目录
前言
在互联网环境中，难免会因为一些操作，留下安全隐患，所以要对账号安全、系统引导和登录安全方面进行加强，并且还要构建和使用一些基于linux环境的安全工具，如弱口令检测、网络扫描等，帮助管理员查找安全隐患，及时采取针对性的防护措施。
一、账号安全控制
1、基本安全措施
1-1、系统账号清理
1-1.1、将非登录用户（随系统或程序安装过程而生成的其他大量账号，用来维护系统运 作、启动或保持服务进程，一般是不允许登录的）的Shell设为/sbin/nologin；
1-1.2、锁定长期不使用的账号；
1-1.3、删除无用的账号；
1-1.4、锁定账号文件passwd、shadow；
1-2、密码安全控制
1-2.1、设置密码有效期，定期修改密码；
1-2.2、 密码已过期的用户，被要求下次登录时修改密码；
1-3、 命令历史、自动注销
1-3.1、命令历史限制，减少记录的命令条数；
1-3.2、 注销时自动清空命令历史
当用户退出已登录的Bash环境以后，所记录的历史命令将自动清空。
1-3.3、终端自动注销
设置一个闲置超时时间，当超过指定时间没有任何输入时即自动注销终端，这样可以有效避免当管理员不再是其他人员对服务器的误操作风险。
2、用户切换与提权
2-1、用途及用法
用途:Substitute User ,切换用户
格式： su - 目标用户（不加“-”是当前目录）
2-2、密码验证
root→任意用户，不验证密码
普通用户→其他用户，验证目标用户的密码
2-3、限制使用su命令的用户
将允许使用su命令的用户加入wheel组 启用pam_wheel认证模块
2-4、使用sudo机制提升权限
2-4.1、使用sudo机制提升visudo或vi /etc/sudoers (此文件的默认权限为440，保存退出 时必须执行":wq!"命令来强制操作)
2-4.2、sudo [参数选项]命令
| -l | 列出用户在主机上可用的和被禁止的命令;一般配置好/etc/sudoers后，要用这个命令来查看和测试是不是配置正确的; |
| -u | 指定以以某个用户执行特定操作; |
| -k | 删除时间戳，下一个sudo命令要求用求提供密码 |
| -v | 验证用户的时间戳;如果用户运行sudo 后，输入用户的密码后，在短时间内可以不用输入口令来直接进行sudo操作; |
2-4.3、语法格式:
用户 主机名=命令程序列表
用户 主机名=(用户)命令程序列表
用户:直接授权指定的用户名，或采用"%组名"的形式(授权一个组的所有用户)。
主机名:使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则 用实际的主机名，ALI则代表所有主机(用户):用户能够以何种身份来执行命 令。此项可省略，缺省时以root用户的身份来运行命令
命令程序列表:允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的 完整路径，多个命令之间以逗号","进行分隔。A.L则代表系统中的所 有命令
示例:
Tt ALL=/usr/sbin/ifconfig
Jy localhost=/usr/sbin/* , !/usr/sbin/reboot, ! /usr/sbin/poweroff #通配符"*"表示所有、取反符号"!"表示排除
%wheel ALL=NOPASSWD:ALL #表示wheel组成员无需验证密码即可使用sudo执行任何命令 Mike ALL=(root) NOPASSWD: /usr/sbin/ki1l，/usr/sbin/killall gpasswd -M lisi wheel #李四加入wheel组
3、PAM安全认证
是一种高效而且灵活便利的用户级别的认证方式；
也是当前Linux服务器普遍使用的认证方式
3-1、PAM认证的构成
3-1.1、 查看某个程序是否支持PAM认证，可以用ls命令
示例:查看su是否支持PAM模块认证
3-1.2、查看su的PAM配置文件:cat letc/pam.d/su
每一行都是一个独立的认证过程；
每一行可以区分为三个字段
认证类型
控制类型
PAM模块及其参数
3-2、PAM认证原理
1.PAM认证一般遵循的顺序:Service (服务) -->PAM(配置文件) --> pam_ *.so;
2. PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位 于/etc/pam.d下)最后调用认证模块(位于/ lib64 / security/ 下)进行安全认证。
3.用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到Pw模块进行认 证。不同的应用程序所对应的Pw模块也是不同的。如果想查看某个程序是否支持PAM 认证，可以用ls命令进行查看/etc/pam.d/
3-3、PAM认证的构成
| 第一列代表PAM认证模块类型 | |
| auth | 对用户身份进行识别，如提示输入密码，判断是否为root。 |
| account | 对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。 |
| password | 使用用户信息来更新数据，如修改用户密码。 |
| session | 定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。 |
| 第二列代表PAM控制标记 | |
| required | 表示需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后,再返回失败。 个 |
| requisite | 与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。 |
| sufficient | 如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响这类型的返回值。 |
| optional | 不进行成功与否的返回，一般不用于验证，只是显示信息(通常用于session类型)， |
| include | 表示在验证过程中调用其他的PA配置文件。比如很多应用通过完整调用/etc/pam.d/ system-auth (主要负责用户登录系统的认证工作)来实现认证而不需要重新逐一去写配置项。 |
| 第三列代表PAM模块及参数，默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。 | |
