linux文件内核防护,Linux 的一些基本防护

用户账号的管理 chage 命令

[root@diaodu-0001 ~]# useradd oschina

[root@diaodu-0001 ~]# echo 123456 | passwd --stdin oschina

[root@diaodu-0001 ~]# chage -l oschina      #查看账号信息

[root@diaodu-0001 ~]# chage -E 2020-02-02 oschina      #修改账号有效期至2020-02-02

[root@diaodu-0001 ~]# chage -E -1 oschina      #取消对账号有效期的设置 (-1)

使用户初始密码登录，但需设置新密码才能登录系统的方法：chage -d 0 username

[root@diaodu-0001 ~]# chage -d 0 oschina

修改账号默认有效期

[root@diaodu-0001 ~]# vim /etc/login.defs

临时锁定用户 passwd 命令 和 usermod 命令

[root@diaodu-0001 ~]# passwd -l oschina      #锁定用户oschina

Locking password for user oschina.

passwd: Success

[root@diaodu-0001 ~]# passwd -u oschina      #解除对用户oschina的锁定

Unlocking password for user oschina.

passwd: Success

[root@diaodu-0001 ~]# passwd -S oschina      #查看状态

[root@diaodu-0001 ~]# usermod -L oschina      #锁定

[root@diaodu-0001 ~]# usermod -U oschina      #解除

修改登录提示信息(隐藏版本)

[root@diaodu-0001 ~]# vim /etc/issue      #本地登录信息

[root@diaodu-0001 ~]# vim /etc/issue.net       #远程登录信息

Windows Server 2012 Enterprise R2 #修改后的版本号(举例)

NT 6.2 Hybrid

锁定文件 chattr 命令

[root@diaodu-0001 ~]# touch oschina.txt

[root@diaodu-0001 ~]# lsattr oschina.txt       #查看

-------------e-- oschina.txt

[root@diaodu-0001 ~]# chattr +i oschina.txt       #锁定文件(禁止修改、删除)

[root@diaodu-0001 ~]# lsattr oschina.txt

----i--------e-- oschina.txt

[root@diaodu-0001 ~]# chattr -i oschina.txt       #解除锁定

[root@diaodu-0001 ~]# chattr +a oschina.txt       #锁定文件(仅可以追加 >> 操作)

[root@diaodu-0001 ~]# lsattr oschina.txt

-----a-------e-- oschina.txt

[root@diaodu-0001 ~]# chattr -a oschina.txt       #解除锁定

分配管理权限 sudo

[root@diaodu-0001 ~]# sudo -l      #查看当前登录用户sudo权限

格式： su - 用户名     su - 用户名 -c 命令

[root@diaodu-0001 ~]# su - oschina      #切换用户

[root@diaodu-0001 ~]# su - oschina -c 'touch /tmp/oschina1'      #使用oschina用户创建文件

[root@diaodu-0001 ~]# ls -l /tmp/oschina1

-rw-rw-r-- 1 oschina oschina 0 Apr 29 12:16 /tmp/oschina1

修改/etc/sudoers文件改变用户权限

打开/etc/sudoers文件的两种方法：一、vim /etc/sudoers  (需要使用 wq 强制保存) 二、visudo 命令

示例：允许用户oschina 管理系统服务

[root@diaodu-0001 ~]# visudo       #修改配置文件

[root@diaodu-0001 ~]# tail -1 /etc/sudoers

oschina ALL=(ALL)    /usr/bin/systemctl

[root@diaodu-0001 ~]# su - oschina       #切换到oschina用户登录

[oschina@diaodu-0001 ~]$ sudo systemctl start httpd      #oschina用户使用sudo启动服务

[oschina@diaodu-0001 ~]$ netstat -nultp | grep 80

(No info could be read for "-p": geteuid()=1000 but you should be root.)

tcp6       0      0 :::80                   :::*                    LISTEN      -

[oschina@diaodu-0001 ~]$ sudo -l      #查看权限

User oschina may run the following commands on diaodu-0001:

(ALL) /usr/bin/systemctl

示例：允许用户oschina拥有除root用户外对其他用户的设置 修改 权限

[root@diaodu-0001 ~]# vim /etc/sudoers

[root@diaodu-0001 ~]# tail -1 /etc/sudoers

oschina ALL=(ALL)    /usr/bin/passwd,!/usr/bin/passwd root,/usr/sbin/user*,!/usr/sbin/user* * root       #取反 ！   通配符 *

示例：允许wheel组成员拥有特权执行所有命令

[root@diaodu-0001 ~]# vim /etc/sudoers

[root@diaodu-0001 ~]# tail -1 /etc/sudoers

%wheel ALL=(ALL)     ALL

启动sudo日志

[root@diaodu-0001 ~]# visudo

[root@diaodu-0001 ~]# tail -1 /etc/sudoers

Defaults logfile=/var/log/sudo

[root@diaodu-0001 ~]# sudo -l

[root@diaodu-0001 ~]# tail -1 /var/log/sudo

Apr 29 13:03:42 : root : TTY=pts/0 ; PWD=/root ; USER=root ; COMMAND=list

sudo 的别名的设置(注意：大写)

Host_Alias     MAILSERVERS = smtp, smtp2

User_Alias     ADMINS = jsmith, mikem

Cmnd_Alias   SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum