Linux------系统安全及应用（万字图文详解）

最新推荐文章于 2023-10-12 16:14:38 发布

下雨天的放羊娃

最新推荐文章于 2023-10-12 16:14:38 发布

阅读量314

点赞数 4

文章标签： linux 安全

本文链接：https://blog.csdn.net/weixin_55611216/article/details/116052381

版权

Linux 专栏收录该内容

15 篇文章 0 订阅

订阅专栏

本文详细介绍了Linux系统中的账号安全控制措施，如清理无用账号、密码策略、命令历史限制和终端自动注销。重点关注su命令的使用限制、PAM安全认证流程，以及如何通过sudo机制提升权限和开关机安全设置。同时涵盖弱口令检测与网络端口扫描的实践方法。

摘要由CSDN通过智能技术生成

一.账号安全控制

1.系统账号清理

✪将非登录用户的Shell设为/sbin/nologin

usermod  -s  /sbin/nologin

✪锁定长期不使用的账号

usermod  -L  用户名    锁定账户
passwd   -l  用户名    锁定账户密码
passwd   -S  用户名    查看账户状态

✪删除无用账号

userdel  [-r] 用户名    加-r会把账户的宿主目录也一起删除

✪锁定账号文件

chattr   +i  /etc/passwd  /etc/shadow      锁定文件
lsattr   /etc/passwd  /etc/shadow          查看文件状态
chattr   -i  /etc/passwd  /etc/shadow      解锁文件

在这里插入图片描述

2.密码安全控制

✪设置密码有效期
✪要求用户下次登录时修改密码

vim  /etc/login.defs
……
PASS_MAX_DAYS  30               修改密码配置文件，适用于新建用户
cat  /etc/shadow|grep 用户名        查看/etc/shadow文件中用户名相关的信息

在这里插入图片描述

chage   -M   时间  用户           设置该用户密码的有效期
chage   -E   日期（xxxx-xx-xx） 用户     设置用户密码的失效时间
cat  /etc/shadow|grep 用户名        查看/etc/shadow文件中用户名相关的信息

在这里插入图片描述

chage   -d   o  用户      要求用户下次登录时修改密码
cat  /etc/shadow|grep 用户名        查看/etc/shadow文件中用户名相关的信息

在这里插入图片描述

3.命令历史限制

✪减少记录的命令条数
✪登录时自动清空命令历史

vim  /etc/profile           用VI编辑器设置全局变量配置文件
export HISTSIZE=200         在文件的最后一行加入export HISTSIZE=200
source  /etc/profile        重新加载/etc/profile文件中的内容
history                     查询历史使用命令

在这里插入图片描述

vim ~/.bashrc               编辑~/.bashrc文件
echo"">~/.bash_history      在~/.bashrc文件的最后一行加入echo"">~/.bash_history，表示
                            在重新登录系统时使用空字符重新定义历史命令

在这里插入图片描述

4.终端自动注销

✪闲置120秒后自动注销

vi /etc/profile         使用vi编辑器打开/etc/profile文件
……
export   TMOUT=120      最后一行加入export   TMOUT=120
source  /etc/profile    重新加载/etc/profile文件中的内容

在这里插入图片描述

二.su命令

1.用途及用法

✪用途：Substitute User，切换用户

su —— 目标用户

2.密码验证

✪root→任意用户，不用验证密码
✪普通用户→其他用户，验证目标用户的密码

su  ——  root         带——选项表示将使用目标用户的登录Shell环境
whoammi               查看当前登录的用户名

在这里插入图片描述

3.限制使用su命令的用户

✪将允许使用su命令的用户加入wheel组
✪启用pam_wheel认证模块

gpasswd  -a  BM  wheel       将用户 BM 加入到 wheel 组中

在这里插入图片描述

vim /etc/pam.d/su           使用vi编辑器进入/ec/pam.d/su文件
#%PAM-1.0
……
auth  sufficient  pam_rootok.so     
……
auth  required pam_wheel.so  use_uid
……

