Linux-系统安全及应用（账号安全控制、用户切换与提权、系统引导和登录控制、弱口令检测与网络扫描）

最新推荐文章于 2024-07-02 12:36:37 发布
最新推荐文章于 2024-07-02 12:36:37 发布
阅读量956 收藏
点赞数 2
分类专栏： Linux命令 云计算基础 文章标签： linux centos
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kimowinter/article/details/106988957
版权

文章目录

一、 账号安全控制

用户账号是计算机使用者的身份和标识，每一个想要访问系统资源的人都需要通过其用户账号才能进入计算机。在Linux系统中，提供了多种机制来确保账户的正当、安全的使用。

1.1 账号基本安全措施

1.1.1 系统账号清理

在Linux系统中，除了手工创建的账号外还存在很多账号，包括随系统安装或程序安装而生成的大量账号，这些账号是用来维持系统运行或保持服务进程的，一把你不允许登录，我们把这些账户称为非登录用户。
这些非登录用户的shell环境通常是**/sbin/nologin**，表示禁止终端登录，不会被人改动。
在这里插入图片描述

  • 删除账户

对于一些很少用到的程序账户或手工创建的不用的账号，我们可以视为冗余账号，直接删除，一些随着应用程序创建的账号，程序卸载之后还存在的，我们也可以手动删除。删除的命令是userdel +账户名，或者userdel -r +账户名，连同账户的宿主目录一起删除。

  • 锁定账户

对于无法确定是否需要删除的账户，可以暂时将其锁定（passwd，usermod命令都可以锁定和解锁账号）。我们以账号shi为例。

[root@localhost ~]# passwd -l shi   
锁定用户 shi 的密码 。
passwd: 操作成功
[root@localhost ~]# passwd -u shi
解锁用户 shi 的密码。
passwd: 操作成功
[root@localhost ~]# usermod -L shi    锁定用户账号
[root@localhost ~]# usermod -U shi    解锁用户账号
  • 锁定账号文件passwd，shadow
    如果服务器中的用户账号已经固定，不再进行更改，还可以采取锁定账号配置文件的方法。chattr命令，分别结合“+i”“-i”选项来锁定、解锁文件，使用lsattr命令可以查看文件锁定情况。
[root@localhost ~]# chattr +i /etc/passwd /etc/shadow 锁定文件 
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 
----i----------- /etc/passwd
----i----------- /etc/shadow
[root@localhost ~]# chattr -i /etc/passwd /etc/shadow  解锁文件
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 查看文件状态
---------------- /etc/passwd
---------------- /etc/shadow
[root@localhost ~]#

在/etc/passwd 和/etc/shadow文件被锁定后，我们就无法创建新账户，也不能改密码、登录shell、更改宿主目录等属性。

1.1.2 密码安全控制

在现有的网络环境中，我们为了降低密码被破解的风险，用户应该养成定期更改密码的习惯，往往我们都是一直在长期使用一个密码，这时候管理员可以在服务器端限制用户密码的最大有效天数，对于密码已经过期的用户，登录时要求重新设置密码，否则不能登录。

[root@localhost ~]# vi /etc/login.defs   适用于新建的用户

在这里插入图片描述
对于已经存在的用户，我们可以使用chage命令

chage -M 30 shi   //30是密码有效期为30天，shi是账户名 
chage -d 0 shi    //强制要求用户下次登录时修改密码

1.1.3 命令历史、自动注销

shell环境给我们带来了极大的便利，但是也会带来一定的风险。我们通过命令进行的一系列操作会被记录在该用户的命令历史文件中，只要获得用户的命令历史文件，用户的操作记录将会被一览无余，尤其是在有输入明文的密码的情况下，所以我们针对这种情况，可以对历史命令的记录进行设置。

  • 命令历史
    bash终端环境中，历史命令的记录条数由变量HISTSIZE控制，默认为1000条。通过修改/etc/profile文件中的HISTSIZE变量值，可以影响系统中 的所有用户
vi /etc/profile   //编辑配置文件，适用于新登录用户

在这里插入图片描述

export HISTSIZE=100   //设置记录历史文件为100条，适用于当前用户
  • 自动注销

我们还可以通过修改用户宿主目录中的 ~/.bash_logout文件，当用户退出登录的bash环境，自动清空历史命令。

vi ~/.bash_logout

在这里插入图片描述
bash终端环境中，可以设置一个闲置超时时间，当超过指定时间没有任何输入时即自动注销终端，这样可以有效避免当管理员不在时其他人员对服务器的误操作风险。闲置时间有变量TMOUT来控制，默认单位为秒

