系统安全与应用
一、账号安全基本措施
-系统账户清理
（1）将非登录用户的Shell设为/sbin/nologin
/sbin/nologin——禁止终端登录，确保不被人为改动 （经常检查，防止恶意篡改）
[root@centos7-012 ~]# usermod -s /sbin/nologin tom （修改用户tom的登录shell）
[root@centos7-012 ~]# cat /etc/passwd | grep "tom" （查看用户tom的基本信息）
tom:x:1000:1000::/home/tom:/sbin/nologin
（2）锁定长期不使用的账号
例如一些用户长期不使用，但不确定是否删除，这时候就可以使用锁定账户
[root@centos7-012 ~]# usermod -L tom （锁定用户tom）
[root@centos7-012 ~]# passwd -S tom （查看用户状态）
tom LK 2020-12-30 0 99999 7 -1 (密码已被锁定。)
[root@centos7-012 ~]# usermod -U tom （解锁用户tom）
[root@centos7-012 ~]# passwd -S tom （再次查看用户状态）
tom PS 2020-12-30 0 99999 7 -1 (密码已设置，使用 SHA512 算法。)
（3）删除无用的账号
例如mysql程序删除后，就可以删除mysql用户
[root@centos7-012 ~]# userdel mysql （删除mysql账户）
（4）锁定账号文件passwd、shadow
例如服务器账户已经确认创建完成，不再进行更改，这时候就可以锁定账号文件
[root@centos7-012 ~]# chattr +i /etc/passwd /etc/shadow （锁定账号文件）
[root@centos7-012 ~]# lsattr /etc/passwd /etc/shadow （查看账号文件属性）
---------------- /etc/passwd
---------------- /etc/shadow
[root@centos7-012 ~]# useradd lisi （这时候创建新用户，发现无法创建）
useradd：无法打开 /etc/passwd
[root@centos7-012 ~]# chattr -i /etc/passwd /etc/shadow （解锁账号文件）
[root@centos7-012 ~]# useradd lisi （再次创建新用户，发现创建成功）
-密码安全控制
（1）设置密码有效期
******适用于新建用户的
[root@centos7-012 ~]# echo "PASS_MAX_DAYS 30" >> /etc/login.defs （设置有效期为30天）
[root@centos7-012 ~]# tail -5 /etc/login.defs
# Use SHA512 to encrypt password.
ENCRYPT_METHOD SHA512
PASS_MAX_DAYS 30
******适用于已有用户的
[root@centos7-012 ~]# chage -M 30 tom （设置用户tom的密码有效期为30天）
（2）要求用户下次登陆时修改密码
[root@centos7-012 ~]# chage -d 0 tom （强制用户tom在下次登陆时更改密码）
-命令历史限制
（1）减少记录的命令条数
[root@centos7-012 ~]# vim /etc/profile （编写系统脚本）
。。。。。。
44
45 HOSTNAME=`/usr/bin/hostname 2>/dev/null`
46 HISTSIZE=20 （修改为历史限制为20条）
47 if [ "$HISTCONTROL" = "ignorespace" ] ; then
48 export HISTCONTROL=ignoreboth
。。。。。。
保存退出
[root@centos7-012 ~]# source /etc/profile （运行脚本）
[root@centos7-012 ~]# history （查看历史命令，发现只显示最后20条）
39 cat nologin.txt
40 passwd -S tom
41 passwd -L tom
42 usermod -L tom
43 passwd -S tom
44 usermod -U tom
45 passwd -S tom
46 usermod -s /sbin/nologin tom
47 cat /etc/passwd | grep "tom"
48 vim /etc/login.defs
49 mount /dev/cdrom /media/cdrom/
50 yum -y install vim net-tools
51 vim /etc/login.defs
52 echo "PASS_MAX_DAYS 30" >> /etc/login.defs
53 tail -5 /etc/login.defs
54 chage -M 30 tom
55 chage -d 0 tom
56 vim /etc/profile
57 source /etc/profile
58 history
（2）注销时自动清空命令历史
/.bash_logout 用途: 用户登出时执行的命令
[root@centos7-012 ~]# vim ~/.bash_logout （修改）
# ~/.bash_logout
history -c （登出时清除历史命令并且清屏）
clear
（3）终端自动注销
[root@centos7-012 ~]# vim ~/.bash_profile
# .bash_profile
# Get the aliases and functions
if [ -f ~/.bashrc ]; then
. ~/.bashrc
fi
# User specific environment and startup programs
PATH=$PATH:$HOME/bin
export PATH
export TMOUT = 20 （添加自动注销时间为20秒）
保存退出
[root@centos7-012 ~]# source ~/.bash_profile （执行）
等待二十秒，会发现自动注销
二、用户切换以及提权
-使用su命令切换用户
（1）用途以及用法
用途： Substitute User，切换用户
格式： su - 用户名
（2）密码验证
使用root用户切换其他用户是不需要验证密码的
普通用户切换到其他用户需要验证用户密码
注意： 带 - 选项表示将使用目标用户的登录shell环境
[root@centos7-012 ~]# su - tom （root账户进行切换用户无需密码）
上一次登录：三 12月 30 18:27:47 CST 2020pts/0 上
[tom@centos7-012 ~]$ su - root （普通账户切换需要输入密码）
密码： （输入密码）
上一次登录：三 12月 30 18:27:44 CST 2020pts/0 上
[root@centos7-012 ~]#
只需要查看 @ 号之前的名称是谁，那么就是登录的谁的用户，也可以使用whoami来查看
（3）限制使用su命令的用户
在CentOS7系统中默认所有用户都可以使用su命令，防止密码穷举也就是暴力破解的危险，可以只允许指定用户使用su命令
******启用pam_wheel认证模块，将允许使用su命令的用户加入wheel组中
[root@centos7-012 ~]# vim /etc/pam.d/su
1 #%PAM-1.0
2 auth sufficient pam_rootok.so
3 auth required pam_wheel.so use_uid （添加）
4 # Uncomment the following line to implicitly trust users in the "wheel" group.
