系统安全及应用
账户安全控制
基本安全措施
系统账号清理
一般除了手动创建账号之外，还包括系统或安装过程生成的其他账号。除了其他账号只是用来维护系统运作，启动或保持服务，一般不允许登录，常见的非登录用户包括bin，daemon，adm，lp，mail，nobody，apache，mysql，dbus，ftp，gdm，haldaemon等。
为了确保系统安全，这些用户的登录shell通常是/sbin/nologin，表示禁止终端登录，应确保不被人为改动
[root@localhost ~]# grep "/sbin/nologin$" /etc/passwd
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
adm:x:3:4:adm:/var/adm:/sbin/nologin
lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
operator:x:11:0:operator:/root:/sbin/nologin
games:x:12:100:games:/usr/games:/sbin/nologin
ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
polkitd:x:999:998:User for polkitd:/:/sbin/nologin
对长期不用的账号进行锁定（passwd ,usermod）
[root@localhost ~]# usermod -L tom 锁定账号
[root@localhost ~]# passwd -S tom 查看账号状态
tom LK 2020-06-21 0 99999 7 -1 (密码已被锁定。)
[root@localhost ~]# usermod -U tom 解锁账号
[root@localhost ~]# passwd -S tom
tom PS 2020-06-21 0 99999 7 -1 (密码已设置，使用 SHA512 算法。)
chattr–锁定账号配置文件
[root@localhost ~]# chattr +i /etc/passwd /etc/shadow 锁定文件
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 查看锁定的状态
----i----------- /etc/passwd
----i----------- /etc/shadow
[root@localhost ~]# chattr -i /etc/passwd /etc/shadow 解锁文件
[root@localhost ~]# lsattr /etc/passwd /etc/shadow 查看为解锁状态
---------------- /etc/passwd
---------------- /etc/shadow
锁定账户是无法登录和删除账号，更改密码
[root@localhost ~]# useradd zhang
useradd：无法打开 /etc/passwd
密码安全控制( chage)
chage命令—设置密码有效期限
为了降低密码被猜出和暴力爆破的风险
[root@localhost ~]# vi /etc/login.defs 见下图，对于未创建的用户，使用此命令修改配置文件'
PASS_MAX_DAYS 99999 密码有效期无限大
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
[root@localhost ~]# chage -M 30 lisi 对于已创建的用户，用这条命令'
把最大天数9999改为30天，9999为无线大
要求用户下次登录时修改密码
[root@localhost ~]# chage -d 0 mike 重新登录一下
You must change your password now and login again!
更改用户 mike 的密码 。
为 mike 更改 STRESS 密码。
（当前）UNIX 密码：
命令历史，自动注销
shell给用户提供了极大的方便，但是历史机制会给安全带来隐患这里记录条数由HISTSIZE控制，默认1000条，可以设置200条
root@localhost ~]# vi /etc/profile 对于未创建的用户，使用此命令修改配置文件
...省略部分内容
将其中的HISTSIZE=1000，修改为HISTSIZE=200
[root@localhost ~]# export HISTSIZE=200 该命令适用于当前用户，及时成效
注销时自动清空命令历史：
修改用户宿主目录中的~/.bash_logout文件，添加清空历史命令的操作语句。即：当用户注销（退出已登录的bash环境）时，所记录的历史命令将自动清空
[root@localhost ~]# vi .bash_logout
history -c
clear
bash终端自动注销
bash终端环境中，可以设置一个闲置超时时间，当超过指定时间没有任何输入时即自动注销终端，这样可以有效避免当管理员不在时其他人员对服务器的误操作风险。闲置时间有变量TMOUT来控制，默认单位为秒
[root@localhost ~]# vi /etc/profile '适用于新登录的用户'
...中间省略内容
export TMOUT=20 '闲置时间设置为20s'
[root@localhost ~]# export TMOUT=20 '适用于当前用户'
用户切换与提权
大多数Linux服务器并不建议用户直接以root用户进行登录。
linux 提供了su ，sudo 两种命令
su命令主要用来切换用户
sudo命令用来提升执行权限
su 命令 -切换用户
使用su命令，可以切换为指定的另一个用户，从而具有该用户的所有权限
