1、系统账号清理
将非登录用户的Shell设为/sbin/nologin
usermod -s /sbin/nologin 用户名
锁定长期不使用的账号
usermod -L 用户名
passwd -l 用户名
passwd -S 用户名
删除无用的账号
user的了【-r】用户名
锁定账号文件passwd、shadow
chattr +i /etc/password /etc/shadow #锁定文件并查看状态 lsattr /etc/passwd /etc/shadow chattr -i /etc/passwd /etc/shadow #解锁文件
2、密码安全控制
设置密码有效期
要求用户下次登录时修改密码
对新用户修改vim /etc/login.defs 修改密码配置文件
进入配置文件
将最大有效天数改为30天
保存并退出，创建新用户
查看有效期
对老用户我们可以采用下面命令直接进行修改
chage -M 30 用户名
查看zhangsan的密码有效时间
强制在下次登录时更改密码
chage -d 0 用户名
3、命令历史限制
命令历史限制
减少记录的命令条数
使用history查看系统的历史命令，进入vim编辑器中编辑
修改当前的系统保留历史命令，然后保存并退出
询
登录时自动清空命令历史
输入： > ~/.bash_history
给它权限并重启
终端自动注销：闲置200秒后自动注销
进入vim /etc/profile编辑器中
保存并退出，然后刷新
1、用途及用法
用途：Substitute User ，切换用户
格式：su -目标用户（带-选项表示将使用目标用户的登录shell环境）
密码验证
root→任意用户，不验证密码
普通用户→其他用户，验证目标用户的密码
2、限制使用su命令的用户
将允许使用su命令的用户加入wheel组
启用pam_wheel认证模块，在/etc/pam.d/su 文件里设置禁止用户使用su命令
以上第一行，第二行表示上图的第一行与第六行
①以上两行是默认状态（即开启第一行，注释第二行），这种状态下是允许所有用户间使用su命令进行切换的。
②两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码；如果第一行不住事，则root使用su切换普通用户就不需要输入密码（pam_rootok.so模块的主要作用是使uid为0的用户，即root用户能够直接通过认证而不用输入密码）。
③如果开启第二行，表示只有root用户和wheel组内的用户才可以使用su命令。
④如果注释第一行，开启第二行，表示只有wheel组内的用户才能使用su命令，root用户也被禁用命令。
开启第六行，验证除了加入wheel组内的lisi，其他用户还可不可以使用
启用pam_wheel认证以后，未加入到wheel组内的其他用户将无法使用su命令
1、隐患及PAM
su命令的安全隐患：默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险。为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换。
PAM：是Linux可插拔认证模块，是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的配置文件，从而调用本地的认证模块，模块放置在/lib64/security下，已加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用 PAM模块实现的
2、PAM认证原理
1）、PAM认证一般遵循的顺序：Service（服务）→ PAM（配置文件）→ pam_*.so
2）、PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证模块（位于/lib64/security下)进行安全认证
3）、用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的
PAM的配置问文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用
auth：对用户身份进行识别，如提示输入密码，判断是否为root
account：对账号各项属性进行检查，如是否允许登录系统，账号是否已经过期，是否达到最大用户等
password： 使用用户信息来更新数据，如修改密码等
session：定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统
第二行代表PAM控制标记
required： 表示需要返回一个成功值， 如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败
requisite：与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败
sufficient：如果此模块返回成功，则直接向程序返回成功，表示此类成功， 如果失败，也不影响这类型的返回值
optional：不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）nclude：表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项
第三列代表PAM模块
默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数
第四列代表PAM模块的参数
需要根据所使用的模块来添加，传递给模块的参数，参数可以有多个，之间用空格分开来
3、PAM认证的构成
查看某个程序是否支持PAM认证，可以使用ls命令
示例：查看su是否支持PAM模块认证
ls/etc/pam.d | grep su
查看su的PAM配置文件：cat/etc/pam.d/su
每一行都是一个独立的认证过程
每一行可以区分为三个字段
认证类型
控制类型
PAM模块及其参数
