系统安全及应用

目录

账号安全控制

基本安全措施

系统账号清理

密码安全控制

命令历史，自动注销

用户切换与提权

su命令的用法

PAM认证

sudo命令-提升执行权限

在配置文件/etc/sudoers中添加

通过sudo执行特权命令

系统引导和登录控制

开关机安全控制

调整BIOS引导设置

限制更改GRUB引导参数

终端及登录控制

禁止root用户登录

禁止普通用户登录

弱口令检测，端口扫描

弱口令检测-john the Ripper

下载并安装john the Ripper

检测弱口令账号

使用密码字典文件

网络扫描-NMAP

安装NMAP软件包

扫描语法及类型

扫描操作示例

---

账号安全控制

用户账号是计算机使用者的身份凭证或标识,每个要访问系统资源的人,必须凭借其用户账号才能进
入计算机。在Linux系统中,提供了多种机制来确保用户账号的正当、安全使用。

基本安全措施

系统账号清理

        在Linux系统中,除了用户手动创建的各种账号之外,还包括随系统或程序安装过程而生成的其他大量账号。除了超级用户root之外,其他大量账号只是用来来维护系统运作、启动或保持服务进程,一般是不允许登录的,因此也称为非登录用户账号。

     常见的非登录用户账号包括bin、daemon、adm、lp、mail等。为了确保系统安全,这些用户账号的登录Shell通常是/sbin/nologin,表示禁止终端登录,应确保不被人为改动。

[root@localhost ~]# grep "/sbin/nologin$" /etc/passwd
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2: daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin

      各种非登录用户账号中,还有相当一部分是很少用到的,如games。这些用户账号可以视为冗余账号,直接删除即可。除此之外,还有一些随应用程序安装的用户长号,若卸载程序以后未能自动删除,则需要管理员手动进行清理。
       对于Linux服务器中长期不用的用户账号,若无法确定是否应该删除,可以暂时将其锁定。例如,
若要锁定、解锁名为zhangsan的用户账号,可以执行以下操作(passwd、usermod命令都可用来锁定、解锁账号)。

[root@localhost ~]# usermod -L zhangsan
[root@localhost ~]#passwd -S zhangsan
zhangsan LK 2017-08-24 0 99997-1(密码已被锁定）[root@localhost ~]# usermod -U zhangsan //解锁账号
[root@localhost ~]# passwd -S zhangsan
zhangsan PS 2017-08-24 0 99997-1(密码已设置,使用SHA512算法。)

 如果服务器中的用户账号已经固定,不再进行更改,还可以采取锁定账号配置文件的方法。使用chattr命令,分别结合"+i""-i"选项来锁定、解锁文件,使用1sattr命令可以查看文件锁定情况

[root@localhost ~]# chattr +i /etc/passwd /etc/shadoW
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 
-----i------------ /etc/passwd
-----i------------ /etc/shadow
[root@localhost ~]# chattr -i /etc/passwd /etc/sshadow
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 
------- /etc/passwd
------- /etc/shadow

 在账号文件被锁定的情况下,其内容将不允许变更,因此无法法添加、删除账号,也不能更改用户的密
码、登录Shell、宿主目录等属性信息。

[root@localhost ~]# chattr +i /etc/passwd /etc/shadJOW
[root@localhost ~]# useradd billgate
useradd:无法打开/etc/passwd

密码安全控制

     在不安全的网络环境中,为了降低密码被猜出或被暴力破解的风险,用户应养成定期更改密码的习惯,避免长期使用同一个密码。管理员可以在服务器端限制用户密码的最大有效天数,对于密码已过期的用户,登录时将被要求重新设置密码,否则将拒绝登录。

[root@localhost ~]# vi /etc/login.defs
PASS_MAX_DAYS 30
[root@localhost ~]# chage -M 30 lisi

      在某些特殊情况下,如要求批量创建的用户初次登录时必须自设密码,根据安全规划统一要求所有用户更新密码等,可以由管理员执行强制策略,以便用户在下登录时必须更改密码。

[root@localhost ~]# chage -d 0 zhangsan
[root@localhost ~]#
Localhost login: zhangsan
password:
You are required to change your password immediately(root enforced)
Changing password for zhangsan.//强制修改 zhangsan的密码
(current) UNIX password:
New password:
Retype new password:

