文档章节

Linux 网络安全技巧

有些服务器
 有些服务器
发布于 2015/10/15 20:55
字数 3157
阅读 82
收藏 13
点赞 0
评论 0

网络安全是一个非常重要的课题,基本上你运行的服务后台越多,你就可能打开更多的安全漏洞.如果配置的恰当的话,Linux本身是非常安全可靠的,假使在Linux系统中有某个安全缺陷,由于Linux的源码是开放的,有成千上万的志愿者会立刻发现并修补它。本文旨在介绍用来增强你的网络安全性的常用技巧,以Redhat Linux作为操作环境。


1.操作系统内部的log file是检测是否有网络入侵的重要线索,当然这个假定你的logfile不被侵入者所破坏,如果你有台服务器用专线直接连到Internet上,这意味着你的IP地址是永久固定的地址,你会发现有很多人对你的系统做telnet/ftp登录尝试,试着运行#more /var/log/secure | grep refused 去检查。

2. 限制具有SUID权限标志的程序数量,具有该权限标志的程序以root身份运行,是一个潜在的安全漏洞,当然,有些程序是必须要具有该标志的,象passwd程序。

3.BIOS安全。设置BIOS密码且修改引导次序禁止从软盘启动系统。

4. 用户口令。用户口令是Linux安全的一个最基本的起点,很多人使用的用户口令就是简单的‘password',这等于给侵入者敞开了大门,虽然从理论上说没有不能确解的用户口令,只要有足够的时间和资源可以利用。比较好的用户口令是那些只有他自己能够容易记得并理解的一串字符,并且绝对不要在任何地方写出来。

5./etc/exports 文件。如果你使用NFS网络文件系统服务,那么确保你的/etc/exports具有最严格的存取权限设置,不意味着不要使用任何通配符,不允许root写权限,mount成只读文件系统。编辑文件/etc/exports并且加:例如:

/dir/to/export host1.mydomain.com(ro,root_squash)

/dir/to/export host2.mydomain.com(ro,root_squash)

/dir/to/export 是你想输出的目录,host.mydomain.com是登录这个目录的机器名,ro意味着mount成只读系统,root_squash禁止root写入该目录。

为了让上面的改变生效,运行/usr/sbin/exportfs -a

6.确信/etc/inetd.conf的所有者是root,且文件权限设置为600 。

[root@deep]# chmod 600 /etc/inetd.conf

ENSURE that the owner is root.

[root@deep]# stat /etc/inetd.conf

File: "/etc/inetd.conf"

Size: 2869 Filetype: Regular File

Mode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root)

Device: 8,6 Inode: 18219 Links: 1

Access: Wed Sep 22 16:24:16 1999(00000.00:10:44)

Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16)

Change:Mon Sep 20 10:22:44 1999(00002.06:12:16)

编辑/etc/inetd.conf禁止以下服务:

ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, auth, etc. 除非你真的想用它。特别是禁止那些r命令.如果你用ssh/scp,那么你也可以禁止掉telnet/ftp。

为了使改变生效,运行#killall -HUP inetd 你也可以运行#chattr +i /etc/inetd.conf使该文件具有不可更改属性。只有root 才能解开,用命令 #chattr -i /etc/inetd.conf

7. TCP_WRAPPERS

默认地,Redhat Linux允许所有的请求,用TCP_WRAPPERS增强你的站点的安全性是举手之劳,你可以放入

“ALL: ALL”到/etc/hosts.deny中禁止所有的请求,然后放那些明确允许的请求到/etc/hosts.allow中,如:

sshd: 192.168.1.10/255.255.255.0 gate.openarch.com

对IP地址192.168.1.10和主机名gate.openarch.com,允许通过ssh连接。配置完了之后,用tcpdchk检查

[root@deep]# tcpdchk

tcpchk是TCP_Wrapper配置检查工具,它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。

8. 别名文件aliases

编辑别名文件/etc/aliases(也可能是/etc/mail/aliases),移走/注释掉下面的行。

# Basic system aliases -- these MUST be present.

MAILER-DAEMON: postmaster

postmaster: root

# General redirections for pseudo accounts.

bin: root

daemon: root

#games: root ?remove or comment out.

#ingres: root ?remove or comment out.

nobody: root

#system: root ?remove or comment out.

#toor: root ?remove or comment out.