切换时需要对目标用户的密码进行验证（从root用户切换为其他用户不需要）
[root@localhost ~]# su - root
上一次登录：一 6月 22 19:38:36 CST 2020从 192.168.136.2pts/0 上
[root@localhost ~]# su - zhangsan root用户切换不需要密码
上一次登录：三 7月 1 17:22:44 CST 2020pts/3 上
[root@localhost ~]# su - lisi
上一次登录：三 7月 1 17:23:28 CST 2020pts/3 上
限制用户使用su命令的用户
以减少有机会反复尝试登录密码，将允许使用su命令的用户加入wheel组
[root@localhost ~]# id mike 查看是否在wheel中
uid=1002(mike) gid=1004(mike) 组=1004(mike)
[root@localhost ~]# gpasswd -a mike wheel 添加到wheel中
正在将用户“mike”加入到“wheel”组中
[root@localhost ~]# id mike
uid=1002(mike) gid=1004(mike) 组=1004(mike),10(wheel)
[root@localhost ~]# vi /etc/pam.d/su
...省略部分内容
auth sufficient pam_roottok.so
auth required pam_wheel.so use_uid '进入编辑，将此行开头的#删除，随后wq退出即可
[root@localhost ~]# su lisi
[lisi@localhost /]$ su root
密码：
su: 拒绝权限
[root@localhost ~]# su mike
[mike@localhost root]$ su root
[root@localhost ~]# su mike
[ mike@localhost root]$ id
uid=1001( mike) gid=1001( mike) 组=1001( mike),10(wheel) 环境 在whell中可以直接登录root =unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023
sudo命令–提升执行权限
用过su命令可以非常方便的切换为另一个用户，但前提条件是必须知道目标用户的登录密码
对于生产环境中的Linux服务器，每多一个人知道特权密码，其安全风险也就增加一分，而sudo命令就诞生了，既可以让部分普通用户拥有管理权限还可以不要root密码
配置文件/etc/sudoers中添加
sudo机制的配置文件为/etc/sudoers，文件的默认权限是440，需要使用专门的visudo工具进行编辑。若使用vi编辑，保存时必须执行“：w！”命令强制操作，否则系统将提示为只读文件而拒绝保存
授权配置包括用户，主机，命令
[root@localhost ~]# visudo '或者使用vi /etc/sudoers 命令进入sudo配置文件'
...此处省略部分信息
root ALL=(ALL) ALL '发现root用户拥有所有权限'
## Allows members of the 'sys' group to run networking, software,
## service management apps and more.
# %sys ALL = NETWORKING, SOFTWARE, SERVICES, STORAGE, DELEGATING, PROCESSES, LOCATE, DRIVERS
## Allows people in group wheel to run all commands
%wheel ALL=(ALL) ALL '发现wheel组中的用户也拥有所有权限'
认识了解pam_wheel认证模块
启用pam_wheel认证以后，未加入到wheel组内的其他用户将无法使用su命令 尝试进行切换时将会按照“拒绝权限”来处理，以减少有机会反复尝试登录密码
[root@localhost ~]# vi /etc/pam.d/su
...省略部分内容
#auth required pam_wheel.so use_uid '进入编辑，将此行开头的#删除，随后wq退出即可'
su: 拒绝权限
[wangwu@localhost ~]$ su - mike '无法使用su命令'
密码：
su: 拒绝权限
PAM安全认证
su 命令的隐患
限制用户使用su命令的用户，以减少有机会反复尝试登录密码，将允许使用su命令的用户加入wheel组
PAM认证原理
PAM认证一般遵循的顺序：Service（服务）→PAM（配置文件）→pam_*.so（.so 后缀代表模块文件）
PAM认证首先要确定哪一项服务，然后加载相应的PAM的配置文件（位于/etc/pam.d下），最后调用认证文件（位于/lib/security下）进行安全认证
PAM认证的构成
查看su的PAM配置文件：cat /etc/pam.d/su
每一行都是一个独立的认证过程
每一行可以区分为三个字段（认证类型，控制类型，PAM模块及其参数）
[root@localhost ~]# cat /etc/pam.d/su
#%PAM-1.0
auth sufficient pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth sufficient pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
auth required pam_wheel.so use_uid
auth substack system-auth
auth include postlogin
