Linux--系统安全及应用（账号安全控制+系统引导和登录控制+弱口令检测+端口检查）

前言

作为一种开放源代码的操作系统，Linux服务器以其安全，高效和稳定的显著优势得以广泛应用
可以从账号安全控制，系统引导和登录控制的角度控制Linux系统的安全优化
还可以使用基于Linux系统环境的弱口令检测，网络扫描等安全工具，查找隐患，及时采取有针对性的防护措施

一、账号安全控制

1.1账号安全基本措施

1.1.1系统账号清理

将非登录用户的Shell设为/sbin/nologin

在Linux系统中，除了用户手动创建的各种账号之外，还包括随系统或程序安装过程而产生的其他大量账号

除了root之外，其他大量账号只是用来维护系统运作，启动或保持服务进程，一般是不允许登录的，也称为非登录用户

常见的非登录用户包括bin，daemon，adm，lp，mail，nobody，apache，mysql，dbus，ftp，gdm，haldaemon等

为了确保系统安全，这些用户的登录shell通常是/sbin/nologin，表示禁止终端登录，应确保不被人为改动

• 锁定长期不使用的账号

对于长期不用的用户账号，若无法确定是否删除，可以暂时将其锁定，（passwd，usermod命令都可以用来锁定和解锁账号）

[root@localhost ~]# usermod -L tom1                                        ##锁定tom1用户密码
[root@localhost ~]# passwd -S tom1                                         ##查看tom1用户密码状态
tom1 LK 2020-06-22 0 99999 7 -1 (密码已被锁定。)
[root@localhost ~]# usermod -U tom1                                        ##解锁tom1用户密码

• 删除无用的账号

在非登录用户中，还有一部分是很少用到的，如news，uucp，games，gopher等，这些用户可视为冗余账号，可以直接删除
此外，还有一些随着应用程序安装的用户账号，若程序卸载以后未能自动删除，需要人为手动删除

• 锁定账号文件passwd，shadow

如果服务器中的用户账号已经固定，不在进行更改，还可以采取锁定账号配置文件的方法
使用chattr命令，分别结合“+i”“-i”选项来锁定，解锁文件，使用lsattr命令可以查看文件锁定情况

[root@localhost ~]# chattr +i /etc/passwd /etc/shadow                  ##锁定passwd/shadow文件
[root@localhost ~]# lsattr /etc/passwd /etc/shadow                     ##查看passwd/shadow文件是否锁定
----i----------- /etc/passwd
----i----------- /etc/shadow
[root@localhost ~]# useradd tom3                                       ##尝试添加tom3用户
useradd：无法打开 /etc/passwd                                           ##无法添加
[root@localhost ~]# chattr -i /etc/passwd /etc/shadow                  ##解锁passwd/shadow文件
[root@localhost ~]# useradd tom3                                       ##可以创建用户

1.1.2密码安全控制

• 设置密码有效期

在不安全的网络环境中，为了降低密码被猜出或者被暴力破解的风险，用户应养成定期修改密码的习惯，避免长期使用同一个密码
管理员可以在服务器端限制用户密码的最大有效天数
对于密码已经过期的用户，登录时将被要求重新设置密码，否则拒绝登录

对于未创建的用户，使用此命令修改配置文件

对于已创建的用户，用这条命令

[root@localhost ~]# chage -M 30 tom2

• 要求用户下次登录时修改密码
  在某些情况下会要求用户初次登录的时候必须更改密码

[root@localhost ~]# chage -d 0 tom1

重新登录后，必须更改密码（（重设的密码有密码复杂性要求，例如不可是连续的数字，连续的字母等））

1.1.3命令历史，自动注销

• 命令历史限制
  减少记录的命令条数：bash终端环境中，历史命令的记录条数由变量HISTSIZE控制，默认为1000条。通过修改/etc/profile文件中的HISTSIZE变量值，可以影响系统中 的所有用户

例如：设置最多只记录200条历史命令
[root@localhost ~]# vi /etc/profile
将其中的HISTSIZE=1000，修改为HISTSIZE=200
[root@localhost ~]# source /etc/profile           ##使用命令source /etc/profile或者换重启使之生效

注销时自动清空命令历史：修改用户宿主目录中的~/.bash_logout文件，添加清空历史命令的操作语句。即：当用户注销（退出已登录的bash环境）时，所记录的历史命令将自动清空