[root@localhost ~]# vi /etc/profile
将export TMOUT=600写进去    闲置600s后自动注销，适用于新登录用户
[root@localhost ~]#export TMOUT=600   适用于当前用户

1.2 用户切换与提权

在Linux系统中，我们常用的切换用户的方法就是su命令与sudo命令，su命令主要用于切换用户，sudo命令用来提升权限。

1.2.1 su命令——切换用户

比如我们自己平时使用的是个人账户，我们需要切换到root账户我们就会使用su -root在这里插入图片描述
选项“-”等同于“–login”或“-l”，表示切换用户后进入目标用户登录的shell环境，没有“-”就仅代表切换用户，不切换用户的shell环境。
有了su命令之后，任何用户都可以使用，从而不断尝试输入其他账户的密码，给账户的安全性带来风险，这时候我们就可以借助pam_wheel模块来只允许少数用户使用su命令切换。

[root@localhost ~]# gpasswd -a shi wheel  将用户shi加入wheel组中
正在将用户“shi”加入到“wheel”组中
[root@localhost ~]# grep wheel /etc/group   查看wheel组内的成员
wheel:x:10:shi
[root@localhost ~]# vi /etc/pam.d/su  修改配置文件，启用pam_wheel认证

在这里插入图片描述
在这里插入图片描述

1.1.2 sudo命令——提升权限

我们在用账户进行一些操作的时候会需要用到root管理员的权限，如果将root密码告诉所有人就会增加安全风险，所以我们可以让普通用户拥有一部分的管理权限，这样就可以在不将密码告诉他的情况下，实现操作。

1）在配置文件/etc/sudoers中添加授权

配置文件/etc/sudoers中，授权记录的基本配置格式如下

user MACHINE=COMMANDS

授权配置主要包括用户、主机、命令三个部分。

  • 用户（user）：授权的用户名，或采用“%组合”的形式（授权一个组的所有用户）。
  • 主机（MACHINE）：使用此配置文件的主机名，主要是方便在多个主机之间共用一份sudoers文件，一般设置为localhost或实际的主机名。
  • 命令（COMMANDS）：允许授权的用户通过“sudo”命令执行的特权命令，需要填写命令程序的绝对路径，多个命令之间以“，”分隔。

在这里插入图片描述
特点

  • 每一行对应一个用户或组的sudo配置
  • 当用户相同授权较多或授权命令较多时，可以集中采取定义的别名（必须大写）
  • sudo配置记录的命令部分允许使用通配符“*”、取反符号“!”
2）通过sudo获得特权命令

对于获得授权的账户，通过sudo的方式执行特权命令时，只要将正常的命令行作为sudo命令的参数即可，而普通用户执行时需要使用绝对路径。
在这里插入图片描述
验证了普通用户的密码后即可使用此命令。

二、 PAM安全认证

PAM（Pluggable Authentication Modules ）可插拔式认证模块，其中一项重要的功能就是为了加强su命令的使用控制，可以借助于PAM认证模块，只允许极个别用户使用su命令进行切换。

2.1 PAM的作用

  1. PAM目前是Linux服务器普遍使用的认证方式。
  2. PAM提供了对所有服务进行认证的中央机制，适用于login，远程登录（telnet,rlogin,fsh,ftp）,su等应用程序系统
  3. 管理员通过PAM配置文件来制定不同应用程序的不同认证策略。

2.2 PAM认证原理

  • PAM认证一般遵循的顺序：service（服务）——PAM（配置文件）——pam_*.so

  • PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib/security下）进行安全认证。
  • 用户访问服务器的时候，服务器某一个服务程序把用户的请求发送到PAM模块进行认证，不用的应用程序对应的PAM模块也是不同的。
[root@localhost ~]# ls /etc/pam.d |grep su 查看su是否支持认证模块
ksu
su
sudo
sudo-i
su-l
[root@localhost ~]#

2.3 PAM认证的构成

我们通过查看su的PAM配置文件来看其构成
在这里插入图片描述
这其中的每一行都是一个独立的认证过程。
每一行都可以区分为三个字段，分别是认证类型、控制类型、PAM模块及其参数。

2.4 PAM认证类型

  1. 认证管理
    接受用户名和密码，进而对该用户的密码进行认证
  2. 账户管理
    检查用户是否被允许登录系统，账号是否过期，登录的时间段是否有限制。
  3. 密码管理
    主要用来修改密码
  4. 会话管理
    提供对会话的管理和记账

