系统安全及应用

目录

  • 一、账号安全控制
    • 1、账号安全基本措施
    • 2、切换用户与用户限制
    • 3、使用sudo机制提权
    • 4、linux中的PAM安全认证
  • 二、系统引导和登录控制
    • 1、开关安全控制
    • 2、终端登录安全控制
  • 三、弱口令检测
    • 1、Joth the Ripper,简称为 JR
    • 2、安装JR工具
    • 3、检测弱口令账号
    • 4、密码文件的暴力破解
  • 四、端口扫描-NMAP
  • 总结

一、账号安全控制

1、账号安全基本措施

系统账号清理
1、将非登录用户的shell设为/sbin/nologin
使用命令:

grep “/sbin/nologin$” /etc/passwd

系统安全及应用_第1张图片

usermod -s /sbin/nologin 用户名  #设置为非登录用户账号
usermod -s /bin/bash 用户名 #设置为登录用户账号

2、锁定长期不使用账号
●锁定:

usermod -L 用户名    #锁定用户账号方法一
passwd  -l  用户名   #锁定用户账号方法二

(usermod的密码一个感叹号、passwd有两个感叹号)
●解锁:

 usermod -U  用户名   #解锁用户账号方法一
 passwd  -u  用户名   #解锁用户账号方法二

(passwd -S 用户名 #查看)
(passwd -d 用户名 #清空用户的密码)
3、删除无用的账号

userdel -r 用户名

4、锁定账号文件passw、shadow

 chattr +i /etc/passwd /etc/shadow  #锁定账号文件passw、shadow

(-i为解锁)

 lsattr /etc/passwd /etc/shadow   #查看文件是否锁定

----i----------- /etc/passwd
----i----------- /etc/shadow

注:
①如果锁定passwd,没有锁定shadow,可以修改之前的用户密码。
②如果锁定shadow,没有锁定passwd,无法创建用户。
③两者只要有一个被锁定,就无法创建新用户。

密码安全控制
1、设置密码有效期
2、要求用户下次登录时修改密码
●chage

chage -M 天数 用户名             # 设置用户密码有效期
chage -E xxxx-xx-xx             #设置过期日期
chage -d 0 用户名     #强制在下次登录时更改密码

●vim /etc/login.defs

PASS_MAX_DAYS 30  #修改密码有效期为30天,之后新建用户都是如此
PASS_MIN_LEN 18 #生产上我们密码最少要18位

命令历史限制
1、减少记录的命令条数
2、注销时自动清空命令历史

vim /etc/profile    #修改历史缓存数为200
HISTSIZE=200 
source /etc/profile #刷新   

补充:
1、用户登录–>先加载~/.bash_profile --> 然后是bash_profile中的配置(首先是使~/.bashrc生效)。

2、用户登出–>直接运行.bash_logout运行logout配置文件。

方法一:可在普通用户中

vim ~/.bash_logout    #登出时自动清除
history -c
clear

方法二:在root中

vim .bashrc
echo " " > ~/.bash_history

终端自动注销
闲置300秒后自动注销

vi /etc/profile 
export TMOUT=300 #输入

2、切换用户与用户限制

▶切换用户
●用途及用法
用途:Substitute User,切换用户

格式
su -目标用户

●密码验证
①root→任意用户,不验证密码
②普通用户→其他用户,验证目标用户的密码

su - root    # 带-选项表示将使用目标用户的登陆Shell环境

▶用户限制
①将允许使用su命令的用户加入wheel组
②启用pam_wheel认证模块

●su命令具有安全隐患:
su命令使得每个用户都具有反复尝试其他用户的登陆密码,若是root用户,则风险更大。
所以需要加强su命令的使用控制,可以借助PAM认证模块,仅允许极个别指定用户可使用su命令进行切换。

gpasswd -a zhangsan wheel              #将用户“zhangsan”加入到whell组中

在/etc/pam.d/su文件里设置禁止用户使用su命令
vim /etc/pam.d/su
系统安全及应用_第2张图片
(pam是禁用su的命令)

