Linux系统安全及应用
一、账号安全措施
1.1、系统账号清理
将非登录用户的shell设为/sbin/nologin
usermod -s /sbin/nologin 用户名
加入之后，登录界面将不在显示该用户
使用usermod -s /bin/bash 用户名命令后又可以进行登录
锁定长期不使用的账号
usermod -L 用户名 或 passwd -l 用户名
删除无用的账号
userdel [-r] 用户名
-r表示协同家目录一起删除
锁定账号文件passwd、shadow
chattr +i /etc/passwd /etc/shadow #锁定账号文件
这时候无法对passwd和shadow文件进行编写和修改，强制保存都不可以
chattr -i /etc/passwd /etc/shadow #解锁账号文件
1.2、密码安全控制
主要是设置密码有效期和要求用户下次登录时修改密码
设置密码有效期
适用于新建用户修改其密码配置文件
vi /etc/login.defs
适用于已有用户通过命令更改密码有效期
chage -M 天数 用户名
例如更改liu用户有效密码期为30天，更改完后进入shadow文件查看
要求用户下次登录时修改密码
chage -d 0 用户名
例如更改test用户下次登录强制修改密码，更改后登录系统查看，进入shadow文件，其中第三字段被修改为0
1.3、命令历史限制
命令history -c只能清空目前历史命令，重启操作系统还是会显示出来，也同样保存在.bash_history文件中
减少记录的命令条数
通过修改/etc/profile变量文件来实现（在文件最后一行插入即可）
设置完成保存并退出后刷新文件source /etc/profile
登录时自动清空命令历史
在家目录中.bashrc修改，vim ~/.bashrc
通过编写echo "">/.bash_history来实现
1.4、终端自动注销
通过修改全局变量文件profile来实现
二、使用su命令切换用户
2.1、用途及用法
用途：Substitute User，切换用户
格式：su - 目标用户(注：带-表示同时切换到目标家目录)
2.2.密码验证
root→任意用户，不验证密码
普通用户→其他用户，验证目标用户的密码
限制使用su命令的用户
在/etc/pam.d/su文件里设置禁止用户使用su命令
| 文件内容解析 |
主要在第2和第6行
①以上两行是默认状态（即开启第一行，注释第二行），这种状态下是允许所有用户间使用su命令进行切换的。
②两行都注释也是运行所有用户都能使用su命令，但root下使用su切换到其他普通用户需要输入密码；如果第一行不住事，则root使用su切换普通用户就不需要输入密码（pam_rootok.so模块的主要作用是使uid为0的用户，即root用户能够直接通过认证而不用输入密码）。
③如果开启第二行，表示只有root用户和wheel组内的用户才可以使用su命令。
④如果注释第一行，开启第二行，表示只有wheel组内的用户才能使用su命令，root用户也被禁用命令。
启用pam_wheel认证以后，未加入到wheel组内的其他用户将无法使用su命令
实验：将test用户加入到wheel组中，开启su文件中第六行，试验其他用户能不能用su命令
三、Linux中的PAM安全认证
su命令的安全隐患：默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户（如root）的登录密码，带来安全风险。为了加强su命令的使用控制，可借助于PAM认证模块，只允许极个别用户使用su命令进行切换。
PAM可拔插式认证模块：是一种高效而且灵活便利的用户级别的认证方式，也是当前Linux服务器普遍使用的认证方式。
3.1、PAM认证原理
一般遵循的顺序
Service(服务)→PAM（配置文件）→pam_*.so
解析：首先要确定哪一项服务，然后加载相应的PAM得配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib64/security下）进行安全认证；用户访问服务器时，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程勋所对应的PAM模块是不同的。
如果想查看某个程序是否支持PAM认证
可以用vim、cat、ls等命令进行查看/etc/pam.d
PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用；每行可以分为三个字段，从左到右分别是：**认证类型、控制类型、PAM模块及其参数
| 第一列PAM认证模块类型 |
auth: 对用户身份进行识别，如提示输入密码，判断是否为root
account: 对账号各项属性进行检查，如是否允许登录系统，账号是否已经过期，是否达到最大用户等
password: 使用用户信息来更新数据，如修改密码等
session: 定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统
| 第二列代表RAM控制标记 |
required: 表示需要返回一个成功值， 如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败
