博文目錄
一、賬號安全控制
二、基本安全措施
三、用戶切換與提權(quán)
四、開關(guān)機安全控制
五、終端及登錄控制為達(dá)坂城等地區(qū)用戶提供了全套網(wǎng)頁設(shè)計制作服務(wù)，及達(dá)坂城網(wǎng)站建設(shè)行業(yè)解決方案。主營業(yè)務(wù)為成都做網(wǎng)站、網(wǎng)站設(shè)計、達(dá)坂城網(wǎng)站設(shè)計，以傳統(tǒng)方式定制建設(shè)網(wǎng)站，并提供域名空間備案等一條龍服務(wù)，秉承以專業(yè)、用心的態(tài)度為用戶提供真誠的服務(wù)。我們深信只要達(dá)到每一位用戶的要求，就會得到認(rèn)可，從而選擇與我們長期合作。這樣，我們也可以走得更遠(yuǎn)！
用戶賬號是計算機使用者的身份憑證或標(biāo)識，每個要訪問系統(tǒng)資源的人，必須憑借其用戶賬號才能進(jìn)入計算機。在Linux操作系統(tǒng)中提供了多種機制來確保用戶賬號的正當(dāng)、安全使用。
各種非登錄用戶賬號中，還有相當(dāng)一部分是很少用到的，如“games”等，這些用戶賬號可以視為冗余賬號，直接刪除即可，包括一些程序賬號，若卸載程序后，賬號沒能被刪除，則需要我們手動進(jìn)行刪除。
對于Linux服務(wù)器中長期不用的用戶賬號，若無法確定是否應(yīng)該刪除，可以暫時將其鎖定。示例如下：
重慶分公司
重慶分公司
[root@centos01 ~]# usermod -L zhangsan
[root@centos01 ~]# passwd -S zhangsan
zhangsan LK 2019-11-22 0 99999 7 -1 (密碼已被鎖定。)
[root@centos01 ~]# usermod -U zhangsan
[root@centos01 ~]# passwd -S zhangsan
zhangsan PS 2019-11-22 0 99999 7 -1 (密碼已設(shè)置，使用 SHA512 算法。)[root@centos01 ~]# passwd -l zhangsan
鎖定用戶 zhangsan 的密碼 。
passwd: 操作成功
[root@centos01 ~]# passwd -S zhangsan
zhangsan LK 2019-11-22 0 99999 7 -1 (密碼已被鎖定。)
[root@centos01 ~]# usermod -U zhangsan
[root@centos01 ~]# passwd -S zhangsan
zhangsan PS 2019-11-22 0 99999 7 -1 (密碼已設(shè)置，使用 SHA512 算法。)如果服務(wù)器中的用戶賬號已經(jīng)固定，不再進(jìn)行更改，還可以采取鎖定賬號配置文件的方法。使用chattr命令，分別結(jié)合“+i” “-i”選項來鎖定、解鎖文件，使用lsattr命令可以查看文件鎖定情況。示例如下：
[root@centos01 ~]# chattr +i /etc/passwd /etc/shadow
[root@centos01 ~]# lsattr /etc/passwd /etc/shadow
----i----------- /etc/passwd
----i----------- /etc/shadow
[root@centos01 ~]# chattr -i /etc/passwd /etc/shadow
[root@centos01 ~]# lsattr /etc/passwd /etc/shadow
---------------- /etc/passwd
---------------- /etc/shadow在賬號文件被鎖定的情況下，其內(nèi)容將不允許變更，因此無法添加、刪除賬號，也不能更改用戶的密碼、登錄Shell、宿主目錄等屬性信息。
為了降低密碼被第三方破解或被猜出的危險性，可以設(shè)置密碼有效期來限制密碼最大有效天數(shù)，對于密碼已過期的用戶，登錄時則必須重置密碼，否則將拒絕登錄。
[root@centos01 ~]# vim /etc/login.defs
........................