▶查看su操作记录
安全日志文件:/var/log/secure

3、使用sudo机制提权

●sudo是一个授权命令
用途:以其他用户身份(如root)执行授权的命令

▶配置sudo授权

  • visudo
  • vi /etc/sudoers(此文件的默认权限为 440,保存退出时必须执行“:wq!”命令来强制操作)

▶语法格式
用户 主机名 = 命令程序列表
用户 主机名 = (用户)命令程序列表

用户: 直接授权指定的用户名,或采用 “ % ” 的形式(授权一个组的所有用户)

主机名: 使用此规则的主机名。没配置过主机名时可用localhost ,配置过主机名则使用实际的主机名,ALL 代表所有主机
(用户):用户能够以何种身份来执行命令。此项可省略,缺省时以root用户的身份来运行命令

命令程序列表:允许授权的用户通过 sudo 方式执行的特权命令,需填写命令程序的完整路径,多个命令之间以逗号“,” 进行分隔(可以使用通配符 “ * ” 号任意值 和 “ !” 号进行取反操作)。ALL则代表系统中的所有命令。

sudo [参数选项] 说明
-l 列出用户在主机上可用的和被禁止的命令,一般配置好/etc/sudoers以后,要用这个命令来查看和测试是不是配置正确的
-v 验证用户的时间戳,如果用户运行 sudo 后,输入用户的密码后,在短时间内可以不用输入口令来进行sudo 操作;用 -v 可以追踪最新的时间戳
-u 指定以某个用户执行特定操作
-k 删除时间戳,下一个 sudo 命令要求提供密码

例子1:

cl  ALL=/ sbin/ ifconfig

xlm localhost=/sbin/*, ! /sbin/ reboot, ! /sbin/ poweroff
通配符*"表示所有、取反符号、!”表示排除

%wheel ALL=NOPASSWD:ALL
表示wheel组成员无需验证密码即可使用sudo执行任何命令

ddlm ALL= (root) NOPASSWD: /bin/kill, /usr/bin/killall

例子2:
配置/etc/sudoers文件,可以授权用户较多的时使用

 Host_Alias MYHOST= localhost  主机名
 User_Alias MYUSER = cl,zhangsan,lisi  需要授权的用户   
 Cmnd_Alias MYCMND = /sbin/*,/usr/bin/passwd  命令授权
 MYUSER  MYHOST = NOPASSWD : MYCMND  授权格式

启用sudo操作日志
visudo

Defaults logfile = "/var/ log/ sudo" #写入

进入用户sudo -l,可以查看授权命令,sudo位于/var/log/sudo。

4、linux中的PAM安全认证

su命令的安全隐患

●默认情况下,任何用户都允许使用su命令,有机会反复尝试其他用户(如root) 的登录密码,带来安全风险;

●为了加强su命令的使用控制,可借助于PAM认证模块,只允许极个别用户使用su命令进行切换。

PAM(Pluggable Authentication Modules)可插拔式认证模块

●是一种高效而且灵活便利的用户级别的认证方式;

●也是当前Linux服务器普遍使用的认证方式。

●PAM提供了对所有服务进行认证的中央机制,适用于login,远程登陆,su等应用

●系统管理员通过PAM配置文件来制定不同的应用程序的不同认证策略

注:
PAM使用/etc/pam.d/下的配置文件,来管理对程序的认证方式。应用程序调用相应的PAM配置文件,从而调用本地的认证模块,模块放在/lib64/security下,以加载动态库的形式进行认证。比如使用su命令时,系统会提示输入root用户的密码,这就是su命令通过调用PAM模块实现的。

PAM认证原理
1、PAM 认证一般遵循的顺序:Service(服务)→PAM(配置文件)→pam_*.so;(认证模块)

2、PAM认证首先要确定哪一项应用服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证模块(位于 /lib64/security/下)进行安全认证。

