一、账号安全基本措施

1、系统账号相关

账号类型	处理操作
非登录用户	将这些用户的Shell设为/sbin/nologin或/bin/false 方法一：usermod -s /sbin/nologin 用户名方法二：使用vim /etc/passwd在passwd文件内更改
长期不用的账号	锁定这些账号命令一：usermod -L 用户名命令二：passwd -l 用户名查看账号状态：passwd -S 用户名解锁usermod -U 和passwd -u
无用的账号	删除 userdel [-r] 用户名
账号文件	锁定账号文件passwd、shadow 锁定状态：chattr +i /etc/passwd /etc/shadow 解锁状态：chattr -i /etc/passwd /etc/shadow 查看状态：lsattr /etc/passwd /etc/shadow

这里我就演示以下锁定账号文件的命令，其他命令在之前都有写，有不清楚的可以点击上方的相关文档查看。
在这里插入图片描述

2、密码安全相关

（1）要求下次登录时修改密码（强制的）

命令格式：chage -d 0 wangwu   #要求lisi在下次登录账号时修改密码
cat /etc/shadow | grep wangwu

在这里插入图片描述
再次登录时，输入两次旧密码后，会提示修改密码。

（2）设置密码有效期

方法一：用于即将创建的用户
直接修改配置文件
vim /etc/login.defs          #编辑login.defs文件
PASS_MAX_DAYS   30           #设置有效期30天
方法二：用于已创建的用户
chage -M 30 lisi             #修改lisi用户的密码有效期为30天

方法一：编辑login.defs文件，将密码有效期改为30天，别忘了保存。
在这里插入图片描述
修改参数后建立用户，查看属性。

方法二：
修改已存在的用户lisi的密码有效期为30天。

3、命令历史的限制

（1）减少记录的命令条数

方法一：全局环境生效
vim /etc/profile          #编辑profile文件
HISTSIZE=20              #历史记录保留20条，export HISTSIZE=20也行
soure /etc/profile        #执行一次配置文件，让配置文件生效
方法二：当前环境生效，重启失效
export HISTSIZE=数值      #保留历史记录为（数值）条

方法一：
这里可以直接修改上面的“HISTSIZE=”，也可以在最后填上“export HISTSIZE=数值”，配置文件是以最后的命令为主。
在这里插入图片描述

方法二：export HISTSIZE=数值，当前用户环境下生效，重启失效。

（2）登录时自动清空命令历史

在这里插入图片描述
.bashrc文件的编辑

重启后历史命令被清空，只有我刚输进去的history命令。

4、终端自动注销

方法一：永久配置
vim /etc/profile    #编辑profie文件
TMOUT=600           #600秒闲置，终端注销
soure /etc/profile   #执行一次配置文件，让配置文件生效
方法二：当前配置，重启失效
export TMOUT=数值    #（数值）秒闲置，终端注销

方法一： vim编辑/etc/profile文件，添加“TMOUT=数值”
编辑profile文件，在文件的最后填上“export TMOUT=600”
在这里插入图片描述
编辑文件

等待600秒后

方法二：export TMOUT=数值，结果和上面一样，不过重启后失效。
在这里插入图片描述

二、su命令相关

1、su命令

（1）su命令简介

作用：切换用户
格式：su [-] 目标用户    #带“-”表示使用目标用户的登录shell环境，不加环境变量不变。
可登录的用户一般分两种种，超级用户root、普通用户。
当root切换到任意的用户时，不需要密码。
但当普通用户切换其他用户的时候，需要输入目标用户的密码进行验证。

在这里插入图片描述

（2）限制使用su命令的用户

第一步：将允许使用su命令的用户加入wheel组

gpasswd -a 用户 wheel    #添加用户到wheel组中
grep wheel /etc/group    #确定wheel组成员

在这里插入图片描述

第二步：修改/etc/pam.d/su认证配置启用pam_wheel认证

vim /etc/pam.d/su     #编辑/etc/pam.d/su文件
auth sufficient pam_rootok.so  
#pam_rootok.so模块的主要作用是使uid为0的用户root能够直接通过认证而不用输入密码
...      #省略部分
auth required pam_wheel.so use_uid 
 #pam_wheel.so作用是让wheel组内的用户使用su命令，其他人（包括root）无法使用su命令

每种状态的解释：
两行都注释：所有用户都能使用su命令，切换时root和普通用户都需要密码验证
开启第一行，注释第二行：（默认状态）允许所有用户间使用su命令进行切换的，切换时，root不需要密码，其他用户需要密码。
注释第一行，开启第二行：只有wheel组内的用户才能使用su命令，root用户也无法切换。
两行都开启：只有root用户和wheel组内的用户才可以使用su命令。

