系统安全及应用（命令）

已于 2024-07-01 18:58:25 修改
阅读量1.1k 收藏 26
点赞数 11
文章标签： 系统安全 安全
于 2024-07-01 18:52:40 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63994746/article/details/140041812
版权

目录

一、账号安全控制

1.1 系统账号清理

1.2 密码安全控制

1.3 历史记录控制

1.4 终端自动注销

二、系统引导和登陆控制

2.1 限制su命令用户

2.2 PAM安全认证

示例一：通过pam 模块来防止暴力破解ssh

2.3 sudo机制提升权限

2.3.1 sudo命令（root授权其他用户的命令权限）

2.3.2 配置sudo授权

示例一：基础的普通用户的用户创建

示例二：普通用户的建立网卡

示例三：alias用户别名***

示例四：启用sudo操作日志

2.4 开关机安全控制

2.4.1 调整BIOS引导设置

2.4.2 GRUB限制

方法一：

方法二：

2.4.3 终端登陆安全控制

三、弱口令检测

3.1 John the Ripper

示例一：无字典

示例二：有字典

四、端口扫描——NMAP

4.1 NMAP

4.2 NMAP扫描

示例一

​编辑

一、账号安全控制

1.1 系统账号清理

①将非登录用户的Shell设为/sbin/nologin

恢复

②锁定长期不使用的账号

③删除无用的账号

④锁定账号文件passwd、shadow

恢复

1.2 密码安全控制

①设置密码有效期

  • 新用户：

第一个：30天之后要修改密码

第二个：距离上一次修改密码时间0天之内不可修改

第三个：密码最小长度不小于5位

第四个：密码到期前七天会提醒

  • 老用户：

②要求用户下次登陆时修改密码

chage -d 0 用户名

1.3 历史记录控制

①减少记录的命令条数

在vi  /etc/profile中

②注销时自动清理历史命令

1.4 终端自动注销

二、系统引导和登陆控制

2.1 限制su命令用户

注意：对这两行添加注释，表示是否启用

第一行：root用户是否有使用su命令的权限

第五行：wheel组中的用户是否有使用su命令的权限

（启用pam_wheel 认证以后，未加入到 wheel 组内的其他用户将无法使用 su 命令）

例：

2.2 PAM安全认证

  • 定义：Linux-PAM，是linux可插拔认证模块，是一套可定制、 可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式
  • 原理：

       ①PAM认证一般遵循的顺序: Service (服务) --> PAM (配置文件) --> pam_ *.so
       ②PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d                   下)，最后调用认证模块(位于/lib64/security/下)进行安全认证
       ③用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认                   证。不同的应用程序所对应的PAM模块也是不同的

注：ls /etc/pam.d：查看某个程序是否支持PAM 认证

第一列代表PAM认证模块类型

auth：           对用户身份进行识别，如提示输入密码，判断是否为root
account:：    对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最                         大用户数等
password：  使用用户信息来更新数据，如修改用户密码。
session：      定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打                          开和关闭，挂载文件系统。

第二列代表PAM控制标记

required：表示需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行                      同类型的下一验证，所有此类型的模块都执行完成后，再返回失败

requisite：与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败

sufficient：如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响                      这类型的返回值

optional:：不进行成功与否的返回，一般不用于验证，只是显示信息(通常用于session类型),
include：   表示在验证过程中调用其他的PAM配置文件

比如很多应用通过完整调用/etc/pam.d/system-auth(主要负责用户登录系统的认证工作)

来实现认证而不需要重新逐一去写配置项。

第三列代表PAM模块

（默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径）
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。

第四列代表PAM模块的参数

这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个，之间用空格分隔开
 

示例图演示：

用户1用户2用户3用户4
authrequired模块1passfailpasspass
authsufficient模块2passpassfailpass
authrequired模块3passpasspassfail
结果pass        failpasspass

示例一：通过pam 模块来防止暴力破解ssh

auth  required  pam_tally2.so   deny=3    unlock_time=600 even_deny_root root_unlock_time=1200

说明：尝试登陆失败超过3次，普通用户600秒解锁，root用户1200秒解锁

注解：

  • deny：指定最大几次认证错误，如果超出此错误，将执行后面的策略。如锁定N秒，如果后面没有其他策略指定时，默认永远锁定，除非手动解锁。
  • lock_time：锁定多长时间，按秒为单位；
  • unlock_time：指定认证被锁后，多长时间自动解锁用户；
  • even_deny_root root：用户在认证出错时，一样被锁定
  • root_unlock_time root：用户在登录失败时，锁定多长时间。该选项一般是配合even_deny_root 一起使用的