3、用户访问服务器的时候,服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。

如果想查看某个程序是否支持 PAM 认证,可以用ls命令进行查看/etc/pam.d/
系统安全及应用_第3张图片
PAM认证模块位于/lib64/security
系统安全及应用_第4张图片
以su为例子:
系统安全及应用_第5张图片
●PAM的配置文件中的每一行都是一个独立的认证过程,它们按从上往下的顺序依次由PAM模块调用
●第一列代表PAM认证模块类型
①auth:对用户身份进行识别,如提示输入密码,判断是否为root。
②account:对账号各项属性进行检查,如是否允许登录系统,帐号是否已经过期,是否达到最大用户数等。
③password:使用用户信息来更新数据,如修改用户密码。
④session:定义登录前以及退出后所要进行的会话操作管理,如登录连接信息,用户数据的打开和关闭,挂载文件系统。

●第二列代表PAM控制标记
①required:表示需要返回一个成功值,如果返回失败,不会立刻将失败结果返回,而是继续进行同类型的下一验证,所有此类型的模块都执行完成后,再返回失败。
②requisite:与required类似,但如果此模块返回失败,则立刻返回失败并表示此类型失败。
③sufficient:如果此模块返回成功,则直接向程序返回成功,表示此类成功,如果失败,也不影响这类型的返回值。
④optional:不进行成功与否的返回,一般不用于验证,只是显示信息(通常用于 session 类型)。
⑤include:表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth(主要负责用户登录系统的认证工作)来实现认证而不需要重新逐一去写配置项。

●第三列代表PAM模块,默认是在/lib64/security/目录下,如果不在此默认路径下,要填写绝对路径。

●第四列代表PAM模块的参数,这个需要根据所使用的模块来添加。

PAM安全认证流程
控制类型也称做Control Flags,用于PAM验证类型的返回结果
1、required验证失败时仍然继续,但返回Fail

2、requisite验证失败则立即结束整个验证过程,返回Fail

3、sufficient验证成功则立即返回,不再继续,否则忽略结果并继续

4、optional不用于验证,只显示信息
系统安全及应用_第6张图片

二、系统引导和登录控制

1、开关安全控制

① 调整BIOS引导设置
• 将第一引导设备设为当前系统所在硬盘

• 禁止从其他设备(光盘、U盘、网络)引导系统

• 将安全级别设为setup,并设置管理员密码

② GRUB限制
• 使用grub2-mkpasswd-pbkdf2生成密钥

• 修改/etc/grub.d/00_ header文件中, 添加密码记录

• 生成新的grub.cfg配置文件

●GRUB限制的实现
方法一:
1、使用grub2-mkpasswd-pbkdf2生成密钥并复制,然后备份两个配置文件。
PBKDF2 hash of your password is grub. pbkdf2…
#省略部分内容为经过加密生成的密码字符串

2、cp /boot/grub2/grub.cfg /boot/grub2/geub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

3、修改/etc/grub.d/00_ header #文件中, 添加密码记录,并存并退出
​cat << EOF
set superusers=" root "
#设置用户名为root
password_ pbkdf2 root grub . pbkd2…
#设置密码,省略部分内容为经过加密生成的密码字符串
EOF

4、grub2-mkconfig -o /boot/grub2/grub.cfg #生成新的grub.cfg文件,然后重启系统

方法二:

直接设置grub2—setpassword 设置grub密码

2、终端登录安全控制

① 限制root只在安全终端登录
安全终端配置:/etc/securetty

② 禁止普通用户登录
• 建立/etc/nologin文件

• 删除nologin文件或重启后即恢复正常

▶禁止root用户登录
在Linux系统中,login 程序会读取/etc/securetty文件,以决定允许root 用户从哪些终端(安全终端)登录系统

vi /etc/ securetty
#tty6 

▶禁止普通用户登录
login程序会检查/etc/nologin文件是否存在,如果存在,则拒绝普通用户登录系统(root 用户不受限制)