在这里插入图片描述
例：修改文档将命令前面的注释符“#”删除，并“wq”保存。

切换用户，此时lisi在wheel组中，所以和root一样可以切换，但需要密码认证，而zhangsan不在wheel组中，所以su命令拒绝了请求，切换失败。

（3）查看su操作的记录

/var/log/secure是su的安全日志，使用su命令切换用户的操作都会被记录，所以可以查看此文件来看记录。

例如：cat /var/log/secure

查看/var/log/secure文件
在这里插入图片描述
下图就是我上面部分切换用户的记录，可以看到每行里的参数，大概意思能看懂即可。

2、PAM安全认证

在su命令时，有提到pam_wheel认证，这里对PAM补充一些内容。

（1）PAM及其作用

PAM是linux可插拔认证模块，是一套可定制、可动态加载的共享库，系统管理员通过PAM配置文件随意选择程序的认证方式。
PAM的配置文件位于/etc/pam.d目录下，CentOS7的本地认证模块放置在/lib64/security下。想要了解有哪些，可以使用ls查看。

（2）PAM认证原理

PAM认证顺序：Service（服务）—>PAM（配置文件）—>pam_*.so
PAM首先确定服务，然后加载相应的PAM配置文件，最后调用PAM认证模块进行安全认证。
用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。

如果想查看某个程序是否支持 PAM 认证，可以用 ls 命令进行查看/etc/pam.d/。
例如：ls /etc/pam.d | grep su    #查看su是否支持PAM模块认证

在这里插入图片描述

（3）PAM认证的构成

每一行都是一个独立的认证和过程，它们按从上往下的顺序依次由PAM模块调用
每行都有三个分区：认证类型、控制类型、PAM模块、PAM模块参数

查看一个login配置文件，先cd /etc/pam.d/，ls 查看有哪些，cat 选定一个。在这里插入图片描述

各个分区的解释
第一列：PAM有以下四种模块类型，分别代表四种不同的任务

认证模块类型	作用
auth	对用户身份进行识别，如提示输入密码，判断是否为root。
account	对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
password	使用用户信息来更新数据，如修改用户密码。
session	定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。

第二列：PAM使用控制类型来处理和判断各个模块的返回值

控制类型	作用
required	需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。该行以及所涉及模块的成功是用户通过鉴别的必要条件
requisite	与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
sufficient	如果此模块返回成功，则不管后面的验证，直接向程序返回成功，表示验证通过，如果返回失败，则可以看成optional。（慎用）
optional	不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。不管成功、失败，继续下一模块的验证，且此模块的服务也能享用。
include	表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项。

第三列：

PAM模块：CentOS7默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。
同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。

第四列：

PAM模块参数：这个需要根据所使用的模块来添加。传递给模块的参数。参数可以有多个，之间用空格分隔开

这张图PAM工作过程是我自己的理解，如果有错误或补充请联系我。
在这里插入图片描述

3、sudo命令

作用：提升执行权限（使用其他用户的身份执行）
用法：sudo 授权命令

（1）配置sudo授权

通过vim /etc/sudoers
通过visudo

/etc/sudoers文件默认的权限为440，需要使用visudo工具进行编辑，如果使用vim命令编辑退出时需要“：wq！”，强制保存。
在这里插入图片描述
使用visudo，可以看见里面有大量的模版，这些都是可以直接借用。

（2）授权格式

用户 主机名=命令程序列表
用户 主机名=(用户) 命令程序列表
解释：
用户：直接授权指定的用户名，或采用“%组名”的形式（授权一个组的所有用户）。
主机名：使用此规则的主机名。没配置过主机名时可用localhost，有配过主机名则用实际的主机名，ALL则代表所有主机
(用户)：用户能够以何种身份来执行命令。此项可省略，缺省时以root用户的身份来运行命令
命令程序列表：允许授权的用户通过sudo方式执行的特权命令，需填写命令程序的完整路径，如果不知道路径可以用“which”查，多个命令之间以逗号“,”进行分隔。ALL则代表系统中的所有命令；通配符“*”表示所有、取反符号“!”表示排除
注：初次使用sudo时需验证当前用户的密码，默认超时时长为5分钟，在此期间不再重复验证密码。

使用visudo编辑
在这里插入图片描述
查询命令路径

测试lisi用户执行ifconfig，顺带测试wheel组内用户组成员使用sudo时不需要密码认证。
在这里插入图片描述
zhangsan用户在输入reboot和poweroff命令时被限制。