[root@localhost ~]# vi .bash_logout 
#~/.bash_logout
rm -rf .bash_history                               ##删除此文件
history -c                                         ##清除历史命令
clear

• 终端自动注销
  bash终端环境中，可以设置一个闲置超时时间，当超过指定时间没有任何输入时即自动注销终端，这样可以有效避免当管理员不在时其他人员对服务器的误操作风险。闲置时间有变量TMOUT来控制，默认单位为秒

[root@localhost ~]# vi /etc/profile                ##适用于新登录用户
export TMOUT=20                                    ##将闲置时间设为20S
[root@localhost ~]# source /etc/profile            ##使设置生效
[root@localhost ~]# export TMOUT=30                ##对当前用户生效

1.2用户切换与提权

• 大多数Linux服务器并不建议用户直接以root用户进行登录
  一方面可以大大减少因误操作而导致的破坏
  另一方面也降低了特权密码在不安全的网络中被泄露的风险
• su ，sudo 两种命令
  su命令主要用来切换用户
  sudo命令用来提升执行权限

1.2.1su 命令 -切换用户

• 使用su命令，可以切换为指定的另一个用户，从而具有该用户的所有权限
  切换时需要对目标用户的密码进行验证（从root用户切换为其他用户不需要）
  
• 限制使用su命令的用户

将允许使用su命令的用户加入wheel组

[root@localhost ~]# id tom1                                  ##查看tom1的用户信息
uid=1002(tom1) gid=1002(tom1) 组=1002(tom1)
[root@localhost ~]# gpasswd -a tom1 wheel                    ##将tom1加入wheel组
正在将用户“tom1”加入到“wheel”组中
[root@localhost ~]# id tom1
uid=1002(tom1) gid=1002(tom1) 组=1002(tom1),10(wheel)
[root@localhost ~]# vi /etc/pam.d/su                         ##编辑配置文件
...
auth            required        pam_wheel.so use_uid         ##将此行行首的#号删除
[root@localhost ~]# su - tom2                                ##切换到tom2用户，此未加入到wheel组中
上一次登录：一 6月 22 11:33:49 CST 2020tty3 上
[tom2@localhost ~]$ su - tom1                                ##无法使用su命令
密码：
su: 拒绝权限
[tom2@localhost ~]$ exit                                     ##退出
[root@localhost ~]# su - tom1                                ##切换到tom1用户
[tom1@localhost ~]$ su - root                                ##tom1可以使用su命令
密码：
上一次登录：一 6月 22 17:33:34 CST 2020pts/0 上

1.3Linux中的PAM安全认证

1.3.1su命令的安全隐患

默认情况下，任何用户都允许使用su命令,有机会反复尝试其他用户(如root) 的登录密码，带来安全风险

为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换

PAM(Pluggable Authentication Modules)可插拔式认证模块
●是一种高效而且灵活便利的用户级别的认证方式
●也是当前Linux服务器普遍使用的认证方式

1.3.2PAM认证原理

• 一般遵循的顺序
  Service (服务) - +PAM (配置文件) - >pam_ *.so
• 首先要确定哪一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib/security下)进行安全认证
• 用户访问服务器时，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证
• 不同的应用程序所对应的PAM模块是不同的

1.3.3PAM安全认证流程

• 控制类型也称做Control Flags,用于PAM验证类型的返回结果

1.required验证失败时仍然继续，但返回Fail
2. requisite验证失败则立即结束整个验证过程，返回Fail
3. sufficient验证成功则立即返回，不再继续，否则忽略结果并继续
4. optional不用于验证，只显示信息(通常用于session类型)

1.4使用sudo机制提升权限

1.4.1su命令的缺点

用过su命令可以非常方便的切换为另一个用户，但前提条件是必须知道目标用户的登录密码
对于生产环境中的Linux服务器，每多一个人知道特权密码，其安全风险也就增加一分

1.4.2sudo命令的用途及用法

sudo 是一种权限管理机制，管理员可以授权于一些普通用户去执行一些 root 执行的操作，而不需要知道 root 的密码
语法格式：sudo [参数]

1.4.3配置sudo授权

visudo 或者 vi /etc/sudoers ：sudo机制的配置文件为/etc/sudoers，文件的默认权限是440，需要使用专门的visudo工具进行编辑。若使用vi编辑，保存时必须执行“：w！”命令强制操作，否则系统将提示为只读文件而拒绝保存