4、PAM安全认证流程
控制类型也称作Control Flags，用于PAM验证类型的返回结果
（1）、required验证失败时仍然继续，但返回Fail
（2）、requisite验证失败则立即结束整个验证过程，返回Fail
（3）、sufficien验证成功则立即返回，不在继续，否则忽略结果并继续
（4）、optional不用于验证，只显示信息（通常用于session类型）
PAM验证流程图
| 用户1 | 用户2 | 用户3 | 用户4 | |||
| auth | required | 模块1 | pass | fail | pass | pass |
| auth | sufficient | 模块2 | pass | pass | fail | pass |
| auth | required | 模块3 | pass | pass | pass | fail |
| 结果 | pass | fail | pass | pass | ||
1、sudo命令的用途及用法
用途：以其他用户身份（如root）执行授权的命令
用法：sudo 授权命令
2、配置sudo授权
visudo或者vi /etc/sudoers
语法格式：用户 主机名=命令程序列表
用户 主机名=（用户）命令序列表
用户：直接授权指定的用户名，或采用“%组名”的形式（授权一个组的所有用户）。
主机名： 使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则用实际的主机名，ALL则表示所有主机
用户： 用户能够以何种身份来执行命令。此项可胜率，缺省时以root用户的身份来运行命令
命令程序列表：允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，多个命令之间以逗号进行分隔。ALL则代表系统中的所有命令。
3、查看sudo操作记录
需启用Defauits logfile配置
默认日志文件：/var/log/sudo
查询授权的sudo操作：sudo -l
1、调整BIOS引导设置
将第一个引导设备设为当前系统所在硬盘
禁止从其他设备（光盘、U盘、网络）引导系统
将安全级别设为setup，并设置管理员密码
2、GRUB限制
使用grub2-mkpasswd-pbkdf2生成秘钥
修改/etc/grub.d/00_header文件中，添加密码记录
生成新的grub.cfg配置文件
限制root只在安全终端登录
安全终端配置：/etc/securetty
禁止普通用户登录
touch /etc/nologin #禁止普通用户登录
rm -rf /etc/nologin #取消上述登录限制
1、Joth the Ripper，简称为JR
一款密码分析枸橘，支持字典式的暴力破解
通过对shadow文件的口令分析，可以检测密码强度
官方网站：http://www.openwall.com/john/
2、安装JR工具
安装方法：make clean 系统类型
主程序文件为john
3、检测弱口令账号
获得Linux/Unix服务器的shadow文件
执行john程序，将shadow文件作为参数
3、密码文件的暴力破解
准备好密码字典文件，默认为password.lst
执行john程序，结合--wordlist=字典文件
./john /opt/shadow.txt 执行暴力破解
./john --show /opt/shadow.txt 查看已破解出的账户列表
> john.pot 清空已破解出的账户列表，以便重新分析
./john --wordlist=./password.lst /opt/shadow.txt 使用指定的字典文件进行破解
NMAP的扫描：nmap 【扫描类型】 【选项】<扫描目标...>
安装NMAP软件包
rpm -qa | grep nmap 查看是否安装
yum install -y nmap 安装namp软件包
常用的扫描类型
-p：指定扫描的端口
-n：禁用反向DNS解析（以加快扫描速度）
-sS：TCP的SYN扫描（半开扫描），只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接，否则认为目标端口并未开放
-sT：TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放
-sF：TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对sYN数据包进行简单过滤，而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
-sU：UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。
-sP：ICMP 扫描，类似于ping 检测，快速判断目标主机是否存活，不做其他扫描。
-po： 跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法。
netstat -natp 查看正在运行的使用TCP协议的网络状态信息
netstat -naup 查看正在运行的使用UDP协议的网络状态信息
nmap -sT 查看本机开放的TCP端口
nmap -sU 查看本机开放的UDP端口
nmap -p 80 192.168.80.0/24 检测192.168.80.0/24网段有哪些主机提供HTTP服务
nmap -n -sP 192.168.80.0/24 检测192.168.80.0/24网段有哪些存活主机
natstat命令常用选项
-a：显示主机中所有活动的网络连接信息(包括监听、非监听状态的服务端口)。
-n：以数字的形式显示相关的主机地址、端CI等信息。
-t：查看TCP相关的信息。
-u：显示UDP协议相关的信息。
-p：显示与网络连接相关联的进程号、进程名称信息( 该选项需要root 权限)。
-r：显示路由表信息。
-l：显示处于监听状态的网络连接及端口信息。