#uucp: root ?remove or comment out.

# Well-known aliases.

#manager: root ?remove or comment out.

#dumper: root ?remove or comment out.

#operator: root ?remove or comment out.

# trap decode to catch security attacks

#decode: root

# Person who should get root's mail

#root: marc

最后更新后不要忘记运行/usr/bin/newaliases,使改变生效。

9.阻止你的系统响应任何从外部/内部来的ping请求。

既然没有人能ping通你的机器并收到响应,你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local,以使每次启动后自动运行。

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

10. 不要显示出操作系统和版本信息。

如果你希望某个人远程登录到你的服务器时不要显示操作系统和版本信息,你能改变

/etc/inetd.conf中的一行象下面这样:

telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

加-h标志在最后使得telnet后台不要显示系统信息,而仅仅显示login:

11.The /etc/host.conf file

编辑host.conf文件(vi /etc/host.conf)且加下面的行:

# Lookup names via DNS first then fall back to /etc/hosts.

order bind,hosts

# We don't have machines with multiple IP addresses on the same card

(like virtual server,IP Aliasing).

multi off

# Check for IP address spoofing.

nospoof on

IP Spoofing: IP-Spoofing is a security exploit that works by tricking

computers in a trust relationship that you are someone that you really aren't.

12. The /etc/securetty file

该文件指定了允许root登录的tty设备,/etc/securetty被/bin/login程序读取,它的格式是一行一个被允许的名字列表,如你可以编辑/etc/securetty且注释出下面的行。

tty1

#tty2

#tty3

#tty4

#tty5

#tty6

#tty7

#tty8

-意味着root仅仅被允许在tty1终端登录。

13. 特别的帐号

禁止所有默认的被操作系统本身启动的且不需要的帐号,当你第一次装上系统时就应该做此检查,Linux提供了各种帐号,你可能不需要,如果你不需要这个帐号,就移走它,你有的帐号越多,就越容易受到攻击。

为删除你系统上的用户,用下面的命令:

[root@deep]# userdel username

为删除你系统上的组用户帐号,用下面的命令:

[root@deep]# groupdel username

在终端上打入下面的命令删掉下面的用户。

[root@deep]# userdel adm

[root@deep]# userdel lp

[root@deep]# userdel sync

[root@deep]# userdel shutdown

[root@deep]# userdel halt

[root@deep]# userdel mail

如果你不用sendmail服务器,procmail.mailx,就删除这个帐号。

[root@deep]# userdel news

[root@deep]# userdel uucp

[root@deep]# userdel operator

[root@deep]# userdel games

如果你不用X windows 服务器,就删掉这个帐号。

[root@deep]# userdel gopher

[root@deep]# userdel ftp

如果你不允许匿名FTP,就删掉这个用户帐号。

===

打入下面的命令删除组帐号

[root@deep]# groupdel adm

[root@deep]# groupdel lp

[root@deep]# groupdel mail

如不用Sendmail服务器,删除这个组帐号

[root@deep]# groupdel news

[root@deep]# groupdel uucp

[root@deep]# groupdel games

如你不用X Windows,删除这个组帐号

[root@deep]# groupdel dip

[root@deep]# groupdel pppusers

[root@deep]# groupdel popusers

如果你不用POP服务器,删除这个组帐号

[root@deep]# groupdel slipusers

====

用下面的命令加需要的用户帐号

[root@deep]# useradd username

用下面的命令改变用户口令

[root@deep]# passwd username

用chattr命令给下面的文件加上不可更改属性。

[root@deep]# chattr +i /etc/passwd

[root@deep]# chattr +i /etc/shadow

[root@deep]# chattr +i /etc/group

[root@deep]# chattr +i /etc/gshadow

14. 阻止任何人su作为root.