失败三次自动锁定

[root@fzx ~l# pam tally2 --user=root

Login                   Failures    Latest           failure                      From

root                      6               07/01/24        18:46:39                  192.17.20.66             

[root@benet22 ~l# pam tally2 --user=root --reset

Login                   Failures    Latest            failure                      From

root                      6               07/01/24        18:46:39                  192.17.20.66

2.3 sudo机制提升权限

2.3.1 sudo命令（root授权其他用户的命令权限）

sudo     [参数选项]     命令

  • -l：列出用户在主机上可用的和被禁止的命令；一般配置好/etc/sudoers后，要用这个命令来          查看和测试是不是配置正确的
  • -v：验证用户的时间戳；如果用户运行sudo 后，输入用户的密码后，在短时间内可以不用输           入口令来直接进行sudo 操作；用-v 可以跟踪最新的时间戳；
  • -u：指定以以某个用户执行特定操作；
  • -k：删除时间戳，下一个sudo 命令要求用求提供密码

2.3.2 配置sudo授权

示例一：基础的普通用户的用户创建

操作方法：直接在最后一行添加

注意：在其它用户用root用户通过sudo命令给的权限时

命令形式为：sudo 绝对路径 命令 参数 目标

示例二：普通用户的建立网卡

示例三：alias用户别名***

用处：当使用相同授权的用户较多，或者授权的命令较多时，可以采用集中定义的别名

示例四：启用sudo操作日志

最后用tail -f 加路径 进行动态观察

或者直接

2.4 开关机安全控制

2.4.1 调整BIOS引导设置

  • 将第一引导设备设为当前系统所在硬盘
  • 禁止从其他设备(光盘、U盘、网络)引导系统
  • 将安全级别设为setup，并设置管理员密码

2.4.2 GRUB限制

  • 使用grub2-mkpasswd-pbkdf2生成密钥
  • 修改/etc/grub.d/00 header文件中，添加密码记录
  • 生成新的grub.cfg配置文件
方法一：

方法二：

2.4.3 终端登陆安全控制

  • 限制root只在安全终端登录

       安全终端配置：/etc/securetty

  • 禁止普通用户登录

       建立/etc/nologin文件

       删除nologin文件或重启后即恢复正常

三、弱口令检测

3.1 John the Ripper

  • 简称为 JR一款密码分析工具
  • 支持字典式的暴力破解通过对shadow文件的口令分析，可以检测密码强度
  • 官方双站:http://www.openwall.com/john/

示例一：无字典

  • 首先先上传压缩包

示例二：有字典

四、端口扫描——NMAP

4.1 NMAP

  • 一款强大的网络扫描、安全检测工具
  • 官方网站:http://nmap.org
  • CentOS 7.7光盘中安装包 nmap-6.40-7.el7.x86 64.rpm

4.2 NMAP扫描

nmap    [扫描类型]     [选项]

  • -p：指定扫描的端口
  • -n：禁用反向 DNS 解析（以加快扫描速度）
  • -sS：TCP的SYN扫描（半开扫描），只向目标发出SYN数据包，如果收到SYN/ACK响应包              就认为目标端口正在监听，并立即断开连接；否则认为目标端口并未开放
  • -sT：TCP连接扫描，这是完整的TCP扫描方式（默认扫描类型），用来建立一个TCP连接，            如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放
  • -sF：TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多               防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的 TCP 攻击包。这种类型的             扫描可间接检测防火墙的健壮性
  • -sU：UDP 扫描，探测目标主机提供哪些 UDP 服务，UDP 扫描的速度会比较慢
  • -sP：ICMP 扫描，类似于 ping 检测，快速判断目标主机是否存活，不做其他扫描
  • -P0：跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，              使用这种方式可以避免因无法 ping 通而放弃扫描


nmap -p 139,445 192.168.4.100-200  

//检测 IP 地址位于 192.168.4.100～200 的主机是否开启文件共享服务

注：

SYN(synchronous建立联机) 

ACK(acknowledgement 确认) 

PSH(push传送) 

FIN(finish结束) 

RST(reset重置) 

URG(urgent紧急)

Sequence number(顺序号码) 

Acknowledge number(确认号码)