在这里插入图片描述

1.以上两行是默认状态(即开启第一行，注释第二行)，这种状态下是允许所有用户间使用su命令进行切换的。
2.两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码;如果第一行不注释，则root使用su切换普通用户就不需要输入密码(pam rootok. so模块的主要作用是使uid为0的用户，即root用户能够直接通过认证而不用输入密码。
3.如果开启第二行，表示只有root用户和whee1组内的用户才可以使用su命令。
4.如果注释第一行，开启第二行，表示只有wheel组内的用户才能使用su命令，root用户也被禁用su命令。
启用pam_wheel认证以后，未加入到wheel组内的其他用户将无法使用su命令
在这里插入图片描述

三.Linux中的PAM安全认证

1.su命令的安全隐患

✪默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户(如root) 的登录密码，带来安全风险。
✪为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换。

2.PAM(Pluggable Authentication Modules)可插拔式认证模块

✪是一种高效而且灵活便利的用户级别的认证方式。
✪也是当前Linux服务器普遍使用的认证方式。
✪Linux-PAM，是linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。
✪PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放置在/lib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的。

3.PAM认证原理

① PAM认证一般遵循的顺序: Service (服务) --> PAM (配置文件) --> pam * .so;
② PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证模块(位于/lib64/security/下)进行安全认证。
③用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。
如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看/etc/pam.d/。
在这里插入图片描述

4.PAM配置文件

PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用。
在这里插入图片描述

第一列代表：PAM认证模块类型
auth: 对用户身份进行识别，如提示输入密码，判断是否为root。
account:对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
password: 使用用户信息来更新数据，如修改用户密码。
session: 定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。
第二列代表：PAM控制标记
required:表示需要返回-一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。
requisite:与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient:如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响这类型的返回值。
optional: 不进行成功与否的返回，一般不用于验证，只是显示信息(通常用于session类型)。
include: 表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth (主要负责用户登录系统的认证工作)来实现认证而不需要重新逐一去写配置项。
第三列代表：PAM模块
默认是在/lib64/security/旧录下，如果不在此默认路径下，要填写绝对路径。
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。
第四列代表：PAM模块的参数，
这个需要根据所使用的模块来添加。
传递给模块的参数。参数可以有多个，之间用空格分隔开

5.PAM安全认证流程

✪控制类型也称做Control Flags,用于PAM验证类型的返回结果
1.required验证失败时仍然继续，但返回Fail。
2.requisite验证失败则立即结束整个验证过程，返回Fail。
3. sufficient验证成功则立即返回，不再继续，否则忽略结果并继续。
4.optional不用于验证，只显示信息(通常用于session类型)。
在这里插入图片描述

四.使用sudo机制提升权限

sudo命令的用途及用法
✪用途：以其他用户身份（如root）执行授权的命令
✪用法： sudo 授权命令

1.配置sudo授权

vi sudo或者vi  /etc/sudoers       此文件的默认权限为440，保存退出时必须执行“：wq！“命令强制操作）

在这里插入图片描述

2.语法格式

用户  主机名=命令程序列表
用户  主机名=（用户）命令程序列表

✪用户：直接授权指定的用户名，或采用“%组名”个形式（授权一个组的所有用户）
✪主机名：使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则用实际的主机名，ALL则代表所有主机。
✪==（用户）：用户能够以何种身份来执行命令。此项可省略，缺省时以root用户的身份来运行命令
✪命令程序列表==：允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，多个命令之间逗号“，”进行分隔。ALL则代表系统中的所有命令。

BM ALL=/sbin/ifconfig         BM用户在所有主机上都有ifconfig的权限
BM localhost=/sbin/*,!/sbin/reboot,!/sbin/poweroff    通配符“*”表示所有，取反符号“！”表示排除
表示BM用户除了重启和关机不能执行，其他的都可执行
%wheel ALL=NOPASSWD:ALL    表示wheel组成员无需验证密码即可使用sudo执行任何命令

在这里插入图片描述

3.创建别名

使用关键字User_Alias，Host_Alias，Cmnd_Alias来进行设置别名（别名必须为大写）
User_Alias USERS=BM，1     用户别名：BM，1
Host_Alias HOSTS=localhost，newname     主机名：localhost，newname     主机名：localhost，newname
Cmnd_ Alias CMNDS=/sbin/ifconfig, /usr/sbin/useradd, /usr/sbin/userdel       命令别名
USERS HOSTS=CMNDS     使用别名