如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行:

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_wheel.so group=isd

意味着仅仅isd组的用户可以su作为root. 然后,如果你希望用户admin能su作为root.就运行下面的命令。

[root@deep]# usermod -G10 admin

16. 资源限制

对你的系统上所有的用户设置资源限制可以防止DoS类型攻击(denial of service attacks)如最大进程数,内存数量等。例如,对所有用户的限制象下面这样:

编辑/etc/security/limits.con加:

* hard core 0

* hard rss 5000

* hard nproc 20

你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。

session required /lib/security/pam_limits.so

上面的命令禁止core files“core 0”,限制进程数为“nproc 50“,且限制内存使用

为5M“rss 5000”。

17. The /etc/lilo.conf file

a) Add: restricted

加这一行到每一个引导映像下面,就这表明如果你引导时用(linux single),则需要一个password.

b) Add: password=some_password

当与restricted联合用,且正常引导时,需要用户输入密码,你也要确保lilo.conf文件不能被不属于root的用户可读,也免看到密码明文。下面是例子:

编辑/etc/lilo.conf加:

====

boot=/dev/sda

map=/boot/map

install=/boot/boot.b

prompt

timeout=50

Default=linux

restricted ?add this line.

password=some_password ?add this line.

image=/boot/vmlinuz-2.2.12-20

label=linux

initrd=/boot/initrd-2.2.12-10.img

root=/dev/sda6

read-only

[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读).

[root@deep]# /sbin/lilo -v (更新lilo配置).

[root@deep]# chattr +i /etc/lilo.conf(阻止该文件被修改)

18. 禁止 Control-Alt-Delete 重启动机器命令

[root@deep]# vi /etc/inittab

ca::ctrlaltdel:/sbin/shutdown -t3 -r now

To

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

[root@deep]# /sbin/init q

19. 重新设置/etc/rc.d/init.d/目录下所有文件的许可权限

[root@deep]# chmod -R 700 /etc/rc.d/init.d/*

仅仅root可以读,写,执行上述所有script file.

20. The /etc/rc.d/rc.local file

默认地,当你login到linux server时,它告诉你linux版本名,内核版本名和服务器主机名。它给了你太多的信息,如果你就希望得到提示login: ,编辑/etc/rc.d/rc.local放#在下面的行前面:

--

# This will overwrite /etc/issue at every boot. So, make any changes you

# want to make to /etc/issue here or you will lose them when you reboot.

#echo "" > /etc/issue

#echo "$R" >> /etc/issue

#echo "Kernel $(uname -r) on $a $(uname -m)" >> /etc/issue

#

#cp -f /etc/issue /etc/issue.net

#echo >> /etc/issue

--

然后,做下面的事情:

[root@deep]# rm -f /etc/issue

[root@deep]# rm -f /etc/issue.net

[root@deep]# touch /etc/issue

[root@deep]# touch /etc/issue.net

21. 被root拥有的程序的位。

移走那些被root拥有程序的s位标志,当然有些程序需要这个,用命令‘chmod a-s’完成这个。

注:前面带(*)号的那些程序一般不需要拥有s位标志。

[root@deep]# find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls –lg {} \;