PASS_MAX_DAYS 10
[root@centos01 ~]# chage -d 5 zhangsan
[root@centos01 ~]# cat /etc/shadow
zhangsan:$6$cigVri.K$wME7C78i0uvZpCSBzpYdoKcuxX.QkiLw7/3bsEZz5/IZWm9jZtT6ExSzmiwa0eFqjGQuuSza8CX7TeITQQNYJ/:5:0:99999:7:::
[root@centos01 ~]# chage -d 0 zhangsan
更改用戶 zhangsan 的密碼 。
為 zhangsan 更改 STRESS 密碼。
（當(dāng)前）UNIX 密碼：
新的 密碼：
重新輸入新的 密碼：
passwd：所有的身份驗證令牌已經(jīng)成功更新。
[zhangsan@centos01 ~]$Shell環(huán)境的命令歷史機制為用戶提供了極大的便利，但另一方面也給用戶帶來了潛在的風(fēng)險。只要獲得用戶的命令歷史文件，該用戶的命令操作過程將會一覽無余，如果曾經(jīng)在命令行輸入明文的密碼，則無意之中服務(wù)器的安全壁壘又多了一個缺口。歷史命令的記錄條數(shù)由變量HISTSIZE控制，默認(rèn)為1000條。通過修改/etc/profile文件中的HISTSIZE變量值，可以影響系統(tǒng)中的所有用戶。示例如下：
[root@centos01 ~]# export HISTSIZE=5
[root@centos01 ~]# history
6 chage -d 0 zhangsan
7 export HISTSIZE=10
8 history
9 export HISTSIZE=5
10 history
[root@centos01 ~]# vim .bash_logout
# ~/.bash_logout
history -c
clear
[root@centos01 ~]# export TMOUT=500 需要注意的是，當(dāng)正在執(zhí)行程序代碼編譯、修改系統(tǒng)配置等時間較長的操作時，應(yīng)避免設(shè)置TMOUT變量。必要時可以執(zhí)行“unset TMOUT”命令取消TMOUT變量設(shè)置。
Linux系統(tǒng)為我們提供了su、sudo兩種命令。
- su命令：主要用來切換用戶；
- sudo命令：用來提升執(zhí)行權(quán)限；
su命令可以使用的選項如下：
-：單純使用-，如“su -”代表使用login-shell的變量文件讀取方式來登錄系統(tǒng)；若沒有指定用戶名，則代表切換為root的身份。
-l：與“-”類似，但后面需要加想要切換的使用者賬號，也是login-shell的方式。
-m：表示使用目前的環(huán)境設(shè)置，而不讀取新使用者的環(huán)境變量的配置文件。
- -c：僅進(jìn)行一次指令，所以-c后面需要加上指令，命令格式為：su - -c "head -n 3 /etc/shadow"，雙引號內(nèi)的就是要執(zhí)行的命令。
使用su命令，可以切換為指定的另一個用戶，從而具有該用戶的所有權(quán)限。當(dāng)然，切換時需要對目標(biāo)用戶的密碼進(jìn)行驗證（從root用戶切換為其他用戶時除外）。
默認(rèn)情況下，任何用戶都允許使用su命令，從而有機會反復(fù)嘗試其他用戶（如root）的登錄密碼，這樣帶來了安全風(fēng)險。為了加強su命令的使用控制，可以借助于pam_wheel認(rèn)證模塊，只允許極個別用戶使用su命令進(jìn)行切換。實現(xiàn)過程如下：將授權(quán)使用su命令的用戶添加到wheel組，修改/etc/pam.d/su認(rèn)證配置以啟用pam_wheel認(rèn)證。啟用pam_wheel認(rèn)證以后，未加入到wheel組內(nèi)的其他用戶將無法使用su命令，嘗試進(jìn)行切換時將提示“拒絕權(quán)限”，從而將切換用戶的權(quán)限控制在最小范圍內(nèi)。
示例如下：
[zhangsan@centos01 ~]$ su
密碼：
[root@centos01 zhangsan]# cd
[root@centos01 ~]#
[zhangsan@centos01 ~]$ su --login
密碼：
上一次登錄：六 11月 23 07:53:15 CST 2019pts/2 上
[root@centos01 ~]#
[root@centos01 ~]# su zhangsan