命令历史，自动注销

     Shell环境的命令历史机制为用户提供了极大的便利,但另一方面也给用户带来了潜在的风险。只要获得用户的命令历史文件,该用户的命令操作过程将会一览无余,如果曾经在命令行输入明文的密码,则无意之中服务器的安全壁垒又多了一个缺口。
     Bash终端环境中,历史命令的记录条数由变量HISTSIZE控制,默认为1000条。通过修改/etc/profile文件中的HISTSIZE变量值,可以影响系统中的所有用户。

[root@localhost ~]# vi/etc/profile
HISTSIZE=200
[root@localhost ~]# export HISTSIZE=200

      除此之外,还可以修改用户宿主目录中的~/.bash_logout文件,添加清空历史命令的操作语句。这样,当用户退出已登录Bash环境以后,所记录的历史命令令将自动清空。

[root@localhost ~]# vi ~/.bash_logout
history -c
clear

     Bash终端环境中,还可以设置一个闲置超时时间,当超过指定的时间没有任何输入时即自动注销终端,这样可以有效避免当管理员不在时其他人员对服务器的误操作区风险。闲置超时由变量TMOUT来控制,默认单位为秒(s)。

[root@localhost ~]# vi/etc/profile
export TMOUT=600
[root@localhost ~]# export TMOUT=600 

 注意：当正在执行程序代码编译、修改系统配置等耗时较长的操作作时,应避免设置TMOUT变量。必要时可以执行"unset TMOUT"命令取消 TMOUT变量设置。

用户切换与提权

     大多服务器（linux）不建议用户直接root用户登录。一方面可以大大减少因操作而导致的破坏,另一方面也降低了特权密码在不安全的网络中被泄露的风险。鉴于这些原因,需要为普通用户提供一种身份切换或权限提升机制,以便在必要的时候执行管理任务。

     Linux系统为我们提供了su、sudo两种命令,其中ssu命令主要用来切换用户,而sudo命令用来提升执行权限,下面分别进行介绍。

su命令的用法

      使用su命令时，可以切换为指定的另一个用户，从而具有该用户的所有权限。切换用户时需要目标用户的密码（root切换其他用户除外）。

[jerry@localhost ~]$ su - root
密码://输入用户 root的口令
[root@localhost ~]#//验证成功后获得 root 权限

      上述命令操作中,选项"-"等同于"--login"或"-1",表示切换用户后进入目标用户的登录Shell环境,若缺少此选项则仅切换身份、不切换用户环境。对于切换换为root用户的情况,"root"可以省略。

      默认情况下，任何用户都可以通过使用su切换用户来知晓密码，同时也带来了一定的风险，可以借助pam_wheel认证模块，允许及格别用户使用su，以此来加强su命令的使用控制。

[root@localhost ~]# gpasswd -a tsengyia wheel
[rootalocalhost -]# grop wheel /etc/group//候il wheel _ group
wheel:x:10:tsengyia
[root@localhost ~]# vi /etc/pam.d/su
#%PAM-1.0
authsufficient pam_rootok.so
auth required pam_wheel.so use_uid

 启用pam_wheel认证，莫加入到wheel组的用户将会被禁止使用su命令。

[jerry@localhost ~]$ su - root
密码:
su:拒绝权限
[jerry@localhost ~]$

 使用su命令切换命令的操作会记录到/var/log/secure中，如需可查看。

PAM认证

PAM是liunx系统可插拔的认证模块，是一种高效灵活便利的用户级别认证方式。

PAM提供了对所有服务认证的中央机制，适用于login，远程登录（fsh，ftp）su命令等应用程序中。

PAM认证一般遵循顺序：service（服务）——PAM（配置文件）——pam_*.so;