account sufficient pam_succeed_if.so uid = 0 use_uid quiet
account include system-auth
PAM安全认证流程
控制类型也可以称作Control Flags，用于PAM验证类型的返回结果
1.required验证失败时仍然继续，但返回Fail
2.requisite验证失败则立即结束整个验证过程，返回Fail
3.sufficient验证成功则立即返回，不在继续，否则忽略结果并继续
4.optional不用于验证，只显示信息（通常用于session（会话）类型）
系统引导和登录控制
调整BIOS引导设置
将第一引导设备设为当前系统所在硬盘
禁止从其他设备（光盘，U盘，网络）引导系统
将安全级别设为setup，并设置管理员密码
更改GRUB引导参数
使用grub2-mkpasswd-pbkdf2生成秘钥
修改/etc/grub.d/00_header文件中，添加密码记录
生成新的grub.cfg配置文件
localhost ~]# cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak '将grub配置文件备份'
[root@localhost ~]# cp /etc/grub.d/00_header /etc/grub.d/00_header.bak '将/etc/grub.d/00_header文件也备份一下'
[root@localhost ~]# grub2-mkpasswd-pbkdf2 '开始加密自己的密码'
输入口令： '例如输入 123123'
Reenter password: '重复输入123123'
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.E95B023DE28491A5F5A34B18C5C6CE9F74695A15FB17F48E04630B04DCB8E9A21EE3322C02311DEF3049654B5F64DD7A455BDF707FD304F4DB6ABC51A0F12321.08CF42CC9225D539DB130989F5445BDE2995B3691CE5806F075CBB51AD3084BA5E9B7C04EFC9D5BEEA8782CCDAA3105FA45AD9F534B5473FD91EB20556453EEB 'is 后面的内容就是通过加密算法将123123生成的加密密码'
[root@localhost ~]# vi /etc/grub.d/00_header '编辑配置文件头文件'
'将以下内容输入进去，刚刚生成的加密密码也输入进去'
cat << EOF
set superusers="root"
passwd_pbkdf2 root grub.pbkdf2.sha512.10000.E95B023DE28491A5F5A34B18C5C6CE9F74695A15FB17F48E04630B04DCB8E9A21EE3322C02311DEF3049654B5F64DD7A455BDF707FD304F4DB6ABC51A0F12321.08CF42CC9225D539DB130989F5445BDE2995B3691CE5806F075CBB51AD3084BA5E9B7C04EFC9D5BEEA8782CCDAA3105FA45AD9F534B5473FD91EB20556453EEB
EOF
[root@localhost ~]# grub2-mkconfig -o /boot/grub2/grub.cfg '将生成的配置文件覆盖掉原来的grub.cfg配置文件'
Generating grub configuration file ...
Found linux image: /boot/vmlinuz-3.10.0-693.el7.x86_64
Found initrd image: /boot/initramfs-3.10.0-693.el7.x86_64.img
Found linux image: /boot/vmlinuz-0-rescue-b02d514a7e824ce7b6ea15214bb43466
Found initrd image: /boot/initramfs-0-rescue-b02d514a7e824ce7b6ea15214bb43466.img
done
[root@localhost ~]# init 6 '重启'
终端登录安全控制
禁止root用户登录
[root@192 ~]# vi /etc/securetty
vc/11
tty1
tty2
tty3
tty4
#tty5 '禁止终端tty5登录，在其前方输 入#即可'
#tty6 '禁止终端tty6登录，在其前方输入#即可'
禁止普通用户登录
维护时候不希望有新的用户登录
建立/etc/nologin文件
删除nologin文件或重启后即恢复正常
[root@localhost ~]# touch /etc/nologin '禁止普通用户登录'
[root@localhost ~]# rm -rf /etc/nologin '取消上述登录限制'
'一般做维护的时候使用（只有root用户可以登录，其他用户不可登录）'
弱口令检测
弱命令检查
-
一款密码分析工具，支持字典式的暴力破解
-
通过对shadow文件的口令分析，可以检测密码强度
弱口令实验：通过john工具查看自己的密码
[root@localhost ~]# ll
总用量 5336
-rw-------. 1 root root 1423 6月 17 01:34 anaconda-ks.cfg
-rw-r--r--. 1 root root 5450412 6月 22 23:56 john-1.8.0.tar.gz