（3）设置别名

输入时，有时候有些用户、主机名或命令字符比较长或复杂，可以设置一个别名，方便省力。

使用关键字 User_Alias、Host_Alias、Cmnd_Alias 来进行设置别名（别名必须为大写）
多个信息需要用“，”隔开。
User_Alias USERS=用户名1，用户名2，用户名3        #用户别名，USERS代表后面三个用户
Host_Alias HOSTS=localhost,bogon              #主机别名
Cmnd_Alias CMNDS=/sbin/ifconfig,/usr/sbin/useradd,/usr/sbin/userdel  #命令别名
USERS HOSTS=CMNDS   #使用别名编写授权

例如：描述上可能有问题，但命令格式没问题
在这里插入图片描述

（4）查看sudo操作记录

需要启动Defaults logfile配置
默认日志文件在"/var/log/sudo"

启用sudo操作日志
visudo
Defaults logfile = "/var/log/sudo"

使用“visudo”，在最后一行输入lisi localhost=/sbin/reboot；Defaults logfile = “/var/log/sudo”，将sudo操作日志打开，并给lisi用户reboot的权限。

在这里插入图片描述
使用sudo查看。

三、开关机安全

1、调整BIOS引导设置

（1）将第一引导设备设为当前系统所在硬盘。
（2）禁止从其他设备（光盘、U盘、网络)引导系统，将对应的项设置为“disabled”。
（3）将安全级别设为setup，并设置管理员密码。

2、GRUB限制

grub2-mkpasswd-pbkdf2       #使用grub2-mkpasswd-pbkdf2生成密钥

cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

vim /etc/grub.d/00_header       #修改/etc/grub.d/00_header文件，添加密码记录
cat << EOF
set superusers="root"					#设置用户名为root
password_pbkdf2 root grub.pbkdf2……		#设置密码，省略部分内容为经过加密生成的密码字符串
EOF

grub2-mkconfig -o /boot/grub2/grub.cfg	#生成新的 grub.cfg 文件

在linux系统重启时，看最下面有一行，按“e”可以进入grub菜单。
在这里插入图片描述
进入grub菜单后，所有人可以修改grub引导参数，这样是一个极大的隐患，所以要个grup加个限制。可以为 GRUB 菜单设置一个密码，只有提供正确的密码才被允许修改引导参数。

（1）使用grub2-mkpasswd-pbkdf2生成密钥

grub2-mkpasswd-pbkdf2

在这里插入图片描述

（2）修改/etc/grub.d/00_header文件，添加密码记录
修改文件前备份文件，防止出现问题好恢复。这里将第三步的grup.cfg一起备份了。
在这里插入图片描述
编辑00_header文件，记得保存。

（3）生成新的grub.cfg配置文件
在这里插入图片描述
重启系统init 6，在相应界面按“e”,会跳出下图界面，按照提示输入用户名和密码才可以进入grub菜单。

四、终端登录

1、限制root用户

linux系统启动时，login程序会读取 /etc/securetty文件（安全终端配置文件），决定允许root用户从哪些终端登录。所以想要限制需要编辑 /etc/securetty文件。

vim /etc/securetty
#tty5        #想要不让在哪个终端登陆就在该终端前加注释"#"
#tty6

在这里插入图片描述

2、限制普通用户

touch /etc/nologin			#禁止普通用户登录
rm -rf /etc/nologin			#取消登录限制

在etc下建立nologin文件
在这里插入图片描述
普通用户无法登录了，root用户可以登录。删除nologin文件后，恢复正常。重启也可以恢复正常，但在实际情况下，公司内部不会让你重启服务器，所以需要删除文件。

五、破解密码（弱口令）

弱口令检测（John the Ripper ）是一款开源的密码破解工具，可使用密码字典（包含各种密码组合的列表文件）来进行暴力破解。
官方网站：http://www.openwall.com/john/
在这里插入图片描述
下面是整个流程

cd /opt
tar zxf john-1.9.0.tar.gz       #解压工具包
yum install -y gcc gcc-c++ make  #安装软件编译工具

cd /opt/john-1.9.0/src    #切换到src子目录
make clean linux-x86-64    #进行编译安装

cp /etc/shadow /opt/shadow.txt   #准备待破解的密码文件
cd /opt/john-1.9.0/run     #切换到run子目录
./john /opt/shadow.txt      #执行暴力破解

./john --show /opt/shadow.txt  #查看已破解出的账户列表

#使用密码字典文件
> john.pot 		#清空已破解出的账户列表,以便重新分析
./john --wordlist=./password.lst /opt/shadow.txt #使用指定的字典文件进行破解