-rwsr-xr-x 1 root root 33120 Mar 21 1999 /usr/bin/at

*-rwsr-xr-x 1 root root 30560 Apr 15 20:03 /usr/bin/chage

*-rwsr-xr-x 1 root root 29492 Apr 15 20:03 /usr/bin/gpasswd

-rwsr-xr-x 1 root root 3208 Mar 22 1999 /usr/bin/disable-paste

-rwxr-sr-x 1 root man 32320 Apr 9 1999 /usr/bin/man

-r-s--x--x 1 root root 10704 Apr 14 17:21 /usr/bin/passwd

-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/suidperl

-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/sperl5.00503

-rwxr-sr-x 1 root mail 11432 Apr 6 1999 /usr/bin/lockfile

-rwsr-sr-x 1 root mail 64468 Apr 6 1999 /usr/bin/procmail

-rwsr-xr-x 1 root root 21848 Aug 27 11:06 /usr/bin/crontab

-rwxr-sr-x 1 root slocate 15032 Apr 19 14:55 /usr/bin/slocate

*-r-xr-sr-x 1 root tty 6212 Apr 17 11:29 /usr/bin/wall

*-rws--x--x 1 root root 14088 Apr 17 12:57 /usr/bin/chfn

*-rws--x--x 1 root root 13800 Apr 17 12:57 /usr/bin/chsh

*-rws--x--x 1 root root 5576 Apr 17 12:57 /usr/bin/newgrp

*-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write

-rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger

-rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter

*-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl

*-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute

-rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail

-rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown

-rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su

*-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/mount

*-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount

*-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping

-rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login

*-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport

-r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd

[root@deep]# chmod a-s /usr/bin/chage

[root@deep]# chmod a-s /usr/bin/gpasswd

[root@deep]# chmod a-s /usr/bin/wall

[root@deep]# chmod a-s /usr/bin/chfn

[root@deep]# chmod a-s /usr/bin/chsh

[root@deep]# chmod a-s /usr/bin/newgrp

[root@deep]# chmod a-s /usr/bin/write

[root@deep]# chmod a-s /usr/sbin/usernetctl

[root@deep]# chmod a-s /usr/sbin/traceroute

[root@deep]# chmod a-s /bin/mount

[root@deep]# chmod a-s /bin/umount

[root@deep]# chmod a-s /bin/ping

[root@deep]# chmod a-s /sbin/netreport

你可以用下面的命令查找所有带s位标志的程序:

[root@deep]# find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls -lg {} \;

> suid-sgid-results

把结果输出到文件suid-sgid-results中。

为了查找所有可写的文件和目录,用下面的命令:

[root@deep]# find / -type f \( -perm -2 -o -perm -20 \) -exec ls -lg {} \; > ww-files-results

[root@deep]# find / -type d \( -perm -2 -o -perm -20 \) -exec ls -ldg {} \; > ww-directories-results

用下面的命令查找没有拥有者的文件:

[root@deep]# find / -nouser -o -nogroup > unowed-results

用下面的命令查找所有的.rhosts文件:

[root@deep]# find /home -name .rhosts > rhost-result


© 著作权归作者所有

共有 人打赏支持
有些服务器
粉丝 4
博文 49
码字总数 86607
作品 0
南昌
通过HTTP传输的数据极易遭受网络攻击!

通过HTTP传输的数据极易遭受网络攻击! Ronny 33分钟前暂无评论 阅读 13 次 导读 根据一家杀软大厂的调查,通过不安全的HTTP(超文本传输协议)传输未加密的用户数据会增加遭受不法黑客攻击的风...

Ronny
05/14
0
0
linux+Oracle集群课程全面升级

作为国内最早从事开源架构师级课程研发的公司,从2006年10月开始,荣新稳步提升,将互联网运维作为主导就业方向,并将Linux集群架构课程发展成为国内最顶级、覆盖技术最全面的Linux课程,作为...

张琦
06/26
0
0
《UNIX/Linux网络日志分析与流量监控》新书发布

本书从UNIX/Linux系统的原始日志(Raw Log)采集与分析讲起,逐步深入到日志审计与计算机取证环节。书中提供了多个案例,每个案例都以一种生动的记事手法讲述了网络遭到入侵之后,管理人员开...

OSSIM
2014/11/24
0
7
Linux程序培训课程,带你养成良好的Linux使用习惯

开始Linux的学习之后,请不要用Windows的工作方式来思考问题,因为它们之间确实有很大的不同,比如它们之间的内存管理机制、进程运行机制等都有很大不同,因此抛开Windows的那种思维,用全新...

长沙千锋
05/11
0
0
配置 Linux 服务器 SSH 安全访问的四个小技巧

以 CentOS 为例,简单地总结一下如何配置 SSH安全访问。 Linux SSH 安全策略一:关闭无关端口   网络上被攻陷的大多数主机,是黑客用扫描工具大范围进行扫描而被瞄准上的。所以,为了避免被...

lichao19881026
2014/05/16
0
0
[性能调优] mysql 优化变量

http://bbs.linuxpk.com/thread-37168-1-1.html [安全技巧] Linux系统下的DDOS攻击防范 http://bbs.linuxpk.com/thread-40510-1-1.html 一些不错的国外linux安全站点 http://bbs.linuxpk.com......

慎道
2011/11/29
0
0
从北京到新加坡再到阿姆斯特丹,他去公布了一个惊天的“秘密”

团控坐在我们的面前,精神饱满,但眉宇间依稀有一些困顿。他说,刚从荷兰飞回来,现在还在倒时差。而在此之前的4月初,他正在阿姆斯特丹的HITB大会(Hack In The Box Security Conference)做...