端口的取值范围是：0-65535

示例一

补充：

永久禁PING：vim /etc/sysctl.conf

禁止：net.ipv4.icmp_echo_ignore_all = 1

启用：net.ipv4.icmp_echo_ignore_all = 0

码农鑫哥的日常
关注
  • 11
    点赞
  • 踩
  • 26
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
Linux系统安全及应用
ruocheng6的博客
01-03 2723
1、账号安全控制 2、系统引导和登录控制 3、弱口令检测 4、端口扫描 1、账号安全控制 账号安全基本措施 ■系统账号清理 ●将非登录用户的shell设为/sbin/nologin ●锁定长期不使用的账号 ●删除无用的账号 ●锁定账号文件passwd、shadow ...
Linux系统安全与应用
jcrhl321的博客
03-12 5019
目录 一、账号安全控制 1、系统账号清理 2、密码安全控制 1）修改密码配置文件 2）修改已有用户密码的有效期（chage命令） 3、命令历史记录限制 1）减少记录的命令条数 2）设置登陆时自动清空命令历史 4、使用su命令切换用户 6、Linux中的PAM安全认证 1）su命令具有安全隐患 7、使用sudo机制提升权限 2）操作格式 3）启用sudo操作日志 二、系统引导 1、开关机安全控制 1）GRUB限制 一、账号安全控制 1、系统账号清理 将非登...
系统安全及应用
weixin_45680960的博客
03-15 4132
系统安全及应用 文章目录系统安全及应用账号安全基本措施系统账号清理将用户设置为无法登录锁定用户—passwd删除账户—userdel锁定配置文件—chattr密码安全控制设置密码规则—chage历史命令切换用户—suPAM安全认证二进制语言PAM相关文件PAM工作原理sudo别名grub 加密设置GRUB 2加密暴力破解密码网络端口扫描NMAP 账号安全基本措施 系统账号清理 将用户设置为无法登录、 锁定账户 删除账户 锁定账户密码 本质锁定 shell——/sbin/nologin却比较特殊，所谓“
系统安全和应用
kid00013的博客
03-07 4763
目录 1.系统账号的安全管理 2.密码的安全管理 3.命令历史记录 4.用户的切换及权限提升 5.grub加密 1.系统账号的安全管理 1）把用户设置为无法登录 所谓“无法登陆”指的仅是这个用户无法使用bash或其他shell来登陆系统而已，并不是说这个账号就无法使用系统资源。举例来说，各个系统账号中，打印作业有lp这个账号管理，www服务器有apache这个账号管理，他们都可以进行系统程序的工作，但就是无法登陆主机而已 如果我们想创建一个新用户并将它设置为无法登陆，可以使用useradd
操作系统安全：常用的PowerShell命令.pptx
06-02
操作系统安全是IT领域中的核心议题，特别是在Windows操作系统中，管理员和安全专家经常使用PowerShell来管理系统的各种方面。PowerShell是一种强大的命令行工具，它基于.NET Framework，允许用户以对象形式处理数据...
操作系统安全：常用的CMD命令.pptx
06-02
以下是一些常见的CMD命令及其在操作系统安全中的应用： 1. **`help`**：显示可用的命令列表。这对于初学者熟悉CMD命令非常有帮助，可以通过查阅这些命令来了解如何执行特定的任务。 2. **`ipconfig`**：查看本地...
Linux下必须要学的系统安全命令第1/4页
09-16
Linux系统安全命令详解 Linux系统安全命令是Linux系统管理员不可或缺的重要知识点，本文将对Linux系统安全命令进行详细的介绍。 Linux系统和Windows NT/2000系统一样是一个多用户的系统，但是它们之间有不少重要的...
labview执行系统命令函数
09-03
总结来说，LabVIEW中的系统命令执行功能是通过`System Exec.vi`或其他相关函数实现的，它使得LabVIEW能够与操作系统深度交互，扩展了LabVIEW的应用范围。在实际应用中，我们需要根据具体需求选择合适的函数，同时...
安全基础 Linux必学的系统安全命令
07-29
以下我们将详细探讨几个关键的系统安全命令。 1. `passwd`命令：`passwd`用于修改用户账户的登录密码。只有具有相应权限的用户（通常是超级用户root）才能进行密码的设置和管理。例如，`-l`选项可以锁定账户，`-u`...
“论系统安全架构设计及其应用”，写作框架，软考高级论文，系统架构设计师论文
科技互联网领域深度探索者，乐于分享与写作。
07-21 639