2.5 PAM控制类型

在这里插入图片描述
在这里插入图片描述

三、 系统引导与登录控制

3.1 调整BIOS引导设置

  1. 将第一引导设备设为当前系统所在硬盘
  2. 禁止从其他设备（光盘，U盘，网络）引导系统
  3. 将安全级别设为setup，并设置管理员密码，防止未授权的修改

3.2 限制更改GRUB引导参数

我们通过对GRUB增加密码的实操来演示

[root@localhost ~]#cp /boot/grub2/grub.cfg/boot/grub2/grub.cfg.bak   备份grub.cfg文件
[root@localhost ~]# cp /etc/grub.d/00_header/etc/grub.d/00_header.bak  备份00_header文件
[root@localhost ~]# grub2-mkpasswd-pbkdf2      为GRUB菜单设置密码
输入口令：
Reenter password: 
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.50150F498F079722B049C13F6A1D5480C28C500B6F786876045073D01FC313E89F24BF49F402F8E6A701040DB21000A810449E6B82C2F1DB2A92D689EDEF34D4.B7EE31A0A1C0FCA491E8AFAD4B9FD771C7E5616B6E94E20EE94B45E7955C4734225EE9A9F668BC708B47414204C51DA3793A34704D9C942566F25B44B45184BF    生成的加密字符串
[root@localhost ~]# vim /etc/grub.d/00_header  进入修改配置文件，并将以下代码写入配置文件，写入的密码字符串从上面复制
cat << EOF
set superusers="root"
passwd_pbkdf2 root grub.pbkdf2.sha512.10000.50150F498F079722B049C13F6A1D5480C28C500B6F786876045073D01FC313E89F24BF49F402F8E6A701040DB21000A810449E6B82C2F1DB2A92D689EDEF34D4.B7EE31A0A1C0FCA491E8AFAD4B9FD771C7E5616B6E94E20EE94B45E7955C4734225EE9A9F668BC708B47414204C51DA3793A34704D9C942566F25B44B45184BF
[root@localhost ~]# grub2-mkconfig -o /boot/grub2/grub.cfg  新生成一个grub.cfg 文件，并覆盖原文件
[root@localhost ~]# init 6    重启

在这里插入图片描述
在这里插入图片描述

3.3 终端及登录控制

  • 禁止root用户登录
    在这里插入图片描述
  • 禁止普通用户登录
    我们只要用“touch /etc/nologin”命令新建一个文件即可，一般用于做维护的时候，禁止其他用户登录，只允许root账户登录。要取消的话只要删除这个文件即可“rm -rf /etc/nologin”

四、 弱口令检测、端口扫描

4.1 弱口令检测——John the Ripper

一般我们设置的账户密码为了方便都会设置的尽可能的简单好记，但是这种简单的密码给服务器带来了较大的风险，所以管理员要即使找出这些弱口令的账户，这就用到了我接下来使用的一款工具——John the Ripper，简称为JR。

将源码包用x-ftp放到/opt目录下
tar zxf john-1.8.0.tar.gz解压缩
cd john-1.8.0   ##进目录下查看src
cd src
make clean linux-x86-64  ##make编译，编译完成会生成一个名为john的可执行程序
 cp /etc/shadow /root/shadow.txt   ##准备待破解的密码文件
useradd新建一个账户并设置密码
./john /root/shadow.txt    ##执行暴力破解
./john --show /root/shadow.txt  ##查看已破解的账户列表

在这里插入图片描述
在这里插入图片描述

4.2 网络扫描——NMAP

NMAP定期扫描可以找出网络不可控的应用服务，及时关闭不安全的服务，减小风险。我们在公司里用到的都是厂商的正版扫描工具， 我是以此工具为演示。
nmap的扫描程序位于/usr/bin/nmap目录下，基本命令格式为