1、安装软件

首先将下载的tar包放入linux系统，这里可以直接拖进xshell窗口，将文件放入。如果不行可以共享文件，方法可见：番外篇：windows端共享文件给Linux，或者用ftp传输，这个在之后会说明。
在这里插入图片描述
解压tar包，安装编译环境

切换到src子目录进行编译安装

2、破解密码

准备要破解的密码，并破解
在这里插入图片描述
查看破解过的账号信息。

破解软件的字典password.lst

也可以自己指定字典进行破解，自己先创建一个字典，指定这个字典进行破解

在这里插入图片描述

六、网络端口扫描

网络扫描（NMAP）是一个强大的端口扫描类安全评测工具，支持 ping 扫描、多端口检测等多种技术。
官方网站：http://nmap.org/
作用：找出网络中不可控的应用服务，及时关闭不安全服务，减小安全风险。
在这里插入图片描述

在这里插入图片描述

首先使用yum的方式安装nmap软件包（联网状态），没有网需要挂载硬盘，建立yum本地云。

rpm -qa | grep nmap      #查看是否安装了
yum install -y nmap      #用yum的方式安装，不然还要找依赖包

rpm ivh nmap-7.91-1.x86_64.rpm    #也可以去官网下载新版的软件包，可能需要下载其他依赖包

在这里插入图片描述
命令格式

nmap [扫描类型] [选项]  扫描目标

安装好软件，就可以使用了，这里先了解一下扫描类型和命令选项

扫描类型	作用
-sS	TCP的SYN扫描（半开扫描）：只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接；否则认为目标端口并未开放。
-sT	TCP连接扫描：这是完整的TCP扫描方式（默认扫描类型），用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
-sF	TCP的FIN扫描：开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的 TCP 攻击包。这种类型的扫描可间接检测防火墙的健壮性。
-sU	UDP 扫描：探测目标主机提供哪些 UDP 服务，UDP 扫描的速度会比较慢。
-sP	ICMP 扫描：类似于 ping 检测，快速判断目标主机是否存活，不做其他扫描。
-P0	跳过ping检测：这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法 ping 通而放弃扫描。

常用的选项	作用
-p	指定扫描的端口。
-n	禁用反向 DNS 解析（以加快扫描速度）。

例：

查看本机开放的TCP端口：nmap [-sT] 127.0.0.1
查看本机开放的UDP端口（扫描速度慢）：nmap -sU 127.0.0.1
检测虚拟机192.168.163.0/24网段有哪些主机提供HTTP服务
nmap -p 80 192.168.163.0/24
检测192.168.163.0/24网段有哪些存活主机
nmap -n -sP 192.168.163.0/24

补充：netstat命令

说道网络，不得不提及Netstat，它是一个监控TCP/IP网络的工具，是用来显示网络状态信息的，其中包括路由表、实际的网络连接以及每一个网络接口设备，可显示与IP、TCP、UDP和ICMP协议相关的统计数据，用于检验本机各端口的网络连接情况。

选项	作用
-a	显示主机中所有活动的网络连接信息（包括监听、非监听状态的服务端口）。
-n	以数字的形式显示相关的主机地址、端口等信息。
-t	查看 TCP相关的信息。
-u	显示 UDP协议相关的信息。
-p	显示与网络连接相关联的进程号、进程名称信息（该选项需要 root 权限）。
-r	显示路由表信息。
-l	显示处于监听状态的网络连接及端口信息。

演示：这里演示两个命令，其他选项可以自己试一下

查看正在运行的使用TCP协议的网络状态信息------netstat -natp
查看正在运行的使用UDP协议的网络状态信息------netstat -naup

Linux基础之系统安全及应用（su和sudo）

目录

一、账号安全基本措施

1、系统账号相关

2、密码安全相关

（1）要求下次登录时修改密码（强制的）

（2）设置密码有效期

3、命令历史的限制

（1）减少记录的命令条数

（2）登录时自动清空命令历史

4、终端自动注销

二、su命令相关

1、su命令

（1）su命令简介

（2）限制使用su命令的用户

（3）查看su操作的记录

2、PAM安全认证

（1）PAM及其作用

（2）PAM认证原理

（3）PAM认证的构成

3、sudo命令

（1）配置sudo授权

（2）授权格式

（3）设置别名

三、开关机安全

1、调整BIOS引导设置

2、GRUB限制

四、终端登录

1、限制root用户

2、限制普通用户

五、破解密码（弱口令）

1、安装软件

2、破解密码

六、网络端口扫描

补充：netstat命令

猜你喜欢