requisite: 与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败
sufficient: 如果此模块返回成功，则直接向程序返回成功，表示此类成功， 如果失败，也不影响这类型的返回值
optional: 不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）
include: 表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项
| 第三列代表PAM模块 |
默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数
| 第四列代表PAM模块的参数 |
这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个，之间用空格分隔开
3.2、PAM安全认证流程
控制类型也称作Control Flags，用于PAM验证类型的返回结果
1、required验证失败时仍然继续，但返回Fail
2、requisite验证失败则立即结束整个验证过程，返回Fail
3、sufficient验证成功则立即返回，不再继续，否则忽略结果并继续
4、optional不用于验证，只显示信息（通常用于session类型）
四、使用sudo机制提升权限
4.1、sudo命令的用途及用法
用途：以其他用户身份（如root）执行授权的命令
用法：sudo 授权命令
4.2、配置sudo授权
visudo 或者 vi /etc/sudoers
/etc/sudoers：此文件的默认权限是440，保存退出是必须执行“wq！”命令来强制操作
语法格式
用户 主机名=命令程序列表
用户 主机名=（用户）命令程序列表
| 格式解析 |
用户 ： 直接授权指定的用户名，或采用“%组名”的形式（授权一个组的所有用户）。
主机名 ： 使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则用实际的主机名，ALL则表示所有主机
（用户） ： 用户能够以何种身份来执行命令。此项可胜率，缺省时以root用户的身份来运行命令
命令程序列表 ： 允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，多个命令之间以逗号进行分隔。ALL则代表系统中的所有命令。
通配符* ： 表示所有
通配符！ ： 表示排除，即取反
| 示例 |
此时我们切换到用户发现用不了排除的相关命令
使用关键字
User_Alias（用户别名）、Host_Alias（主机别名）、Cmnd_Alias（命令别名） 来进行设置别名（别名必须为大写），可以实现批量设置
| 示例 |
查看sudo操作记录
需要启用Defaults logfile配置
visudo
默认日志文件在/var/log/sudo中，启动日志配置以后，sudo操作过程才会被记录
查询授权的sudo操作：sudo -l
五、开关机安全控制
5.1、调整BIOS引导设置
- 将第一引导设备设为当前系统所在盘
- 禁止从其他设备（光盘、U盘、网络）引导系统
- 将安全级别设为setup，并设置管理员密码
5.2、限制更改GRUB引导参数
通常情况下在系统开机进入GRUB菜单时，按e键可以查看并修改GRUB引导参数，这对服务器是一个极大的威胁。
可以为GRUB菜单设置一个密码，只有提供正确的密码才能被允许修改引导参数。
操作步骤
| 第一步获取密码 |
| 第二步备份文件 |
| 第三步设置用户和密码 |
| 第四步生成新的grub.cfg文件 |
重启系统进入GRUN菜单时，按e键将需要输入账号密码才能修改引导参数。
六、终端登录安全控制
6.1限制root只在安全终端登录
安全终端配置：/etc/securetty
6.2、禁止普通用户登录
建立/etc/nologin文件
删除/etc/nologin文件文件或重启后即恢复正常
七、系统弱口令检测
Joth the Ripper，简称为JR
一款密码分析枸橘，支持字典式的暴力破解
通过对shadow文件的口令分析，可以检测密码强度
官方网站：http://www.openwall.com/john/
7.1、安装破解步骤
| 解压安装包 |
cd /opt
tar zsf 软件包
| 安装软件编译工具 |
| 切换目录进行编译安装 |
| 破解密码文件并查看 |
cp /etc/shadow /opt/shadow.txt #复制密码文件
cd /opt/john-1.8.0/run
./john /opt/shadow.txt #执行破解
./john --show /opt/shadow.txt #查看已破解的账户列表
八、网络端口扫描
8.1、NMAP
NMAP是一个强大的端口扫描类安全评测工具，支持ping扫描、多端口检测等多种技术
安装NMAP软件包：
rpm -qa |grep nmap
yum install -y nmap
NMAP常用的选项和扫描类型
8.2、控制台命令：netstat
常用格式
命令常用选项
浙公网安备 33010602011771号