nmap 【扫描类型】 【选项】 <扫描目标>

常见的几种扫描方式
在这里插入图片描述

  • 扫描常用的TCP端口

在这里插入图片描述

  • 扫描常用的UDP端口
    在这里插入图片描述
wo有点烦
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
操作系统权限提升(六)之系统错误配置-不安全的服务提权
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
02-01 1227
通常 Windows服务都是以 System权限运行的,当由于系统管理员错误配置导致低权限用户可以对某些服务修改时,可以通过修改服务启动文件的路径“ binpath”,将其替换为恶意程序的路径,这样服务启动时便会运行恶意程序
Linux--系统安全及应用（二）（系统引导、登录控制、弱口令检测、端口扫描）
Xucf1
02-03 399
文章目录一、系统引导和登录控制1.开关机安全控制1.1 调整 BIOS 引导设置1.2 限制更改 GRUB 引导参数2.终端及登录控制2.1 禁止 root 用户登录2.2 禁止普通用户登录二、弱口令检测与端口扫描1.弱口令检测——John the Ripper1.1 下载并且安装 John the Ripper1.2 检测弱口令账号1.3 使用密码字典文件2.网络扫描——NMAP1.安装 NMAP 软件包2.扫描语法及类型3.扫描操作示例 一、系统引导和登录控制 在互联网环境中，大部分服务器是通过远程
linux安全加固-锁定关键系统文件，防止提权篡改
qq_40573385的博客
09-04 838
linux安全加固-锁定关键系统文件，防止提权篡改 要锁定关键系统文件，必须对账号密码文件及启动文件加锁，防止被篡改。 chattr与lsattr chattr命令可以锁定文件。 通过chattr命令修改属性能够提高系统的安全性，但是它并不适合所有的目录。 chattr命令不能保护/、/dev、/tmp、/var目录。 lsattr命令是显示chattr命令设置的文件属性。 chattrchattr [ -RVf ] [ -v version ] [ mode ] fil...
linux防范文件提权,Linux系统容易受到X.Org服务器中的权限提升和文件覆盖漏洞攻击...
weixin_42315341的博客
04-29 155
X.Org服务器中的“不正确的命令行参数验证”漏洞使得可以升级权限以及覆盖文件。 该问题影响使用开源X Window System实现的Linux和BSD发行版。这种脆弱性已存在了几年，但已被安全研究人员Narendra Shinde曝光。 如果X服务器以提升的权限运行，则非root用户可以利用未修补的系统。发布到X.Org邮件列表的安全建议解释说：“当X服务器以提升的权限运行时(即，当Xorg ...
windows操作系统提权
weixin_42478365的博客
03-17 160
1.windows提权整体总结 2.windows基础提权命令 3.提权考古之Pr提权实战
如何有效防止PHP木马对linux操作系统提权
小迷童
05-09 1633
1.防止跳出web目录 首先修改httpd.conf： 如果你只允许你的php脚本程序在web目录里操作，还可以修改httpd.conf文件限制php的操作路径。比如 你的web目录是/usr /local/apache/htdocs，那么在httpd.conf里加上这么几行： php_admin_value open_basedir /usr/local/apache/h
系统安全及应用 --系统引导、登录控制、弱口令检测、端口扫描
weixin_53560205的博客
08-19 2969
文章目录前言一、系统引导和登录控制1.限制更改GRUB引导参数2、禁止root用户登录3、禁止普通用户登录二、弱口令检测与端口扫描1.弱口令检测——John the Ripper2、网络端口扫描——NMAP①安装 NMAP 软件包②扫描语法及类型总结 前言 在互联网环境中，大部分服务器是通过远程登录的方式来进行管理的，而本地引导和终端控制登录过程往往容易被忽视，从而留下安全隐患，特别是当服务器所在的机房环境缺乏严格、安全的管控制度时，如果防止其他用户的非授权介入，就成为必须重视的问题。 一、系统引导和登录控
Linux系统安全(用户、账号、密码)及应用管理及网络扫描(sudo、chage、chattr，nmap、chage)
wulimingde的博客
11-03 706
Linux系统安全及应用一、基本安全措施1、系统账号管理2、密码安全管理3、命令历史、自动注销 一、基本安全措施 1、系统账号管理 常见的非登录用户账号包括 bin、daemon、adm、lp、mail 等。为了确保系统安全，这些用户账号的登录 Shell 通常是/sbin/nologin，表示禁止终端登录，应确保不被人为改动。 [root@localhost ~]# grep "/sbin/nologin$" /etc/passwd bin:x:1:1:bin:/bin:/sbin/nologin d
Linux——系统安全及应用（弱口令检测、端口扫描）
ML908的博客
11-15 1112
基本安全措施 系统账号清理 将非登陆用户的Shell设为/sbin/nologin，表示禁止中断登陆，确保不被人为改动 在系统中，除了手动创建的各种账号之外，还包括随系统或程序安装过程而生成的其他大量账号。除了root之外，其他大量账号只是用来维护系统运作、启动或保持服务进程，一般是不允许登陆的，因此也称为非登陆用户 [root@localhost ~]# grep "/sbin/nologi...