| 同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。 |
3-4、PAM安全认证流程
控制类型也称做Control Flags,用于PAM验证类型的返回结果
1.required验证失败时仍然继续，但返回Fail
2.requisite验证失败则立即结束整个验证过程，返回Fail
3.sufficient验证成功则立即返回，不再继续，否则忽略结果并继续4.optional不用于验证， 只显示信息(通常用于session类型)
二、系统引导和登录控制
1、开关机安全控制
1-1、调整BIOS引导设置
将第一引导设备设为当前系统所在硬盘；
禁止从其他设备(光盘、U盘、网络)引导系统；
将安全级别设为setup，并设置管理员密码；
1-2、限制更改GRUB 引导参数
通常情况下在系统开机进入GRUB菜单时，按e键可以查看并修改GRUB引导参数，这对服务器是一个极大的威胁。可以为GRUB菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。
重启系统进入GRUB菜单时，按e键将需要输入账号密码才能修改引导参数。
2、终端登录安全控制
2-1、限制root只在安全终端登录
安全终端配置:/etc/securetty
2-2、禁止普通用户登录
建立/etc/nologin文件
删除nologin文件或重启后即恢复正常
三、弱口令检测和端口扫描
1、弱口令检测---John the Ripper
在Internet环境中，过于简单的口令是服务器面临的最大风险,尽管大家都知道,设置一个更长、更复杂的口令会更加安全，但总是会有一些用户因贪图方便而采用简单、易记的口令字串;对于任何一个承担着安全责任的管理员，及时找出这些弱口令账户,是非常必要的，这样便于采取进—步的安全措施(如提醒账号重设更安全的口令)
John the Ripper是一款开源的密码破解工具，能够在已知密文的情况下快速分析出明文的密码字串，支持DES，MD5等多种加密算法,而且允许使用密码字典(包含各种密码组合的列表文件)来进行暴力破解通过使用John the Ripper，可以检测Linux/UNIX系统用户的密码强度
下载并安装John the Ripper
1、cd /opt
2、tar. zxvf john-1.8.0.tar.gz #解压工具包
3、yum install -y gcc gcc-c++ make #安装软件编译工具
4、cd /opt/john-1.8.0/src #切换到src子目录
5、make clean linux-x86-64 #进行编译安装
6、cp /etc/shadow /opt/shadow.txt #准备待破解的密码文件
7、cd /opt/john-1.8.0/run
8、./john /opt/shadow.txt #执行暴力破解
9、./john --show /opt/shadow.txt #查看已破解出的账户列表
10、> john. pot #使用密码字典文件
11、./john --wordlist=./password.1st /opt/shadow.txt #清空已破解出的账户列表,以便重新分析
12、 #使用指定的字典文件进行破解2、端口扫描
2-1、NMAP
—款强大的网络扫描、安全检测工具
官方网站: http://nmap.orgloCentOS 7.7光盘中安装包nmap-6.40-7.el7.x86_64.rpm
控制位：
SYN 建立链接
ACK 确认
FIN 结束断开
PSH 传送 0数据缓存 上层应用协议
RST 重置
URG 紧急
2-2、安装namp软件包
rpm -qa | grep nmap 查看nmap
yum install -y nmap
2-3、NMAP命令常用的选项和扫描类型
格式： nmap [扫描类型] [选项] <扫描目标...>
-p:指定扫描的端口。
-n:禁用反向DNS解析（以加快扫描速度)
-sS:TCP的SYN扫描（半开扫描)，只向目标发出sYw数据包，如果收到SYN/ACK响 应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放。
-sT:TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连 接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
-sF:TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据 包。许多防火墙只对sYw数据包进行简单过滤，而忽略了其他形式的TCP攻击 包。这种类型的扫描可间接检测防火墙的健壮性。
-sU: UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。
-sP: ICMP扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。
-P0:跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请 求时，使用这种方式可以避免因无法ping通而放弃扫描。
netstat -natp #查看正在运行的使用TCP协议的网络状态信息
netstat -naup #查看正在运行的使用UDP协议的网络状态信息
netstat命令查看当前操作系统的网络连接状态、路由表、接口统计等信息，它是了 解网络状态及排除网络服务故障的有效工具
| -n | 以数字的形式显示相关的主机地址、端口等信息 |
| -r | 显示路由表信息 |
| -a | 显示主机中所有活动的网络连接信息（包括监听、非监听状态的服务端口） |
| -l | 显示处于监听(Listening）状态的网络连接及端口信息。 |
| -t | 查看TCP ( Transmission Control Protocol，传输控制协议）相关的信息。 |
| -u | 显示UDP (User Datagram Protocol，用户数据报协议）协议相关的信息。 |
| -p | 显示与网络连接相关联的进程号、进程名称信息（该选项需要root权限） |
总结
系统安全的重要性不言而喻，不仅要加强系统的安全，还要通过以上这些安全工具，查找出隐患，提前做好安全保障。
扫一扫
9万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
