密码的安全

傻傻小猪哈哈

已于 2022-01-22 18:57:24 修改

阅读量2.6k

点赞数

文章标签：安全服务器 linux

于 2022-01-09 19:50:21 首次发布

本文链接：https://blog.csdn.net/m0_53073002/article/details/122398042

版权

一、开关机安全控制

调整BIOS引导设置
将第一引导设备设为当前系统所在硬盘
禁止从其他设备（光盘、U盘、网络)引导系统

将安全级别设为setup，并设置管理员密码

GRUB限制
使用grub2-mkpasswd-pbkdf2生成密钥
修改/etc/grub.d/00_header文件中，添加密码记录

生成新的grub.cfg配置文件

限制更改GRUB引导参数

按e键通常情况下在系统开机进入GRUB菜单时，按e键可以查看并修改GRUB引导参数，这对服务器是一个极大的威胁。可以为GRUB菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。
[]# grub2-mkpasswd-pbkdf2 #根据提示设置GRUB菜单的密码
PBKDF2 hash of your password is grub . pbkd…” #省略部分内容为经过加密生成的密码字符串

[]# cp / boot/grub2/grub.cfg / boot/grub2/grub.cfg. bak
[]#cp /etc/grub.d/00_header /etc/grub.d/ 00_header.bak

[]#vim /etc/grub.d/ 00_header
cat <<EOF
set superusers=“root” #设置用户名为root

password_ pbkdf2 root grub.pbkd2 . . . #设置密码，省略部分内容为经过加密生成的密码字符串
EOF
[]#grub2-mkconfig -o /boot/grub2/grub.cfg #生成新的grub.cfg文件（一定要设文件不然密码不会生效）
重启系统进入GRUB菜单时，按e键将需要输入账号密码才能修改引导参数。
在这里插入图片描述

一步到位
[]#grub2-setpassword

二、终端登录安全控制

限制root只在安全终端登录
安全终端配置:/etc/securetty

[root@localhost ~]# vi /etc/securetty

…

#tty5（禁止root用户从终端tty5.tty6登录）
#tty6

ctrl+alt+f1-6:进入终端（虚拟机里操作）

在这里插入图片描述

禁止登录tty5,6终端

在这里插入图片描述

ctrl+alt+F5,6显示无法进入

在这里插入图片描述

ctrl+alt+F3就能登录

在这里插入图片描述

安全终端配置:/etc/securetty

禁止普通用户登录
建立/etc/nologin文件
删除nologin文件或重启后即恢复正常
[root@localhost ~]# touch /etc/nologin （禁止普通用户登录）
[root@localhost ~]# rm -rf /etc/nologin （取消上述登录限制）

lisi无法登录
在这里插入图片描述

删除后lisi又可以登陆了

在这里插入图片描述

三、Linux命令last（显示终端）

3.1、命令简介：

该命令用来列出目前与过去登录系统的用户相关信息。指令英文原义：show listing of last logged in users

执行权限 ：有些需要特殊权限

指令所在路径：/usr/bin/last
执行last指令时，它会读取位于/var/log目录下名称为wtmp的文件，并把该给文件的内容记录的登录系统的用户名单全部显示出来。默认是显示wtmp的记录，btmp能显示的更详细，可以显示远程登录，例如ssh登录。

utmp文件中保存的是当前正在本系统中的用户的信息。

wtmp文件中保存的是登录过本系统的用户的信息。

3.2、命令输出字段介绍：

第一列：用户名

第二列：终端位置。pts/0 (伪终端) 意味着从诸如SSH或telnet的远程连接的用户.tty (teletypewriter) 意味着直接连接到计算机或者本地连接的用户

第三列：登录ip或者内核。如果你看见:0.0 或者什么都没有，这意味着用户通过本地终端连接。除了重启活动，内核版本会显示在状态中。

第四列：开始时间

第五列：结束时间（still login in 还未退出 down 直到正常关机 crash 直到强制关机）

第六列：持续时间

3.3、命令语法：

last [-R] [-num] [ -n num ] [-adiowx] [ -f file ] [ -t YYYYMMDDHHMMSS ] [name…] [tty…]

命令参数：

-a：将登录系统的的主机名称或IP地址，显示在最后一列

-d：将IP地址转换成主机名称

-f：指定记录文件，默认是显示/var/log目录下的wtmp文件的记录，但/var/log目录下得btmp能显示的内容更丰富，可以显示远程登录，例如ssh登录，包括失败的登录请求。

-i：-i显示特定ip登录的情况。跟踪用 -i显示特定ip登录的情况。跟踪用

-o：Read an old-type wtmp file (written by linux-libc5 applications).

-n：-n <显示行数>或-<显示行数> 　设置显示多少行记录

-w：在输出中显示完整的用户名和域名

-R：不显示登入系统的主机名称或IP（省略 hostname 的栏位）

-t：显示YYYYMMDDHHMMSS之前的信息

-x：显示系统关闭、用户登录和退出的历史

3.4、使用示例：

查看last命令的帮助信息
[root@kgc home]#man last

[root@kgc home]# last -h
last: invalid option – ‘h’
Usage: last [-num | -n num] [-f file] [-t YYYYMMDDHHMMSS] [-R] [-adioxFw] [username…] [tty…]

显示最后登录系统的N条记录
[root@kgc home]# last -10
zhangsan pts/6 192.168.10.2 Fri Aug 6 03:37 still logged in
zhangsan pts/5 192.168.10.2 Fri Aug 6 03:36 - 03:37 (00:00)
root pts/3 192.168.10.2 Fri Aug 6 02:49 still logged in
root pts/2 192.168.10.2 Fri Aug 6 01:33 - 08:12 (06:39)
root pts/6 192.168.10.2 Fri Aug 6 00:26 - 01:33 (01:07)
root pts/5 192.168.10.2 Fri Aug 6 00:26 - 00:26 (00:00)
root pts/4 192.168.10.2 Fri Aug 6 00:09 still logged in
root pts/6 192.168.10.2 Thu Aug 5 16:09 - 16:54 (00:44)
root pts/5 192.168.10.2 Thu Aug 5 16:06 - 16:54 (00:47)
root pts/6 192.168.10.2 Thu Aug 5 16:05 - 16:05 (00:00)