Linux--系统安全及应用
最新发布
lwforever_lw的博客
07-02 823
● 将非登录用户的Shell设为/sbin/nologin● usermod -s /sbin/nologin 用户名● 锁定长期不用的账号● usermod -L zhangsan #锁定账号● passwd -S zhangsan # 查看账号状态● passwd -l zhangsan 锁定用户账户● 解锁● usermod -U zhangsan #解锁账号● passwd -u zhangsan #解锁账号● 删除那些无用的账号● userdel -r 用户名。
linux sudo 权限绕过提权 (CVE-2019-14287) 复现
潜心学安全的小白
11-02 773
目录前言漏洞背景影响版本漏洞复现条件环境查看sudo版本命令执行修复建议参考链接 前言 说来也是巧合，昨天在利用solr远程命令执行漏洞的时候反弹了一个shell（传送门solr远程命令执行），就顺便看了一下他的sudo版本，正好在漏洞涉及版本之内，之前看这个提权比较简单感觉修复的比较快没当回事，但是既然碰到了就来记录一下吧，也方便以后自己看。 漏洞背景 前阵子，Sudo官网爆出CVE-2019-...
selinux + sudo +ssh +passwd
lemontree1945的博客
04-18 1655
TopNSD SECURITY DAY01案例1：Linux基本防护措施案例2：使用sudo分配管理权限案例3：提高SSH服务安全案例4：SELinux安全防护1 案例1：Linux基本防护措施1.1 问题本案例要求练习Linux系统的基本防护措施，完成以下任务：修改用户zhangsan的账号属性，设置为2019-12-31日失效（禁止登录）临时锁定用户lisi的账户，使其无法登录，验证效果后解除...
Linux基本防护和用户切换与提权
dupeng86的博客
09-24 304
用户账号安全 设置账号有效期 使用chage工具 -d 0,强制修改密码 -E yyyy-mm-dd,制定失效日期(-1quxiao) ]# chage -E 2019-12-31 zengye ]# chage -l zengye .. .. Password inactive :never Account expires :Dec 31,2017 .. .. 账号的锁定/解锁...
SECURITY - 01 Linux基本防护 用户切换与提权、SSH访问控制SELinux安全
李俊的博客
07-02 727
  SECURITY DAY01 案例1：Linux基本防护措施 案例2：使用sudo分配管理权限 案例3：提高SSH服务安全 案例4：SELinux安全防护   1 案例1：Linux基本防护措施 1.1 问题 本案例要求练习Linux系统的基本防护措施，完成以下任务： 修改用户zhangsan的账号属性，设置为2019-12-31日失效（禁止登录） 临时锁定用户lisi的账户，...
Linux-账号安全控制
玩IT的川
07-07 732
用户账号是计算机使用者的身份凭证标识，每个要访问系统资源的人，必须凭据其用户的账号。Linux系统中，提供了多种机制来确保用户账号的正当，安全使用。 基本安全措施 在Linux系统中，除了用户手动创建的各种账号之外，还包括随系统或程序安装过程而生成的其他大量账号，除了超级用户root之外，其他大量的账号只是用来维护系统运作，启动或保持服务进程，一般这些用户是不允许登录的，因为也称之为系统用户。...
服务器防黑加固丨Linux提权的4种方式，你知道几个？
Anprou的博客
11-29 2179
Linux提权的4种方式，你知道几个？
Linux系统提权思路
热门推荐
Just Do It
03-22 2万+
渗透测试过程中，拿到Webshell之后，常规都会去看一下系统是啥权限。这里主要讨论Linux系统的一些思路。       常规思路不用说了，先查看Linux内核版本，然后直接去搜一下是否有关于该版本的提权exp放出来，如果有的话，直接编译运行提权即可，简单粗暴。       如果没有相关内核的提权exp放出来，那就需要考虑其他思路了。这篇老外的文章，介绍了常规的三种提权思路，第一种就是内核e
实战Linux下三种不同方式的提权技巧
fly小灰灰的专栏
03-17 1万+
介绍在渗透测试或者漏洞评估的过程中，提权是非常重要的一步，在这一步，黑客和安全研究人员常常通过exploit,bug,错误配置来提升权限。本文的例子都是在虚拟机里测试的，不同的虚拟机可以从Vulnhub下载。实验一：利用Linux内核漏洞提权VulnOS version 2是VulHub上的一个Linux提权练习，当打开虚拟机后，可以看到 获取到低权限SHELL后我们通常做下面几件事1.检测操作系
Windows系统提权简单总结
Aiwin的博客
07-13 1857
Windows系统提权简单总结
Linux主机操作系统安全加固规范：账号管理与日志审计
这份规范适用于2021年5月23日后所有版本的LINUX系列服务器，并针对系统管理员、应用管理员和网络安全管理员等不同角色的使用者。其核心目标是通过严格的账号管理、认证授权、日志审计和系统文件管理来防止未经授权的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值