[zhangsan@centos01 root]$ cd
[zhangsan@centos01 ~]$
[root@centos01 ~]# gpasswd -a zhangsan wheel
正在將用戶“zhangsan”加入到“wheel”組中
[root@centos01 ~]# grep wheel /etc/group
wheel:x:10:test,radmin,zhangsan
[root@centos01 ~]# vim /etc/pam.d/su
#%PAM-1.0
auth sufficient pam_rootok.so
auth required pam_wheel.so use_uidi
[lisi@centos01 ~]#$su -root
密碼：
su:拒絕權(quán)限 使用su命令切換用戶的操作將會記錄到安全日志/var/log/secure文件中，可以根據(jù)需要進(jìn)行查看。
通過su命令可以非常方便地切換為另一個用戶，但前提條件是必須知道目標(biāo)用戶的登錄密碼。若要從普通用戶切換為root用戶，必須知道root用戶的密碼。對于生產(chǎn)環(huán)境中的Linux服務(wù)器，每多一個人知道特權(quán)密碼，其安全風(fēng)險也就增加一分。
sudo命令的控制只需在/etc/sudoers配置文件中添加授權(quán)即可，文件的默認(rèn)權(quán)限為440，需要使用專門的visudo工具進(jìn)行編輯。雖然也可以用vim進(jìn)行編輯，但保存時必須執(zhí)行“:wq!”命令來強制操作，否則系統(tǒng)將提示為只讀文件而拒絕保持。
配置文件/etc/sudoers中，授權(quán)記錄的基本配置格式如下所示：
user MACHINE=COMMANDS授權(quán)配置主要包括用戶、主機、命令三個部分，即授權(quán)哪些人在哪些主機上執(zhí)行哪些命令，各部分的具體含義如下：
- 用戶（user）：直接授權(quán)指定的用戶名，或采用“%組名”的形式（授權(quán)一個組的所有用戶）。
- 主機（MACHINE）：使用此配置文件的主機名稱。此部分主要是方便在多個主機間共有同一份sudoers文件，一般設(shè)為localhost或者時間的主機名即可。
- 命令（COMMANDS）：允許授權(quán)的用戶通過sudo方式執(zhí)行的特權(quán)命令，需填寫命令程序的完整路徑，多個命令之間以逗號“,”進(jìn)行分隔。
典型的sudo配置記錄中，每行對應(yīng)一個用戶或組的sudo授權(quán)配置。若要授權(quán)用戶zhangsan能夠執(zhí)行ifconfig命令來修改IP地址，而wheel組的用戶無需驗證密碼即可執(zhí)行任何命令。示例如下：
[root@centos01 ~]# vim /etc/sudoers
root ALL=(ALL) ALL
zhangsan localhost=/sbin/ifconfig
%wheel ALL=NOPASSWD:ALL
:wq!
[zhangsan@centos01 ~]$ sudo ifconfig ens32 192.168.100.20 255.255.255.0
[sudo] zhangsan 的密碼：當(dāng)使用相同授權(quán)的用戶較多，或者授權(quán)的命令較多時，可以采用集中定義的別名。用戶、主機、命令部分都可以定義為別名（必須為大寫），分別通過關(guān)鍵字User_Alias、Host_Alias、Cmnd_Alias來進(jìn)行設(shè)置。示例如下：
[root@centos01 ~]# vim /etc/sudoers
.........................
User_Alias OPERATORS=lisi,wangwu,zhaoliu
Host_Alias MAILSVRS=smtp,pop
Cmnd_Alias PKGTOOLS=/bin/rpm,/usr/bin/yum
OPERATORS MAILSVRS=PKGTOOLS sudo配置記錄的命令部分可以使用通配符 “ * ” 、取反符號“ ！”，當(dāng)需要授權(quán)某個目錄下的所有命令或取消其中個別命令時特別有用。。例如：授權(quán)用戶zhangsan可以執(zhí)行/sbin/目錄下除了ifconfig、route以外的其他命令，并且啟用日志記錄：
[root@centos01 ~]# vim /etc/sudoers
.........................