PAM认证先确定那个服务，然后加载相应的PAM配置文件（位于/etc/pam.d），最后调用认证文件（位于/lib/security）进行安全认证；

用户访问服务器时，服务器某个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。

如果想查看某个程序是否支持PAM认证,可以用1s命令进行查看,例如执行以下命令可以查看su是否支持PAM模块认证。

[root@localhost ~]# ls /etc/pam.d/ | grep su
su
sudo
sudo-i
su-1

 su的PAM配置文件的具体内容

[root@localhost ~]# cat /etc/pam.d/su
#%PAM-1.0
auth sufficient pam_rootok.so
# Uncomment the following line to implicitly trustusers in the "wheel" group. #auth
sufficient pam_wheel.so trust use uid
# Uncomment the following line to require a userto be in the "wheel" group.
#auth required pam_wheel.so use_uid
auth substack system-auth
auth include postlogin
account sufficient pam_succeed_if.so uid = 0 use_uid quiet
account include system-auth

 每一行都是一个独立的认证过程

每一行可以区分为3个模块：认证，控制模块，PAM模块及其参数

认证管理：接受用户和密码，对密码进行认证

账户管理：检查账号是否被允许登录，是否过期，是否有时间段限制

密码管理：主要用于修改用户的密码

会话管理：主要提供会话的管理和记账

控制类型也可以称做ControlFlags,用于PAM验证类型的返回结果。
required验证失败时仍然继续,但返回Fail
requisite验证失败则立即结束整个验证过程,返回Fail
sufficient验证成功则立即返回,不再继续,否则忽略结果并继续
optional不用于验证,只是显示信息(通常用于session类型

sudo命令-提升执行权限

      通过管理员预先授权指定哪些用户可以以超级用户（或普通用户）的身份来执行哪些命令，就可以在不知道目标用户的登录密码下进行登录。

在配置文件/etc/sudoers中添加

      sudo机制的配置文件为/etc/sudoers，文件的默认权限为440.需要使用专门的visudo工具进行编辑。vi编辑完成后需执行“w！”命令强制保存，反之则成为只读文件。

      配置文件/etc/sudoers，授权记录基本配置格式：user MACHINE=COMMANDS 

     授权配置主要包括用户，主机，命令三各部分，即授权那些人在哪些主机执行哪些命令。

     用户(user):直接授权指定的用户名,或采用"%组名"的形式(授权一个组的所有用户)。
     主机(MACHINE):使用此配置文件的主机名称。此部分主要是方便在多个主机间共用同一份
sudoers文件,一般设为localhost或者实际的主机名即可。
     命令(COMMANDS):允许授权的用户通过sudo方式执行的特权命令,需填写命令程序的完整
路径,多个命令之间以逗号","进行分隔。

      典型的sudo配置记录中,每行对应一个用户或组的sudo授权配置。例如,若要授权用户 jerry能
够执行 ifconfig命令来修改IP地址,而wheel组的用户无需验证密码即可执行任何命令,可以执行
以下操作。

[root@localhost ~]# visudo
jerry localhost=/sbin/ifconfig
%wheel ALL=NOPASSWD: ALL

        当使用相同授权的用户较多，或授权命令较多，可以采用集中定义的别名。用户，主机，命令部分都可以定义为别名(必须为大写),分别通过关键字User_Aliaas、Host_Alias、Cmnd_Alias *进行设置。

         例如,以下操作通过别名方式来添加授权记录,允许用户jerry、tom、tsengyia在主机smtp、pop中执行rpm、yum命令。

[root@localhost ~]# visudo
User_Alias OPERATORS=jerry,tom,tsengyia
Host_Alias MAILSVRS=smtp,pop
"Cmnd_Alias PKGTOOLS=/bin/rpm,/usr/bin/yum"
OPERATORS MAILSVRS=PKGTOOLS

       sudo配置记录命令部分允许使用通配符“*”，取反号“！”，当需要授权某个目录下所有目录或取消其中个别命令时特别有用。

      例如,若要授权用户syrianeer可以执行/sbin/目录下除 ifconfig，route以外的其他所有命令程序,可以执行以下操作。

[root@localhost ~]#Visudo 
syrianer localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route