。。。。。。
保存退出
[root@centos7-012 ~]# grep wheel /etc/group （筛选wheel发现多了一个wheel组）
wheel:x:10:
[root@centos7-012 ~]# su - tom （切换到tom账户）
上一次登录：三 12月 30 18:28:13 CST 2020pts/0 上
[tom@centos7-012 ~]$ su - root （使用tom账户切换到root，发现输入密码也无法切换）
密码：
su: 拒绝权限
******注销tom，使用root登录
[root@centos7-012 ~]# gpasswd -a tom wheel （把tom账户加到wheel组中）
正在将用户“tom”加入到“wheel”组中
[root@centos7-012 ~]# su - tom （再次切换到tom账户）
上一次登录：三 12月 30 18:43:10 CST 2020pts/0 上
[tom@centos7-012 ~]$ su - root （使用tom账户切换root）
密码：
上一次登录：三 12月 30 18:45:14 CST 2020从 192.168.100.111pts/1 上
[root@centos7-012 ~]# （发现可以成功切换）
（4）查看su操作记录
******安全日志文件：/var/log/secure
[root@centos7-012 ~]# tail /var/log/secure
Dec 30 18:28:11 centos7-012 usermod[16119]: change user 'tom' shell from '/sbin/nologin' to '/bin/bash'
Dec 30 18:28:13 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0)
Dec 30 18:28:52 centos7-012 su: pam_unix(su-l:session): session opened for user root by root(uid=1000)
Dec 30 18:43:10 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0)
Dec 30 18:43:18 centos7-012 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root"
Dec 30 18:45:14 centos7-012 sshd[16199]: Accepted password for root from 192.168.100.111 port 51545 ssh2
Dec 30 18:45:14 centos7-012 sshd[16199]: pam_unix(sshd:session): session opened for user root by (uid=0)
Dec 30 18:45:25 centos7-012 gpasswd[16218]: user tom added by root to group wheel
Dec 30 18:46:01 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0)
Dec 30 18:46:06 centos7-012 su: pam_unix(su-l:session): session opened for user root by root(uid=1000)
-使用sudo机制提升权限
（1）su命令的缺点
知道root密码的用户越少越安全
sudo——普通用户拥有一部分管理权限，又不需要知道root密码
（2）sudo命令的用途以及用法
用途： 想要以其他用户身份（如root）执行授权的命令
用法： sudo 授权命令
（3）配置sudo授权/etc/sudoers
******配置sudo授权（往这个文件里写入要给指定用户的权限）
第一种方法：
[root@centos7-012 ~]# cd /etc
[root@centos7-012 etc]# ll
，，，，，，
-r--r-----. 1 root root 4328 11月 28 2019 sudoers （默认是440也就是两个可读的权限）
。。。。。。
[root@centos7-012 etc]# vim /etc/sudoers （编写sudo的配置文件）
第二种方法：
[root@centos7-012 etc]# visudo （进入sudo的配置文件）（这个进入方法保存退出时会提示给我们错误信息）
两种方法进入的文件是相同的
（4）记录格式
******格式：用户 主机名列表=命令程序列表
写完之后先用 ： 进入末行模式后输入 w！ 强制保存，再保存退（上面两种方法都得这么做）
*用户：用户名 或 “%组名”（也就是组内所有用户）
*主机名：一般为 localhost（本机） 或 实际主机名（得先看自己的主机名是什么就得写什么）
*命令列表： 命令的绝对路径，多命令使用“,”分割
例如：
[root@centos7-012 etc]# vim /etc/sudoers （进入sudo配置文件）
。。。。。。
100 root ALL=(ALL) ALL （这个就表示root在所有主机都有所有的权限）
。。。。。。
107 %wheel ALL=(ALL) ALL （这个表示wheel组内的所有成员在所有主机有着所有权限）
。。。。。。
******按照这样写的话，如果想要boss用户可以使用sudo加权使用ifconfig命令：
[root@centos7-012 ~]# useradd boss （创建boss账户）
[root@centos7-012 ~]# passwd boss （设置boss账户的密码）
更改用户 boss 的密码 。
新的 密码：
无效的密码： 密码未通过字典检查 - 过于简单化/系统化
重新输入新的 密码：
passwd：所有的身份验证令牌已经成功更新。
[root@centos7-012 ~]# which ifconfig （先查看ifconfig的完整路径）
/usr/sbin/ifconfig
[root@centos7-012 ~]# vim /etc/sudoers
。。。。。。
boss ALL=/usr/sbin/ifconfig （在末行加入一行boss可以在所有主机sudo加权使用ifconfig命令）
先输入“：”进入末行模式，然后输入“w！”强制保存之后再保存退出
******验证
[root@centos7-012 ~]# su - boss （切换boss账户）
上一次登录：三 12月 30 18:46:01 CST 2020pts/1 上
[tom@centos7-012 ~]$ sudo /usr/sbin/ifconfig
我们信任您已经从系统管理员那里了解了日常注意事项。
总结起来无外乎这三点：
#1) 尊重别人的隐私。
#2) 输入前要先考虑(后果和风险)。
#3) 权力越大，责任越大。
