一、账号安全控制
1.系统账号清理
- 设置非登录用户
usermod -s /sbin/nologin
- 锁定长期不使用的账号
#方法一：
usermod -L "用户名" #锁定指定用户
usermod -U "用户名" #解锁指定用户
#方法二：
passwd -l "用户名" #锁定指定用户
passwd -u "用户名" #解锁指定用户
- 删除无用的账号
userdel "用户名" #删除用户
userdel -r "用户名" #删除用户及其家目录
- 锁定账号文件
chattr +i /etc/passwd /etc/shadow #锁定passwd、shadow文件
lsattr /etc/passwd /etc/shadow #查看passwd、shadow文件状态
chattr -i /etc/passwd /etc/shadow #解锁指passwd、shadow文件
2.密码安全控制
- 对于新建用户设置密码规则
vi /etc/login.defs
......
PASS_MAX_DAYS 99999 #用户密码最长有效天数
PASS_MIN_DAYS 0 #用户可修改密码的最小间隔天数
PASS_MIN_LEN 5 #用户密码的最小长度
PASS_WARN_AGE 7 #指定在密码过期前几天向用户发出警告
- 对于已有用户设置密码规则
chage "选项" "用户名"
例：chage -M 30 lisi #设置lisi用户的密码有效期为30天
选项解释-m设置修改密码的最小间隔天数，m=0时任何时间都可以更改密码-M设置密码有效天数-w设置用户密码到期前，收到警告信息的天数-E设置帐号到期的日期-i设置密码可以过期的天数，超过此限制此帐号将不可用-l列出当前设置-d上一次更改密码的日期
chage -d 0 zhangsan #强制zhangsan用户在下次登陆时修改密码
3.命令历史限制
- 减少记录的命令条数
vi /etc/profile
......
export HISTSIZE=20 #使用histor命令时，可查询到的历史命令为20条
......
source /etc/profile #重新加载配置文件
- 登陆时自动清空命令历史记录
vi ~/.bashrc #登录时会自动运行此配置文件内的操作
......
echo " " > ~/.bashrc_history #将空行替换入.bashrc_history中
......
#即登录时会自动运行上述命令，即登陆时自动清除命令的历史记录
4.终端自动注销
vi /etc/profile
......
export TMOUT=600 #设置终端闲置600秒后自动注销
......
source /etc/profile #重新加载配置文件
二、用户切换和用户提权
1. su 命令 - 切换用户
1.1 su 命令的用途及用法
su - "目标用户" #切换目标用户
whoami #显示当前登录用户
1.2 限制使用su 命令的用户
- 将允许使用su命令的用户加入wheel组内
gpasswd -a lisi wheel #将lisi用户加入到wheel组内
- 启用pam_wheel认证模块
vi /etc/pam.d/su
#%PAM-1.0
auth sufficient pam_rootok.so #将开头的"#"删除
auth required pam_wheel.so use_uid #将开头的"#"删除
......
wq #保存退出
启用pam_wheel认证模块后没有加入wheel组的用户将无法使用su命令
1.3 查看su操作记录
安全日志文件位于：/var/log/secure
2. sudo 命令 - 用户提权
2.1 sudo 命令的用途及用法
用途：以其他身份（如root）执行授权的命令
sudo "授权命令"
2.2 配置sudo授权
vi sudo 或 vi /etc/sudoers #此文件默认权限为440，保存退出时必须使用"wq!"命令强制执行
#语法格式： 用户 主机名=命令程序列表
# %组名 主机名=（用户）命令程序列表
#用户\%组名：直接授权的用户、组
#（用户）；以何种身份执行命令，缺省时默认以root用户身份运行命令
#主机名：使用此规则的主机名，ALL代表所有主机
#命令程序列表：允许执行的命令，需填写命令的绝对路径，多个命令之间以","分隔，ALL代表所有命令
#例：
Tom ALL=/sbin/ifconfig #授权TOM使用ifconfig命令
%wheel ALL=NOPASSWD:ALL #wheel组内成员无需验证密码即可使用所有命令
User_Alias USERS=Tom,lisi,zhangsan #为指定用户设置别名
Host_Alias HOSTS=localhost,bogon #为指定主机名设置别名
Cmnd_Alias CMNDS=/sbin/ifconfig,/usr/useradd,/usr/bin/userdel #为指定命令设置别名
2.3 查看sudo操作日志
- 需先启用sudo操作日志
visudo
......