     默认情况下，通过sudo方式执行操作并不记录。若要启用sudo日志记录以备管理员查看,应
在/etc/sudoers文件中增加"Defaultslogfile"设置。

[root@localhost ~]# visudo 
Defaults logfile = "/var/log/sudo"

通过sudo执行特权命令

       对于已授权的用户，通过sudo方式执行特权命令时，只需要将正常的命令行作为sudo命令的参数即可。由于特权命令程序通常位于/sbin、/usr/sbin等目录下,普通用户执行时应使用绝对路径。
       以下操作验证了使用 sudo方式执行命令的过程。

[jerry@localhost ~]$ /sbin/ifconfig ens33:0 1922.168.1.11/24
SIOCSIFADDR:不允许的操作
SIOCSIFFLAGS:不允许的操作
SIOCSIFNETMASK:不允许的操作[jerry@localhost ~]$ sudo /sbin/ifconfig ens33:0192.168.1.11/24[sudo] password for jerry:[jerry@localhost ~]$ /sbin/ifconfig ens33:0查看执行结果

          在当前会话过程中,第一次通过sudo执行命令时,必须以用户自己的密码(不是root用户或其他
用户的密码)进行验证。此后再次通过 sudo执行命令时,只要与前一次sudo操作的间隔时间不超过
5min(分),则不再重复验证。

          若要查看用户自己获得哪些sudo授权,可以执行"sudo-1"命令。未授权的用户将会得到"may not run sudo"的提示,已授权的用户则可以看到自己的sudo配置。

[syrianer@localhost ~]$ sudo -l
[sudo] password for syrianer:

 用户 syrianer可以在该主机上运行以下命令:
(root)/sbin/*,(root) !/sbin/ifconfig,(root)!/sbin/route

如果已经启用sudo日志,则可以从/var/log/sudo文件中看到用户的sudo操作记录。

[root@localhost ~]# tail /var/log/sudo
Aug 24 23:59:44 : jerry : TTY=pts/0 ; PWD=/home/jerry; USER=root;
COMMAND=/sbin/ifconfig ens 33:0 192.168.1.11/244
Aug 25 00:00:46 : syrianer : TTY=pts/1 ; PWD=/home/syrianer ; USER=root;
COMMAND=list

系统引导和登录控制

      在互联网环境中,大部分服务器是通过远程登录的方式来进行管理的,而本地引导和终端登录过程往往容易被忽视,从而留下安全隐患。特别是当服务器所在的机房环境缺乏严格、安全的管控制度时,如何防止其他用户的非授权介入就成为必须重视的问题。

开关机安全控制

     对于服务器主机,其物理环境的安全防护是非常重要的,不仅要保持机箱完好、机柜锁闭,还要严格控制机房的人员进出、硬件设备的现场接触等过程。在开关几安全控制方面,除了要做好物理安全防护以外,还要做好系统本身的一些安全措施。

调整BIOS引导设置

将第一优先引导设备(FirstBootDevice)设为当前录系统所在磁盘
禁止从其他设备(如光盘、U盘、网络等)引导系统,对应的功项设为"Disabled"
将BIOS的安全级别改为"setup",并设置好管理密码,以防止未授权的修改

限制更改GRUB引导参数

      为GRUB菜单设置的密码建议采用"grub2-mkpasswd-pbkdf2"命令生成,表现为经过PBKDF2算
法加密的字符串,安全性更好。生成密码后在/etc/grub.d/00_hheader配置文件中,添加对应的用户、
密码等配置,具体添加内容如下所示。

[root@localhost ~]# grub2-mkpasswd-pbkdf2
输入密码:
重新输入口令:
您的密码的PBKDF2哈希为grub.pbkdf2.sha512.10000.008E820A9C9582F74076E7
47CF75F1E642C21CFA6B555DD2DF61D0A90DF98DAAFA8E83F3FC188BDE774C4B28ED158D
2C274E9E4B24E91AFAE763F0FF6CE467AF.19B3E9E44CB15605F64B80BFE6BA04428ABB29
FF9CD1AA2D051DA20752600B898F8C49653DA224F58E39CBA1E5D798994BBB9A25B0B6EF1
2FFC9B26F17864C5871