-rw-r--r--. 1 root root 2158 6月 22 23:58 John BUG ???ϴ?????Loaded 5 password hashes with 5 different salts (crypt, generic crypt(3) [64]).txt
----------. 1 root root 867 6月 23 10:08 shadow.txt
[root@localhost ~]# tar zxvf john-1.8.0.tar.gz
john-1.8.0/README
john-1.8.0/doc/CHANGES
john-1.8.0/doc/CONFIG
john-1.8.0/doc/CONTACT
john-1.8.0/doc/COPYING
john-1.8.0/doc/CREDITS
john-1.8.0/doc/EXAMPLES
john-1.8.0/doc/EXTERNAL
john-1.8.0/doc/FAQ
john-1.8.0/doc/INSTALL
[root@localhost 111]# cd /root/john-1.8.0/
[root@localhost john-1.8.0]# ls '查看压缩包'
doc README run src 'doc是说明文档，README是说明书，run是脚本，src是源码文件'
接下来是手工编译安装的过程
[root@localhost src]# cd src 源码中编辑
[root@localhost src]# yum install gcc gcc-c++ -y
[root@localhost src]# make linux-x86-64 'make编译'
[root@localhost john-1.8.0]# cd run
[root@localhost run]# ls '此时已经有john脚本'
ascii.chr john lm_ascii.chr makechr relbench unique
digits.chr john.conf mailer password.lst unafs unshadow
[root@localhost run]# ./john /etc/passwd /etc/shadow '运行脚本查看/etc/passwd /etc/shadow文件'
123123 (zhangsan) 已经出来密码
1g 0:00:00:40 0% 2/3 0.02488g/s 228.7p/s 252.6c/s 252.6C/s leslie..boston
四：端口扫描
一款强大的网络扫描，安全检测工具
可以探测局域网中那些主机在线，或者某台主机中开了那些端口
NMAP的扫描语法
nmap [扫描类型] [选项] <扫描目标…>
常用的扫描类型
-sS：tcp syn扫描
-sF：tcp fin扫描
-P0：跳过ping扫描
-sT：TCP连接扫描
-sU：UDP端口扫描，查看主机提供哪些UDP
-sP：类似于ping，查看主机是否在线
nmap实验
[root@localhost run]# yum install nmap -y
[root@localhost ~]# nmap -sP 192.168.136.0/24
Starting Nmap 6.40 ( http://nmap.org ) at 2020-06-23 11:11 CST
Nmap scan report for 192.168.136.1
Host is up (0.00016s latency).
MAC Address: 00:50:56:F6:EF:9A (VMware)
Nmap scan report for 192.168.136.2
Host is up (0.00014s latency).
MAC Address: 00:50:56:C0:00:08 (VMware)
Nmap scan report for 192.168.136.254
Host is up (-0.11s latency).
MAC Address: 00:50:56:F9:0A:A8 (VMware)
Nmap scan report for 192.168.136.158
Host is up.
Nmap done: 256 IP addresses (4 hosts up) scanned in 6.32 secon
[root@localhost ~]# nmap -sT 192.168.136.158 查看tcp端口
Starting Nmap 6.40 ( http://nmap.org ) at 2020-06-23 11:12 CST
Nmap scan report for 192.168.136.158
Host is up (0.0012s latency).
Not shown: 999 closed ports
PORT STATE SERVICE
22/tcp open ssh
8.136.254
Host is up (-0.11s latency).
MAC Address: 00:50:56:F9:0A:A8 (VMware)
Nmap scan report for 192.168.136.158
Host is up.
Nmap done: 256 IP addresses (4 hosts up) scanned in 6.32 secon
[root@localhost ~]# nmap -sT 192.168.136.158 查看tcp端口
Starting Nmap 6.40 ( http://nmap.org ) at 2020-06-23 11:12 CST
Nmap scan report for 192.168.136.158
Host is up (0.0012s latency).
Not shown: 999 closed ports
PORT STATE SERVICE
22/tcp open ssh