随着社会信息化进程的加快，计算机及网络已经被各行各业广泛应用，信息安全问题也变得愈来愈重要。它具有机密性、完整性、可用性、可控性和不可抵赖性等特征。信息系统的安全保障是以风险和策略为基础，在信息系统的整个生命周期中提供包括技术、管理、人员和工程过程的整体安全，以保障信息的安全特征。 请围绕“系统安全架构设计及其应用”论题，依次从以下三个方面进行论述。 1.概要叙述你参与管理和开发的涉及安全架构设计的软件项目以及承担的主要工作。 2.请详细论述安全架构设计中鉴别框架和访问控制框架设计的内容，并论述鉴别和
微软蓝屏事件引发对构建更加稳固和安全的网络环境的思考
最新发布
lupai的博客
07-24 329
综上所述，构建更加稳固和安全的网络环境需要政府、企业和用户共同努力，从政策、技术、用户行为等多个方面入手，形成全方位、多层次的网络安全防护体系。构建更加稳固和安全的网络环境是一个系统工程，需要从多个方面入手，包括政策、技术、用户行为等多个层面。建立完善的应急响应机制，制定应急预案和演练计划，提高应对网络攻击和突发事件的能力。鼓励和支持网络安全技术的研发和创新，推动新技术在网络安全领域的应用和推广。加强对用户的网络安全教育，提高用户的网络安全意识和防范能力。
网络战时代的国家安全：策略、技术和国际合作
2301_79955948的博客
07-24 960
网络战时代的国家安全涉及到策略、技术和国际合作等多个方面。
ForCloud全栈安全体验,一站式云安全托管试用 开启全能高效攻防
亚信安全官方账号的博客
07-19 587
一站式云安全托管限时试用 开启全能高效攻防
防火墙--内容安全
banliyaoguai的博客
07-20 1220
内容安全是指对互联网上的内容进行监测、筛选和管理，以确保用户在浏览、使用互联网内容时的安全和合法性。各个厂商在进行内容安全的检测、分析和处理的过程被称为引擎。下面以华为IAE引擎来对内容安全进行学习ID：区分不同的签名对象：服务器，客户端。一般我们将发起连接的设备角色认定为客户端，响应连接并提供服务的角色认定为服务器。严重性：该行为一旦爆发之后，对我们网络系统的影响程度的评级协议/应用程序：这种攻击所承载的协议或者应用。
服务攻防-框架安全（漏洞复现）
m0_74402888的博客
07-21 568
Node.js库中的systeminformation软件包中存在一个命令注入漏洞（CVE-2021-21315。运行dockers容器。
防火墙之内容安全过滤技术篇
qq_67758645的博客
07-19 663
IMAP是一种在线协议，它不用将邮件下载到本地，可以在多台支持IMAP协议的设备上同时进行文件的操作，它会将用户的操作同步到服务器上，实现邮件的共享和同步。而IMAP协议支持双向通信，用户可以在不同的设备上对邮件进行标记、移动、删除等操作，这些操作会实时同步到服务器上，确保邮件状态的一致性。IMAP允许邮件保留在服务器上，用户可以在任何支持IMAP的设备上访问这些邮件，实现邮件的同步和共享。可以执行的动作 --- 告警，阻断，按权重操作 -- 我们可以给每个关键字设置权重值，之后根。（一定时间后会删除）
nginx的配置：TLSv1 TLSv1.1 被暴露不安全
keyboard专栏
07-22 287
要在 Nginx 配置中禁用不安全的 SSL 协议（如 TLSv1 和 TLSv1.1），并仅启用更安全的协议（如 TLSv1.2 和 TLSv1.3），您可以更新您的 Nginx 配置文件。这样，您的 Nginx 服务器将只允许更安全的 TLSv1.2 和 TLSv1.3 协议，并且禁用不安全的 TLSv1 和 TLSv1.1。
探究大语言模型（LLM）漏洞和安全优秀实践
java_cjkl的博客
07-21 1094
你可能已听说过LLM强势亮相，至少ChatGPT就是代表。大语言模型(LLM)指语言处理模型。这类模型经过训练，可以执行各种各样的语言任务：翻译、文本生成和问题回答等。有几个LLM家族和架构，最著名的是GPT(生成式预训练Transformer)。每种 LLM都有各自的特定功能，但本文侧重介绍LLM普遍固有的安全问题。随着越来越多的公司集成LLM以增强用户体验或简化和加速内部流程，这种类型的集成特有的新漏洞随之出现。
安全防御：双机热备
AXDRXS的博客
07-19 1433
因为防火墙上不仅需要同步配置信息，还需要同步状态信息（会话表等），所以，防火墙不能像路由器那样单纯的靠动态协议来实现切换，需要用到双机热备技术。也存在冷备的概念，仅工作一台设备，备份一台设备，备份设备仅同步配置，并不工作，只有在主设备出现故障时，再由管理员替换工作，冷备可能会造成较长时间的业务中断.
强化Linux系统安全：实用命令与策略
Linux系统安全是IT领域中至关重要的议题，本文将深入探讨如何通过使用Linux的常用命令来提升系统的安全性。Linux系统以其稳定性闻名，但即便如此，仍需加强管理以降低潜在风险。本文将从以下几个方面展开： 1. **...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值