[root@localhost ~]# cp /boot/grub2/grub.cfg/boot/grub2/grub.cfg.bak
[root@localhost ~]# cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
[root@localhost ~]# vim /etc/grub.d/01_users
#!/bin/sh -e
cat << EOF
set superusers="root"
export superusers
password_pbkdf2 root grub.pbkdf2.sha512.10000.008E820A9C9582F74076E747CF
75F1E642C21CFA6B555DD2DF61D0A90DF98DAAFA8E83F3FC188BDE774C4B28ED158D2C27
4E9E4B24E91AFAE763F0FF6CE467AF.19BE9E44CB15605F64B80BFE6BA04428ABB29FF9C
D1AA2D051DA20752600B898F8C49653DA24F58E39CBA1E5D798994BBBB9A25B0B6EF12FFC
9B26F17864C5871
EOF

 使用grub2-mkconfig命令生成新的grub.cfg配置文件。

[root@localhost ~]# grub2-mkconfig -o /boot/grub2/grub.ccfg
//生成新的grub.cfg文件
file Found linux Generating grub configuration image:
/boot/vmlinuz-3.10.0-514.el7.x86_64
Found initrd image: /boot/initramfs-3.10.0-514.el7.x86_64.img
Found linux image: /boot/vmlinuz-0-rescue-b15df1eb8205483f9f70c79709810abc
Found initrd image:/boot/initramfs-0-rescue-b15sdf1eb8205483f9f70c79709810abc.img
done

终端及登录控制

       在Linux服务器中,默认开启了六个tty终端,允许任何用户进行本地登录。关于本地登录的安全控制,可以从以下几个方面着手。

禁止root用户登录

       在Linux系统中,login程序会读取/etc/securetty文件,以决定允许root用户从哪些终端(安全终端)登录系统。若要禁止root用户从指定的终端登录,只需从该文件中删除或者注释掉对应的行即可。例如,若要禁止root用户从tty5、tty6登录,可以修改/etc/securetty文件,将tty5、tty6行注释。

[root@localhost ~]# vi /etc/securetty
#tty5
#tty6

禁止普通用户登录

   当服务器正在进行备份或调试等维护工作时,可能不希望再有新的用户登录系统。这时候,只需要简单地建立/etc/nologin文件即可。login程序会检查/etc/nologin文件是否存在,如果存在,则拒绝普通用户登录系统(root用户不受限制)。

[root@localhost ~]# touch /etc/nologin

     此方法实际上是利用了shutdown延迟关机的限制机制,只建议在服务器维护期间临时使用。当手
动删除/etc/nologin文件或者重新启动主机以后,即可恢复正常!

弱口令检测，端口扫描

          本节将学习使用两个安全工具-John the Ripper和NMAP。前者用来检测系统账号的密码强度
后者用来执行端口扫描任务。

弱口令检测-john the Ripper

       JohntheRipper是一款开源的密码破解工具,能够在已知密文的情况下快速分析出明文的密码字
串,支持DES、MD5等多种加密算法,而且允许使用密码字典(包含各种密码组合的列表文件)来进行暴力破解。通过使用John the Ripper,可以检测 Linux/UNIX系统用户账号的密码强度

下载并安装john the Ripper

        以源码包john-1.8.0.tar.gz为例,解压后可看到三个子目录--doc、run、src,分别表示手册文档、运行程序、源码文件,除此之外还有一个链接的说明文文件README。其中,doc目录下包括README、INSTALL、EXAMPLES等多个文档,提供了较全面的使用指导。

[root@localhost ~]# tar zxf john-1.8.0.tar.gz
[root@localhost ~]# cd john-1.8.0
[root@localhost john-1.8.0]# ls -ld * drwxr-xr-x 2 іroot root 208 Sep 14 21:43 doc

      切换到src子目录并执行"makecleanlinux-x86-64"命令,即可执行编译过程。若单独执行 make
命令,将列出可用的编译操作、支持的系统类型。编译完成以后,run子目录下会生成一个名为 john的可执行程序。

