#! /bin/bash
#vesion 1.1 20190505
#author by (jxwpx)

公司主營業(yè)務(wù)：網(wǎng)站建設(shè)、網(wǎng)站制作、移動(dòng)網(wǎng)站開發(fā)等業(yè)務(wù)。幫助企業(yè)客戶真正實(shí)現(xiàn)互聯(lián)網(wǎng)宣傳，提高企業(yè)的競爭能力。創(chuàng)新互聯(lián)公司是一支青春激揚(yáng)、勤奮敬業(yè)、活力青春激揚(yáng)、勤奮敬業(yè)、活力澎湃、和諧高效的團(tuán)隊(duì)。公司秉承以“開放、自由、嚴(yán)謹(jǐn)、自律”為核心的企業(yè)文化，感謝他們對我們的高要求，感謝他們從不同領(lǐng)域給我們帶來的挑戰(zhàn)，讓我們激情的團(tuán)隊(duì)有機(jī)會(huì)用頭腦與智慧不斷的給客戶帶來驚喜。創(chuàng)新互聯(lián)公司推出靈石免費(fèi)做網(wǎng)站回饋大家。

ipadd=ifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_"
cat <

---

linux基線檢查腳本
Author(jxwpx)

---

linux基線配置規(guī)范設(shè)計(jì)
輸出結(jié)果"/tmp/${ipadd}_checkResult.txt"

---

EOF

echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt"

user_id=whoami
echo "當(dāng)前掃描用戶：${user_id}" >> "/tmp/${ipadd}_checkResult.txt"

scanner_time=date '+%Y-%m-%d %H:%M:%S'
echo "當(dāng)前掃描時(shí)間：${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt"

echo ""
echo "賬號(hào)策略檢查中..."
echo ""

#編號(hào)：GOOANN-Linux-02-01-01
#項(xiàng)目：帳號(hào)與口令-用戶口令設(shè)置
#合格：Y;不合格：N
#不合格地方

passmax=cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'
passmin=cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}'
passlen=cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'
passage=cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'

echo "GOOANN-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
if [ $passmax -le 90 -a $passmax -gt 0 ];then
echo "Y:口令生存周期為${passmax}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令生存周期為${passmax}天，不符合要求,建議設(shè)置不大于90天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passmin -ge 6 ];then
echo "Y:口令更改最小時(shí)間間隔為${passmin}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令更改最小時(shí)間間隔為${passmin}天，不符合要求，建議設(shè)置大于等于6天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passlen -ge 8 ];then
echo "Y:口令最小長度為${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令最小長度為${passlen},不符合要求，建議設(shè)置最小長度大于等于8" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passage -ge 30 -a $passage -lt $passmax ];then
echo "Y:口令過期警告時(shí)間天數(shù)為${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令過期警告時(shí)間天數(shù)為${passage},不符合要求，建議設(shè)置大于等于30并小于口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt"
fi

echo ""
echo "賬號(hào)是否會(huì)主動(dòng)注銷檢查中..."
echo ""
checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}')
if [ $? -eq 0 ];then
TMOUT=cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}'
if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then
echo "Y:賬號(hào)超時(shí)時(shí)間${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:賬號(hào)超時(shí)時(shí)間${TMOUT}秒,不符合要求，建議設(shè)置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:賬號(hào)超時(shí)不存在自動(dòng)注銷,不符合要求，建議設(shè)置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi

#編號(hào)：GOOANN-Linux-02-01-02
#項(xiàng)目：帳號(hào)與口令-root用戶遠(yuǎn)程登錄限制
#合格：Y;不合格：N
#不合格地方

echo ""
echo "檢查root用戶是否能遠(yuǎn)程登錄限制..."
echo ""