在这里插入图片描述

4.查看sudo操作记录

需启用Default logfile配置
默认日志文件：/var/log/sudo
查询授权的sudo操作

visudo
Defaults logfile = /var/log/sudo     启用Default  logfile配置
sudo  -l      查看当前用户获得了哪些sudo授权

在这里插入图片描述

五.开关机安全控制

1 调整BISO引导设置

❉将第一引导设备设为当前系统所在的硬盘
❉禁止从其他设备（光盘，U盘，网络）引导系统
❉将安全级别设为setup，并设置管理员密码

2 GRUB限制

使用grub2-mkpasswd-pbkdf2生成密钥
修改/etc/grub.d/00_header文件中，添加密码记录
生成新的grub.cfg配置文件

在这里插入图片描述

grub2 -mkpasswd -pbkdf2                              根据提示设置GRUB菜单的密码
PBKDF2 hash of your password is grub.pbkdf2.....                省略部分内容为经过加密生成的密码字符串
cp /boot/grub2/grub.cfg  /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

vim /etc/grub.d/00_header
cat << EOF
set superusers="root "                       设置用户名为root
password_pbkdf2 root grub.pbkdf2.....       设置密码，省略部分内容为经过加密生成的密码字符串
EOF

grub2—mkconfig -o /boot/grub2/grub.cfg       生成新的grub.cfg 文件
重启系统进入GRUB菜单时，按e键将需要输入账号密码才能修改引导参数。

在这里插入图片描述

3终端登录安全控制

✪限制root只在安全终端登录
❉安全终端配置：/etc/securetty

vim /etc/securetty
……
#tty5            禁止root用户从终端tty5登录
#tty6            禁止root用户从终端tty6登录

在这里插入图片描述
✪禁止普通用户登录
❉建立/etc/nologin文件
❉删除nologin文件或重启后恢复正常

touch /etc/nologin       禁止普通用户登录
rm -rf /etc/nologin      取消上述登录限制

在这里插入图片描述

六.系统弱口令检测

1.安装JR工具

✪John the Ripper ，简称JR。
❉JR是一款开源的密码破解工具，可使用密码字典(包含各种密码组合的列表文件)来进行暴力破解。
❉官网：JR官网

cd /opt
tar zxvf john-1.8.0.tar.gz              解压工具包

yum install -y gcc gcc-c++ make          安装软件编译工具

cd /opt/john-1.8.0/src                   切换到src子目录

make clean linux-x86-64                 进行编译安装

cp /etc/shadow  /opt/shadow.txt        准备待破解的密码文件

在这里插入图片描述

2.密码文件的暴力破解

✪准备好密码字典文件，默认为password.lst
✪执行john程序，结合–wordlist=字典文件

执行暴力破解
cd /opt/john-1.8.0/run
./john /opt/shadow.txt          执行暴力破解

./john --show /opt/shadow.txt       查看已破解出的账户列表

在这里插入图片描述

七.网络端口扫描

1.NMAP

一款强大的网络扫描，安全检测工具
CentOS7.3光盘中安装包nmap-6.40-7.dl7.x86_64.rpm

yum  install -y nmap

在这里插入图片描述

2.NMAP的扫描

nmap  [扫描类型] [选项]   <扫描目标…>

✪nmap命令常用选项和扫描类型
-p: 指定扫描的端口。
-n:禁用反向DNS解析(以加快打描速度)
-sS:TCP的SYN扫描(半开扫描)，只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放。
-sT:TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
-sF:TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
-sU:UDP打描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。
-sP:ICMP扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。
-P0: 跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法ping通而放弃扫描。

nmap  -sT  127.0.0.1      查看本机开放的TCP端口
nmap  -sU  127.0.0.1      查看本机开放的UDP端口

在这里插入图片描述

netstat   -natp      查看正在运行的使用TCP协议的网络状态信息
netstat   -naup      查看正在运行的使用UDP协议的网络状态信息

常用选项

选项	作用
- a	显示主机中所有活动的网络连接信息(包括监听、非监听状态的服务端口)
-n	以数字的形式显示相关的主机地址、端口等信息
-t	查看TCP相关的信息
-u	显示UDP协议相关的信息
-p	显示与网络连接相关联的进程号、进程名称信息(该选项需要root 权限)
-r	显示路由表信息
-l	显示处于监听状态的网络连接及端口信息。