[sudo] boss 的密码： （输入boss的密码）
ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.100.12 netmask 255.255.255.0 broadcast 192.168.100.255
inet6 fe80::ea8f:4112:94bb:75f7 prefixlen 64 scopeid 0x20<link>
ether 00:0c:29:46:da:b9 txqueuelen 1000 (Ethernet)
RX packets 8064 bytes 702160 (685.7 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 4766 bytes 671907 (656.1 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536
inet 127.0.0.1 netmask 255.0.0.0
inet6 ::1 prefixlen 128 scopeid 0x10<host>
loop txqueuelen 1000 (Local Loopback)
RX packets 476 bytes 38616 (37.7 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 476 bytes 38616 (37.7 KiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
[boss@centos7-012 ~]$ sudo -l （查看当前账户可以使用sudo哪些命令）
[sudo] boss 的密码： （输入boss密码）
匹配 %2$s 上 %1$s 的默认条目：
!visiblepw, always_set_home, match_group_by_gid,
always_query_group_plugin, env_reset, env_keep="COLORS
DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS",
env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS
LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION
LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME
LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME
LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
用户 boss 可以在 centos7-012 上运行以下命令：
(root) /usr/sbin/ifconfig （可以使用ifconfig命令）
******/etc/sudoers中可以用一些符号
******可以使用通配符*、取反符号!
例如：
boss localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route （可以使用/sbin/下的所有命令但是不能使用/sbin/route命令）
******关键字、别名机制（必须大写）
别名格式：别名类型 指定别名=成员1，成员2，成员3。。。。。。
别名类型：（成员可以是用户也可以是命令）
Host_Alias 定义主机别名；
User_Alias 用户别名，别名成员可以是用户，用户组（前面要加%号）
Runas_Alias 用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许切换至的用户
Cmnd_Alias 定义命令别名
例如：
User_Alias AAA=tom,jack,rose （别名是AAA,成员有tom，jack，rose）
Host_Alias BBB=smtp,pop （别名是BBB，成员有smtp，pop）
Cmnd_Alias CCC=/bin/rpm,/usr/bin/yum （别名是CCC，成员有/bin/rpm,/usr/bin/yum）
（5）查看sudo操作记录
******需启用 Defaults logfile 配置
******默认日志文件：/var/log/sudo
[root@localhost ~]# visudo
。。。。。。
（启用日志配置以后，sudo操作过程才会被记录，在Defaults列前添加）
55 Defaults logfile = "/var/log/sudo"
.。。。。。
进入末行模式先用w！强制保存，然后保存退出
******这时候在boss用户中使用sudo
[boss@centos7-012 ~]$ sudo /usr/sbin/ifconfig
******返回root账户，查看日志
[root@centos7-012 ~]# tail /var/log/sudo （查看日志，发现多了一条使用记录）
Dec 30 22:50:14 : boss : TTY=pts/2 ; PWD=/home/boss ; USER=root ;
COMMAND=/usr/sbin/ifconfig
******查询授权的sudo操作 sudo -l
【初次使用sudo时需验证当前用户的密码】
[boss@centos7-012 ~]$ sudo -l （在boss用户上查看）
[sudo] boss 的密码：
匹配 %2$s 上 %1$s 的默认条目：
logfile=/var/log/sudo, !visiblepw, always_set_home,
match_group_by_gid, always_query_group_plugin, env_reset,
env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR
LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG
LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE
LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES",
env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER
LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS
_XKB_CHARSET XAUTHORITY",
secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin
用户 boss 可以在 centos7-012 上运行以下命令：
(root) /usr/sbin/ifconfig
【默认超时为5分钟，在此期间不再重复验证】