Defaults logfile = "/var/log/sudo"
- 查看sudo操作日志
tail /ver/log/sudo
3.终端登录安全控制
3.1 限制root只在安全终端登录
vi /etc/securetty
......
vc/9
vc/10
vc/11
tty1
#tty2 #禁止终端tty2登录，在其前方输入#
#tty3 #禁止终端tty3登录，在其前方输入
tty4
tty5
tty6
tty7
3.2 禁止普通用户登录
需建立/etc/nologin文件
touch /etc/nologin #禁止普通用户登录
删除nologin文件或重启后即恢复正常
rm -rf /etc/nologin #取消限制
三、Linux中的PAM安全认证
1.什么是PAM
PAM（Pluggable Authentication Modules），可插拔式认证模块。
- 是一种高效且灵活的便利的用户级别认证方式
- 也是当前Linux服务器使用的认证方式
2. su 命令的安全隐患
默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户(如root) 的登录密码，带来安全风险；为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换。
3. PAM认证原理
PAM认证一般遵循的顺序: Service (服务) --> PAM (配置文件) --> pam_*.so
- PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib/security下）进行安全认证。
- 用户访问服务器的时候，服务器的某一个服务程序把用户的不同请求发送到PAM模块进行认证。
- 不同的应用程序所对应的PAM模块也是不同的。
4. PAM认证的构成
查看某个程序是否支持PAM认证，可以用ls命令
- 示例：查看su是否支持PAM模块认证
ls /etc/pam.d | grep su
查看su的PAM配置文件：
cat /etc/pam.d/su
- 每一行都是一个独立的认证过程
- 每一行可以分为三个字段：认证类型，控制类型，PAM模块及其参数
控制类型也可以称作Control Flags，用于PAM验证类型的返回结果
- required验证失败时仍然继续，但返回Fail
- requisite验证失败则立即结束整个验证过程，返回Fail
- sufficient验证成功则立即返回，不在继续，否则忽略结果并继续
- optional不用于验证，只显示信息（通常用于session（会话）类型）
四、网络端口扫描 - nmap
- 需先安装namp工具
yum install nmap -y #安装nmap工具
- 用法：
namp "扫描类型" "选项" "扫描目标"
常用选项与扫描类型解释-p指定扫描的端口-n禁用反向DNS解析（加快扫描速度）-sSTCP的SYN扫描（半开扫描），只向目标发出SYN数据包，如果收到SYN\ACK响应包就认为目标端口正在监听服务，并立即断开连接；否则认为目标端口并未开放。-sTTCP连接扫描，这是完整的TCP扫描方式（默认扫描类型），用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。-sFTCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙对SYN数据包进行简单过滤，而忽略了其他形式的TCP。这种类型的扫描可间接检测防火墙的健壮性。-sUUDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。
-sP
ICMP扫描，类似于ping检测，快速判断目标主机是否存活，不做其他扫描。-P0跳过ping检测，这种方式认为所有的目标主机是活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法ping通而放弃
例：
namp -sT 127.0.0.1 #查看本机的TCP端口
namp -p 80 192.168.4.0/24 #检测192.168.4.0/24网段有哪些主机提供HTTP服务
namp -n -sP 192.168.4.0/24 #检测192.168.4.0/24网段有哪些存活主机
版权归原作者 活老鬼 所有， 如有侵权，请联系我们删除。