Linux 安全之系统引导与登录安全

root密码丢失

centos7启动菜单

第一位为正常启动
第二个为修复模式
这个界面按E键进入引导模块的配置文件

进入编辑模式后，找到linux16开头的地方，按end键到最后，输入 rd.break 按ctrl+x 进入启动

输入 mount -o remount,rw /sysroot/ 命令 重新挂载系统分区
再输入 chroot /sysroot/ 命令，改变根，将/sysroot/变为根目录
修改root密码

如果之前系统启用了selinux,必须执行 touch /.autorelabel 否则系统无法正常启动

这样是不是不安全，如何防止这样随意修改呢
为GRUB2菜单加上防止编辑密码，以防止一些恶意者像刚才一样修改root密码

1.用 grub2-mkpasswd-pbkdf2 命令生成加密口令
2.复制如下部分 grub.pbkdf2.sha512.....
3.编辑 /boot/grub2/grub.cfg
4.做如下修改,在第一个menuentery 前面添加
1.添加 set superusers=”username”
2.添加 password_pbkdf2 username grub.pbkdf2.sha512.10000.BC2B67873856EE911E93480551A6DBBBFF7D053E23AE680440AB3B336A8689A99DA515A31BF86ECD08C5946ED845A775180BC5860B7AC710AB39A7280C2A2FD8.F8C1631F4F1C362B645F26CA6349122F66F596918C6E959336E0DFC1777FBFC1662F7AA7325A2468AC96D99948513A3D0B43D19E48D4B3BC02A43E3900C84605

(这里把pbk输错了。。。这个不正确的话用户名密码检验会失败，进入不了编辑模式)
重启后按e进入编辑模式时提示输入用户名和密码，增强安全性

修复MBR

MBR(Master Boot Record 主引导记录)
磁盘的0柱面、0磁头、1扇区称为主引导扇区。其中446Byte是bootloader，64Byte为Partition table，剩下2 Byte为Magic number

1.先进行备份，在破坏
2.使用dd命令，将sda的MBR进行备份
dd if=/dev/sda of=/root/mbr.bak count=1 bs=512
3.再使用zero设备生成446字节的“0”写入MBR
dd if=/dev/zero of=/dev/sda count=1 bs=446

重启后发现系统已坏

如何修复
1.装入系统光盘
2.进入救援模式 Troubleshooting
3.进入rescue
4.countine 将/挂载到/mnt/sysimage
5.chroot /mnt/sysimage 进入命令行模式
6.grub2-install /dev/sda 重新安装MBR
7.ctrl+D回到救援模式，reboot重启系统

如果grub坏了怎么办呢

grub修复

1.先备份grub
mkdir /root/grub2.bak
chmod 600 grub2.bak
cp -rf /boot/grub2/* /root/grub2.bak/
2.破坏grub2的主配置文件
rm -f /boot/grub2/grub.cfg
reboot

启动后将备份拷贝回去

这里有个小问题就是实际的root目录不一定是/dev/mapper/centos-root分区，可能是sda2或者其他的分区