zhangsan localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route
Defaults logfile = "/var/log/sudo" sudo命令使用中注意事項：
1、第一次通過sudo命令執(zhí)行命令時，必須以用戶自己的密碼進(jìn)行驗證，此后再次執(zhí)行sudo命令，只要與前一次sudo操作的間隔時間不超過5分鐘，則不需重復(fù)驗證。
2、若想要查看用戶自己獲得哪些sudo授權(quán)，可以執(zhí)行“ sudo -l”，若是某個用戶的sudo權(quán)限列表中出現(xiàn)了(ALL) ALL字樣，則表示授權(quán)有誤，此時，該用戶擁有所有命令的執(zhí)行權(quán)限。若visudo命令編輯的授權(quán)列表沒有錯誤的話，就需要看看是否將該用戶添加到了wheel組中，并且啟用了pam_wheel認(rèn)證。
通常大部分服務(wù)器是通過遠(yuǎn)程登錄的方式來進(jìn)行管理的，而本地引導(dǎo)和終端登錄過程往往容易被忽視，從而留下安全隱患。特別是當(dāng)服務(wù)器所在的機房環(huán)境缺乏嚴(yán)格、安全的管控制度時，如何防止其他用戶的非授權(quán)介入就成為必須重視的問題。
1）將第一優(yōu)先引導(dǎo)設(shè)備（First Boot Device）設(shè)為當(dāng)前系統(tǒng)所在磁盤。
2）禁止從其他設(shè)備（如光盤、U盤、網(wǎng)絡(luò)等）引導(dǎo)系統(tǒng)，對應(yīng)的項為“Disabled”。
3）將BIOS的安全級別改為“setup”，并設(shè)置好管理密碼，以防止未授權(quán)的修改。
[root@centos01 ~]# systemctl mask ctrl-alt-del.target
[root@centos01 ~]# systemctl daemon-reload若要重新開啟ctrl-alt-del快捷鍵功能，示例如下：
[root@centos01 ~]# systemctl unmask ctrl-alt-del.target
Removed symlink /etc/systemd/system/ctrl-alt-del.target.
[root@centos01 ~]# systemctl daemon-reload 當(dāng)Linux系統(tǒng)在啟動時，到了下面這個界面，按“e”就可以進(jìn)入GRUB引導(dǎo)菜單，并且通過修改配置后，無須任何密碼就可以進(jìn)入系統(tǒng)環(huán)境中，這個漏洞顯然對服務(wù)器是一個極大的漏洞，那么可以執(zhí)行以下操作，為grub菜單設(shè)置一個密碼，只有提供正確的密碼才被允許修改引導(dǎo)參數(shù)：
[root@centos01 ~]# grub2-mkpasswd-pbkdf2
輸入口令：
Reenter password:
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.7CC8455D40E48C538EFD1A8541FD31AA47AE61F4F39BD9F6E54994208810EA376BFBB96C3DDC0890B9F5109F83D2C7DEDBEACFD82C50790663396800FB3A3D3B.ECEF6AB02079526822C2722ADC8E4427783F30C0CDA26BC930FA067F10C5D9A583DA5861D4546F2976FCEB037A3F3BEB0164C8748F1D40791656389DC72EC31B
[root@centos01 ~]# cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
[root@centos01 ~]# cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak
[root@centos01 ~]# vim /etc/grub.d/00_header
cat <
Generating grub configuration file ...
/etc/grub.d/00_header.bak: line 360: warning: here-document at line 359 delimited by end-of-file (wanted `EOF')
Found linux image: /boot/vmlinuz-3.10.0-693.el7.x86_64
Found initrd image: /boot/initramfs-3.10.0-693.el7.x86_64.img
Found linux image: /boot/vmlinuz-0-rescue-2b580d1a2e8348b8aa9f78be11137b41
Found initrd image: /boot/initramfs-0-rescue-2b580d1a2e8348b8aa9f78be11137b41.img
done 現(xiàn)在重啟服務(wù)器，進(jìn)入grub菜單時，按E鍵將無法修改引導(dǎo)參數(shù)，若要修改，還需輸入正確的grub用戶名及密碼：
在Linux系統(tǒng)中，login程序會讀取/etc/securetty文件，以決定允許root用戶從哪些終端（安全終端）登錄系統(tǒng)。若要禁止root用戶從指定的終端登錄，只需從該文件中刪除或者注釋掉對應(yīng)的行即可。例如，若要禁止root用戶從tty5、tty6登錄，可以修改/etc/securetty文件，將tty5、tty6行注釋掉：
[root@centos01 ~]# vim /etc/securetty
.........................
#tty5
#tty6當(dāng)服務(wù)器正在進(jìn)行備份或調(diào)試等維護工作時，可能不希望再有新用戶登錄系統(tǒng)的話，這時候，可以建立/etc/nologin文件即可，login程序會檢查/etc/nologin文件是否存在，如果存在，則拒絕普通用戶登錄系統(tǒng)（root用戶不受限制）。這個方法只建議在服務(wù)器維護期間臨時使用，當(dāng)手動刪除/etc/nologin文件或者重新啟動主機后，即可恢復(fù)正常，如下：
[root@centos01 ~]# touch /etc/nologin—————— 本文至此結(jié)束，感謝閱讀 ——————