touch /etc/nologin #禁止普通用户登录
rm -rf /etc/ nologin #取消登录限制

三、弱口令检测

1、Joth the Ripper,简称为 JR

• 一款密码分析工具,支持字典式的暴力破解

• 通过对shadow文件的口令分析,可以检测密码强度

• 官方网站: http://www.openwall.com/john/

2、安装JR工具

• 安装方法
make clean 系统类型

• 主程序文件为john

3、检测弱口令账号

• 获得Linux/Unix服务器的shadow文件

• 执行john程序,将shadow文件作为参数

4、密码文件的暴力破解

• 准备好密码字典文件,默认为password.lst

• 执行john程序,结合- -wordlist=字典文件

例子:
1、把下载好的安装包用过rz命令下到目录opt下:
[root@localhost ~]#cd /opt
[root@localhost opt]#ls
john-1.8.0.tar.gz

2、解压
[root@localhost opt]#tar -zxvf john-1.8.0.tar.gz

3、安装软件编译工具
[root@localhost src]#yum install gcc gcc-c++ make -y

4、进行编译安装
[root@localhost src]#make clean linux-x86-64

5、准备待破解的密码文件
[root@localhost src]#cd … 切换至上级目录
[root@localhost src]#cp /etc/shadow /opt/shadow.txt 准备密码文件

6、执行暴力破解
[root@localhost src]#cd /opt/john-1.8.0/run/
[root@localhost run]#./john /opt/shadow.txt

7、查看已经破解出的密码
[root@localhost run]#./john --show /opt/shadow.txt

8、使用密码字典文件
john.pot

9、清空已破解出的账户列表,便重新分析
./john --wordlist=./passwd.lst /opt/shadow.txt
使用指定的字典文件进行破解

四、端口扫描-NMAP

●一款强大的网络扫描、安全检测工具
●官方网站: http://nmap.orgl
●CentOS 7.7光盘中安装包,nmap-6.40-7.el7.x86_64.rpm

rpm -qa|grep nmap  # 查看nmap
yum install -y nmap   #安装nmap

常用格式:

nmap [扫描类型]  [选项]  <扫描目标>

例子:
[root@ky19cl ~]# nmap -sT 192.168.159.50
系统安全及应用_第7张图片
[root@ky19cl ~]# nmap -sT 127.0.0.1

系统安全及应用_第8张图片

①控制位
SYN: 建立链接

ACK :确认

FIN:结束断开

PSH: 传送 0 数据缓存 上层应用协议

RST :重置

URG:紧急

② 常用的选项和扫描类型
-p: 指定扫描的端口

-n: 禁用反向DNS 解析(以加快扫描速度)

-sS:TCP的SYN扫描(半开扫描),只向目标发出SYN数据包,如果收到SYN/ACK响应包就认为目标端口正在监听,并立即断开连接;否则认为目标端口并未开放

-sT: TCP连接扫描,这是完整的TCP扫描方式(默认扫描类型),用来建立一个TCP连接,如果成功则认为目标端口正在监听服务,否则认为目标端口并未开放

-sF: TCP的FIN扫描,开放的端口会忽略这种数据包,关闭的端口会回应RST数据包。许多防火墙只对sYN数据包进行简单过滤,而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性

-sU: UDP扫描,探测目标主机提供哪些UDP服务,UDP扫描的速度会比较慢

-sP: ICMP 扫描,类似于ping 检测,快速判断目标主机是否存活,不做其他扫描

-P0: 跳过ping检测,这种方式认为所有的目标主机是存活的,当对方不响应ICMP请求时,使用这种方式可以避免因无法
ping通而放弃扫描

总结

1.账号基本安全措施
( 系统账号清理、密码安全控制、命令历史清理、自动注销 )
2.用户切换与提权
( su 、sudo )
3.开关机安全控制
(BIOS引导设置、禁止Ctrl+Alt+Del快捷键、GRUB菜单设置密码)
4.终端控制
5.John the Ripper
6.namp命令

你可能感兴趣的