echo "GOOANN-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no")
if [ $? -eq 0 ];then
echo "Y:已經(jīng)設(shè)置遠(yuǎn)程root不能登陸，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:已經(jīng)設(shè)置遠(yuǎn)程root能登陸，不符合要求，建議/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-03
#項(xiàng)目：帳號(hào)與口令-檢查是否存在除root之外UID為0的用戶
#合格：Y;不合格：N
#不合格地方
#查找非root賬號(hào)UID為0的賬號(hào)
echo "GOOANN-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt"
UIDS=awk -F[:] 'NR!=1{print $3}' /etc/passwd
flag=0
for i in $UIDS
do
if [ $i = 0 ];then
echo "N:存在非root賬號(hào)的賬號(hào)UID為0，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
flag=1
fi
done
if [ $flag = 1 ];then
echo "Y:不存在非root賬號(hào)的賬號(hào)UID為0，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-04
#項(xiàng)目：帳號(hào)與口令-檢查telnet服務(wù)是否開啟
#合格：Y;不合格：N
#不合格地方
#檢查telnet是否開啟
echo "GOOANN-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt"
telnetd=cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}'
if [ "$telnetd"x = "yes"x ]; then
echo "N:檢測到telnet服務(wù)開啟，不符合要求，建議關(guān)閉telnet" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-05
#項(xiàng)目：帳號(hào)與口令-root用戶環(huán)境變量的安全性
#合格：Y;不合格：N
#不合格地方
#檢查目錄權(quán)限是否為777
echo "GOOANN-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt"
dirPri=$(find $(echo $PATH | tr ':' ' ') -type d ( -perm -0777 ) 2> /dev/null)
if [ -z "$dirPri" ]
then
echo "Y:目錄權(quán)限無777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:文件${dirPri}目錄權(quán)限為777的，不符合要求。" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-06
#項(xiàng)目：帳號(hào)與口令-遠(yuǎn)程連接的安全性配置
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt"
fileNetrc=find / -xdev -mount -name .netrc -print 2> /dev/null
if [ -z "${fileNetrc}" ];then
echo "Y:不存在.netrc文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.netrc文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
fileRhosts=find / -xdev -mount -name .rhosts -print 2> /dev/null
if [ -z "$fileRhosts" ];then
echo "Y:不存在.rhosts文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.rhosts文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-07
#項(xiàng)目：帳號(hào)與口令-用戶的umask安全配置
#合格：Y;不合格：N
#不合格地方
#檢查umask設(shè)置
echo "GOOANN-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt"
umask1=cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}'
umask2=cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}'
umask3=cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}'
flags=0
for i in $umask1
do
if [ $i != "027" ];then
echo "N:/etc/profile文件中所所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/profile文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask2
do
if [ $i != "027" ];then
echo "N:/etc/csh.cshrc文件中所所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/csh.cshrc文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask3
do
if [ $i != "027" ];then
echo "N:/etc/bashrc文件中所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/bashrc文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-08
#項(xiàng)目：帳號(hào)與口令-grub和lilo密碼是否設(shè)置檢查
#合格：Y;不合格：N
#不合格地方
#grub和lilo密碼是否設(shè)置檢查
echo "GOOANN-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt"
grubfile=$(cat /etc/grub.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已設(shè)置grub密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:沒有設(shè)置grub密碼，不符合要求,建議設(shè)置grub密碼" >> "/tmp/${ipadd}_checkResult.txt"
fi
lilo=$(cat /etc/lilo.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已設(shè)置lilo密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:沒有設(shè)置lilo密碼，不符合要求,建議設(shè)置lilo密碼" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-01
#項(xiàng)目：文件系統(tǒng)-重要目錄和文件的權(quán)限設(shè)置
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt"
echo ""
echo "檢查重要文件權(quán)限中..."
echo ""
file1=ls -l /etc/passwd | awk '{print $1}'
file2=ls -l /etc/shadow | awk '{print $1}'
file3=ls -l /etc/group | awk '{print $1}'
file4=ls -l /etc/securetty | awk '{print $1}'
file5=ls -l /etc/services | awk '{print $1}'
file6=ls -l /etc/xinetd.conf | awk '{print $1}'
file7=ls -l /etc/grub.conf | awk '{print $1}'
file8=ls -l /etc/lilo.conf | awk '{print $1}'
#檢測文件權(quán)限為400的文件
if [ $file2 = "-r--------" ];then
echo "Y:/etc/shadow文件權(quán)限為400，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/shadow文件權(quán)限不為400，不符合要求，建議設(shè)置權(quán)限為400" >> "/tmp/${ipadd}_checkResult.txt"
fi
#檢測文件權(quán)限為600的文件
if [ $file4 = "-rw-------" ];then
echo "Y:/etc/security文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/security文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file6 = "-rw-------" ];then
echo "Y:/etc/xinetd.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/xinetd.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file7 = "-rw-------" ];then
echo "Y:/etc/grub.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/grub.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ -f /etc/lilo.conf ];then
if [ $file8 = "-rw-------" ];then
echo "Y:/etc/lilo.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/lilo.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi

else
echo "N:/etc/lilo.conf文件夾不存在"
fi
#檢測文件權(quán)限為644的文件
if [ $file1 = "-rw-r--r--" ];then
echo "Y:/etc/passwd文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/passwd文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file5 = "-rw-r--r--" ];then
echo "Y:/etc/services文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/services文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file3 = "-rw-r--r--" ];then
echo "Y:/etc/group文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/group文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-02
#項(xiàng)目：文件系統(tǒng)-查找未授權(quán)的SUID/SGID文件
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt"
unauthorizedfile=find / \( -perm -04000 -o -perm -02000 \) -type f
echo "C:文件${unauthorizedfile}設(shè)置了SUID/SGID，請檢查是否授權(quán)" >> "/tmp/${ipadd}_checkResult.txt"
#編號(hào)：GOOANN-Linux-02-02-03
#項(xiàng)目：文件系統(tǒng)-檢查任何人都有寫權(quán)限的目錄
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteDre=$(find / -xdev -mount -type d ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteDre}" ];then
echo "Y:不存在任何人都有寫權(quán)限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteDre}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-04
#項(xiàng)目：文件系統(tǒng)-檢查任何人都有寫權(quán)限的文件
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteFile=$(find / -xdev -mount -type f ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteFile}" ];then
echo "Y:不存在任何人都有寫權(quán)限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteFile}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-05
#項(xiàng)目：文件系統(tǒng)-檢查異常隱含文件
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt"
hideFile=$(find / -xdev -mount ( -name ".." -o -name "..." ) 2> /dev/null)
if [ -z "${hideFile}" ];then
echo "Y:不存在隱藏文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${hideFile}是隱藏文件，建議審視" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-03-01-01
#項(xiàng)目：日志審計(jì)-syslog登錄事件記錄
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
recodeFile=$(cat /etc/syslog.conf)
if [ ! -z "${recodeFile}" ];then
logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.)
if [ ! -z "${logFile}" ];then
echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:不存在／etc/syslog.conf文件，建議對所有登錄事件都記錄" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-03-01-02
#項(xiàng)目：系統(tǒng)文件-檢查日志審核功能是否開啟
#合格：Y;不合格：N;檢查：C
echo "GOOANN-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
auditdStatus=$(service auditd status 2> /dev/null)
if [ $? = 0 ];then
echo "Y:系統(tǒng)日志審核功能已開啟，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $? = 3 ];then
echo "N:系統(tǒng)日志審核功能已關(guān)閉，不符合要求，建議service auditd start開啟" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-04-01-01
#項(xiàng)目：系統(tǒng)文件-系統(tǒng)core dump狀態(tài)
#合格：Y;不合格：N;檢查：C
echo "GOOANN-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core)
if [ $? -eq 0 ];then
soft=cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2}
for i in $soft
do
if [ "$i"x = "soft"x ];then
echo "Y: soft core 0 已經(jīng)設(shè)置" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ "$i"x = "hard"x ];then
echo "Y: hard core 0 已經(jīng)設(shè)置" >> "/tmp/${ipadd}_checkResult.txt"
fi
done
else
echo "N:沒有設(shè)置core，建議在/etc/security/limits.conf中添加 soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-04-01-02
#項(xiàng)目：系統(tǒng)文件-檢查磁盤動(dòng)態(tài)空間，是否大于等于80%
#合格：Y;不合格：N;檢查：C
#
echo "GOOANN-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}')
for i in $space
do
if [ $i -ge 80 ];then
echo "C:警告！磁盤存儲(chǔ)容量大于80%,建議擴(kuò)充磁盤容量或者刪除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt"
fi

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。

網(wǎng)站名稱：SECURITY-linux安全基線檢查腳本-創(chuàng)新互聯(lián)
標(biāo)題來源：http://weahome.cn/article/digpdi.html