[root@localhost john-1.8.0]# cd src/
[root@localhost src]# make clean linux-x86-64 
[root@localhost src]# ls ../run/john

检测弱口令账号

       在安装有JohntheRipper的服务器中,可以直接对/etc/shadow文件进行检测。对于其他Linux服务器,可以对shadow文件进行复制,并传递给john程序进行检测。只需执行 run 目录下的john程序,将待检测的shadow文件作为命令行参数,就可以开始弱口令分析了。

[root@localhost src]# cp /etc/shadow /root/shadow.txt
[root@localhost src]# cd ../run
[root@localhost run]# ./john /root/shadow.txt

      在执行过程中,分析出来的弱口令账号将即时输出,第一列为密码码字串,第二列的括号内为相应的用户名(如用户kadmin的密码为"123456")。默认情况下,johr将针对常见的弱口令设置特点,尝试破解已识别的所有密文字串,如果检测的时间太长,可以按Ctrl+C组合键强行终止。破解出的密码信息自动保存到john.pot文件中,可以结合"--show"选项进行查看。

[root@localhost run]# ./john --show /root/shadowh. txt

使用密码字典文件

      JohntheRipper默认提供的字典文件为password.lst,其列出了3000多个常见的弱口令。如果有必要,用户可以在字典文件中添加更多的密码组合,t也可以直接使用更加完整的其他字典文件。执行
john程序时,可以结合"--wordlist="选项来指定字典文件的位置,以便对指定的密码文件进行暴力分析。

[root@localhost run]# :> john.pot
[root@localhost run]# ./john --wordlist=./password.ist /root/shadow.txt

网络扫描-NMAP

      NMAP是一个强大的端口扫描类安全评测工具,官方站点是http://nmap.org/。NMAP被设计为检
测众多主机数量的巨大网络,支持ping扫描、多端口检测、OS识别等多种技术。使用NMAP定期扫描内部网络,可以找出网络中不可控的应用服务,及时关闭不安全的服务,减小安全风险。

安装NMAP软件包

[root@localhost ~]# yum install -y nmap

扫描语法及类型

NMAP的扫描程序位于/usr/bin/nmap目录下,使用时基本命令终式如下所示
nmap  [扫描类型]   [选项]  <扫描目标...>

比较常用的几种扫描类型如下。
-SS,TCP SYN扫描):只向目标发出SYN数据包,如果收到SYN/ACK响应包就认
为目标端口正在监听,并立即断开连接;否则认为目标端口并未开放
ST,TCP连接扫描:这是完整的TCP扫描方式,用来建立一个TCP连接,如果成功则认为目
标端口正在监听服务,否则认为目标端口并未开放。

-SF,TCP FIN 扫描:开放的端口会忽略这种数据包,关闭的端口会回应RST数据包。许多防
火墙只对SYN数据包进行简单过滤,而忽略了其他形式的TC攻击包。这种类型的扫描可间接
检测防火墙的健壮性。
-SU,UDP扫描:探测目标主机提供哪些UDP服务,UDP 扫描的速度会比较慢。
-sP,ICMP 扫描:类似于ping检测,快速判断目标主机是否存活,不做其他扫描
-P0,跳过ping检测:这种方式认为所有的目标主机是存活的,当对方不响应ICMP请求时,
使用这种方式可以避免因无法ping通而放弃扫描。

扫描操作示例

检查开放哪些常用的TCP端口，UDP端口。

[root@localhost ~]# nmap 127.0.0.1

[root@localhost ~]# nmap -sU 127.0.0.1

检查192.168.4.0/24 网段中有哪些主机提供FTP服务

[root@localhost ~]# nmap -p 21 192.168.4.0/24

 快速检测192.168.4.0/24网段中有哪些存活的主机

[root@localhost ~]# nmap -n -sP 192.168.4.0/24

 检测IP地址位于192.168.4.100~200的主机是否开启文件共享服务。

[root@localhost ~]# nmap -p 139,445 192.168.4.100-200