Linux——系统安全及应用（账号安全、su命令、PAM认证、sudo命令）

Linux——系统安全及应用（账号安全、su命令、PAM认证、sudo命令）

一、账号安全基本措施
1、系统账号清理
----将非登录用户的Shell设为/sbin/nologin（禁止用户登录）-----
usermod -S /sbin/nologin 用户名

------锁定长期不使用的账号-----
usermod -L 用户名
passwd -l 用户名
passwd -S 用户名

-----删除无用的账号-----
userdel [-r] 用户名

----锁定账号文件passwd、shadow----
锁定文件并查看状态
chattr +i /etc/passwd /etc/shadow
lsattr /etc/passwd /etc/shadow

解锁文件
chattr -i /etc/passwd /etc/shadow

2、密码安全控制
设置密码有效期
vim /etc/shadow 第五个字段查看密码有效期
要求用户下次登陆时修改密码
-----修改密码配置文件适用于新建用户-----
[root@localhost ~]# vi /etc/login.defs ##修改密码配置文件
…
PASS_MAX_DAYS 30

-------适用于已有用户------
[root@localhost ~]# chage -M 30 lisi ##直接修改有效期
[root@localhost ~]# cat /etc/shadow | grep lisi

[root@localhost ~]# chage -d 0 zhangsan ##强制在下次登录时更改密码
[root@localhost ~]# cat /etc/shadow | grep zhangsan ##shadow文件中的第三个字段被修改为0

3、命令历史限制
减少记录的命令条数
登录时自动清空命令历史
[root@localhost ~]# vi /etc/profile
export HISTSIZE=200
[root@localhost ~]# source /etc/profile
[root@localhost ~]# vi ~/.bashrc
echo"" > ~/.bash_history

4、终端自动注销
闲置600秒后自动注销
[root@localhost ~]# vi /etc/profile
…
export TMOUT=600 ##设置注销时间为600秒
[root@localhost ~]# source /etc/profile ##重新加载配置文件

二、使用su命令切换用户
1、用途及用法
用途：Substitute User，切换用户
格式：su - 目标用户
2、密码验证
root->任意用户，不验证密码
普通用户->其他用户，验证目标用户的密码
[jerry@localhost ~]$ su - root
##带-选项表示将使用目标用户的登录Shell环境
口令:
[root@localhost ~]# whoami
root

3、限制使用su命令的用户
将允许使用su命令的用户加入wheel组
启用pam_wheel认证模块

以上两行是默认状态(即开启第一行，注释第二行)，这种状态下是允许所有用户间使用su命令进行切换的。
两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码:如果第–行不注
释，则root 使用su切换普通用户就不需要输入密码( pam_ rootok. so模块的主要作用是使uid为0的用户，即
root用户能够直接通过认证而不用输入密码。)
如果开启第二行，表示只有root用户和wheel1组内的用户才可以使用su命令。
如果注释第一行，开启第二行，表示只有whee1组内的用户才能使用su命令，root用户也被禁用su命令。

4、查看su操作记录
安全日志文件：/var/log/secure

三、使用sudo机制提升权限
1、su命令的缺点
默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险
2、sudo命令的用途及用法
用途：以其他用户身份（如root）执行授权的命令
用法：sudo授权命令
3、配置sudo授权
visudo
或
vi /etc/sudoers（此文件的默认权限为440，保存并退出时必须执行":wq!"命令来强制操作）

语法格式：
用户 主机名=命令程序列表
用户 主机名=（用户） 命令程序列表

4、启用sudo操作日志
vi sudo
Defaults logfile = “/var/ log/sudo”

5、查看sudo操作记录
需启用 Defaults logfile 配置
默认日志文件：/var/log/sudo

6、查询授权的sudo操作
sudo -l
su - Tom
/sbin/ifconfig ens33:0 192.168.1.11/24.
sudo /sbin/ifconfig ens33:0 192. 168.1.11/24
#初次使用sudo时需验证当前用户的密码，默认超时时长为5分钟，在此期问不再重复验证密码。
sudo -l
ns33:0 192.168.1.11/24.
sudo /sbin/ifconfig ens33:0 192. 168.1.11/24
#初次使用sudo时需验证当前用户的密码，默认超时时长为5分钟，在此期问不再重复验证密码。
sudo -l
#查看当前用户获得哪些sudo授权