华蒙
05/16
0
0
Kali Linux 秘籍 第三章 高级测试环境

第三章 高级测试环境 作者:Willie L. Pritchett, David De Smet 译者:飞龙 协议:CC BY-NC-SA 4.0 简介 既然我们已经了解了 Kali Linux 所包含的工具,现在我们要调查一些真实世界的场景。...

apachecn_飞龙
2016/10/04
0
0
Linux使用mount挂载Windows共享文件夹

现实中会有这样的场景 , 开发人员在 Windows 上面写代码 , 然后放到 Linux 进行编译 , 达到这个目的我们可以在 Linux 上使用 命令挂载 Windows 共享文件夹 , 就像将 Windows 里面的共享目录当...

voole
05/29
0
0
【安全牛学习笔记】Arachni

Arachni root@kali:~# apt-get install kali kali kali-desktop-lxde kali-linux-pwtools kali-archive-keyring kali-desktop-xfce kali-linux-rfid kalibrate-rtl kalign kali-linux-sdr ka......

安全牛课堂
2017/12/04
0
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

微信小程序Java登录流程(ssm实现具体功能和加解密隐私信息问题解决方案)

文章有不当之处,欢迎指正,如果喜欢微信阅读,你也可以关注我的微信公众号:好好学java,获取优质学习资源。 一、登录流程图 二、小程序客户端 doLogin:function(callback = () =>{}){let ...

公众号_好好学java
38分钟前
0
1
流利阅读笔记28-20180717待学习

“我不干了!” 英国脱欧大臣递交辞呈 雪梨 2018-07-17 1.今日导读 7 月 6 日,英国政府高官齐聚英国首相的官方乡间别墅——契克斯庄园,讨论起草了一份关于英国政府脱欧立场的白皮书。可是没...

aibinxiao
今天
7
0
OSChina 周二乱弹 —— 理解超算排名这个事,竟然超出了很多人的智商

Osc乱弹歌单(2018)请戳(这里) 【今日歌曲】 @-冰冰棒- :分享Ed Sheeran/Beyoncé的单曲《Perfect Duet (with Beyoncé)》 《Perfect Duet (with Beyoncé)》- Ed Sheeran/Beyoncé 手机...

小小编辑
今天
180
7
Android 获取各大音乐平台的真实下载地址

废话 电脑使用谷歌浏览器或者QQ浏览器的时候。。。。。。。说不清楚,还是看图吧 大概意思就是,只要网页上需要播放,只要能播放并且开始播放,这个过程就肯定会请求到相关的音乐资源,然后就...

她叫我小渝
今天
0
0
shell中的函数、shell中的数组、告警系统需求分析

shell中的函数 格式: 格式: function f_name() { command } 函数必须要放在最前面 示例1(用来打印参数) 示例2(用于定义加法) 示例3(用于显示IP) shell中的数组 shell中的数组1 定义数...

Zhouliang6
今天
2
0
用 Scikit-Learn 和 Pandas 学习线性回归

      对于想深入了解线性回归的童鞋,这里给出一个完整的例子,详细学完这个例子,对用scikit-learn来运行线性回归,评估模型不会有什么问题了。 1. 获取数据,定义问题     没有...

wangxuwei
今天
1
0
MAC安装MAVEN

一:下载maven压缩包(Zip或tar可选),解压压缩包 二:打开终端输入:vim ~/.bash_profile(如果找不到该文件新建一个:touch ./bash_profile) 三:输入i 四:输入maven环境变量配置 MAVEN_HO...

WALK_MAN
今天
0
0
33.iptables备份与恢复 firewalld的9个zone以及操作 service的操作

10.19 iptables规则备份和恢复 10.20 firewalld的9个zone 10.21 firewalld关于zone的操作 10.22 firewalld关于service的操作 10.19 iptables规则备份和恢复: ~1. 保存和备份iptables规则 ~2...

王鑫linux
今天
2
0
大数据教程(2.11):keeperalived+nginx高可用集群搭建教程

上一章节博主为大家介绍了目前大型互联网项目的系统架构体系,相信大家应该注意到其中很重要的一块知识nginx技术,在本节博主将为大家分享nginx的相关技术以及配置过程。 一、nginx相关概念 ...

em_aaron
今天
1
1
Apache Directory Studio连接Weblogic内置LDAP

OBIEE默认使用Weblogic内置LDAP管理用户及组。 要整理已存在的用户及组,此前办法是导出安全数据,文本编辑器打开认证文件,使用正则表达式获取用户及组的信息。 后来想到直接用Apache Dire...

wffger
今天
2
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部