now

# /sbin/init q

  

带"s"位的程序

查找所有带s位的程序

find / -type f /( -perm -04000 -o -perm -02000 /) -print

find /home/httpd -type f -perm -4000 -exec chmod 744 {} /; -print

查找特殊文件名字

find / -name ".. " -print -xdev

find / -name ".*" -print -xdev | cat -v

查找任何人都有写权限的文件和目录

find / -type f /( -perm -2 -o -perm -20 /) -print

find / -type f /( -perm -2 -o -perm -20 /) -user root -group root -print

find / -type d /( -perm -2 -o -perm -20 /) -print

查找没有主人的文件

find / -nouser -o -nogroup (不用在乎/dev下面的文件)

查找.rhosts文件

find / -name .rhosts -print

 

linux 网络配置

安装多块网卡

isa的3c509卡,一块io是0x300,一块是0x320

编辑/etc/conf.modules

alias eth0 3c590

alias eth1 3c590

options 3c509 io=0x300,0x320

PCI的3c509卡

编辑/etc/conf.modules

alias eth0 3c590

alias eth1 3c590

某些情况下.isa卡需要配置lilo.conf

由lilo来传递配置参数给kernel

append="ether="0,0,eth1

 

linux下网络设备配置文件在

/etc/sysconfig/network-scripts/目录下的ifcfg-ethx 文件

可以直接修改此文件来改网络配置

DEVICE=name 物理设备的名字

IPADDR=addr 该卡的ip地址

NETMASK=mask 网络掩码

BROADCAST=addr 广播地址

ONBOOT=yes/no 启动时是否激活

BOOTPROTO=proto proto取值:

                     none 无须启动协议

                     bootp 使用bootp协议

                     dhcp 使用dhcp协议

USERCTL=yes/no  是否允许非root用户控制该设备

 

/etc/hosts.conf文件指定如何解析主机名

order bind,hosts 指主机名的查询顺序.先由dns再由/etc/hosts文件

multi on 指在/etc/hosts文件中可以指定多个地址

ospoof on 指不允许对该服务器进行ip欺骗

/etc/sysconfig/network 文件

该文件用来指定服务器上的网络配置信息

NETWORK=yes/no  网络是否被配置

FORWARD_IPV4=yes/no  是否开启ip转发功能

HOSTNAME="hostname"  表示服务器的主机名

GATEWAY="ip"  网关地址

GATEWAYDEV="dev"  网关设备名

网络配置

ifconfig eth0 ip netmask 255.255.255.0

route add default gw gw-ip