[root@localhost ~]# visudo
...
## Same thing without a password
tom1 localhost=/sbin/ifconfig                                  ##tom1在本地主机拥有ifconfig权限
%wheel  ALL=(ALL)       NOPASSWD: ALL
[root@localhost ~]# su - tom2                                  ##我们先切换到tom2用户
[tom2@localhost ~]$ sudo ifconfig ens33 11.11.11.11            ##尝试更改IP地址
[sudo] tom2 的密码：                              
tom2 不在 sudoers 文件中。此事将被报告。                         ##无法修改IP地址
[tom2@localhost ~]$ exit                                       ##登出
[root@localhost ~]# su - tom1                                  ##切换到tom1用户
[tom1@localhost ~]$ sudo ifconfig ens33:2 11.11.11.11          ##修改网卡地址
[sudo] tom1 的密码：
[tom1@localhost ~]$ ifconfig                                   ##修改成功
...

[root@localhost ~]# visudo
tom1 localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route     ##tom1用户拥有/sbin下所有权限，除了/sbin/ifconfig和/sbin/route 
*：通配符号
！：取反符号
 %：代表组

二、系统引导和登录控制

2.1开关机安全控制

2.1.1调整BIOS引导设置

将第一引导设备设为当前系统所在硬盘
禁止从其他设备（光盘，U盘，网络）引导系统
将安全级别设为setup，并设置管理员密码

2.1.2GRUB限制

使用grub2-setpassword生成秘钥

[root@localhost ~]# grub2-setpassword                                   ##生成grub2菜单密码
Enter password: 
Confirm password: 
[root@localhost ~]# cat /boot/grub2/user.cfg                            ##查看密码是否添加
GRUB2_PASSWORD=grub.pbkdf2.sha512.10000.C3428AF0D7A62E00D540E2C8F9014F64CE6CDAD3632BD5B1D388AA09F6EE038B9494BD1E5B98AA7C7E97BC4936BDF34D8B08158E04009461BB4807BA13953D5D.DBAE85EFE16710D093B543E210F1636880957802C82141ECCB688E5D021B46DFA42778BDAF4E72C63BFC25427B78EE28BA92917A800B444556DA4D8968E1035E
[root@localhost ~]# reboot                                              ##重新启动

在grub引导界面按e进去，发现需要输入用户名密码

2.2终端登录安全控制

2.2.1限制root只在安全终端登录

[root@localhost ~]# vi /etc/securetty 

我们切换到2或3终端发现root用户无法登陆

2.2.2禁止普通用户登录

建立/etc/nologin文件
删除nologin文件重启后即恢复正常

[root@localhost ~]# touch /etc/nologin      ##创建此文件后其他用户已经无法登陆
[root@localhost ~]# rm -rf /etc/nologin     ##删除此文件即可取消限制

三、弱口令检测

3.1Joth the Ripper，简称为 JR

一款密码分析工具，支持字典式的暴力破解
通过对shadow文件的口令分析，可以检测密码强度

3.2通过john工具查看自己的密码

使用xftp将John软件放到opt目录，进行解压

[root@localhost opt]# tar zxvf john-1.8.0.tar.gz                   ##进行解压
[root@localhost opt]# cd john-1.8.0/                               ##进入解压后的目录
[root@localhost john-1.8.0]# cd src/                               ##进入src目录
[root@localhost src]# make clean linux-x86-64                      ##进行编译
[root@localhost src]# cd /opt/john-1.8.0
[root@localhost john-1.8.0]# cd run                                ##进入run目录
[root@localhost run]# cp /etc/shadow /root/shadow.txt              ##拷贝shadow文件到/root/shadow.txt    
[root@localhost run]# ./john /root/shadow.txt                      ##执行暴力破解
Loaded 3 password hashes with 3 different salts (crypt, generic crypt(3) [?/64])
Press 'q' or Ctrl-C to abort, almost any other key for status
123456           (root)                                            ##破解成功
123456           (tom2)
2g 0:00:01:42 17% 2/3 0.01947g/s 355.0p/s 356.9c/s 356.9C/s kevin2..rocky2
Use the "--show" option to display all of the cracked passwords reliably
Session aborted 

四、端口扫描

4.1NMAP

• 一款强大的网络扫描，安全检测工具
  可以探测局域网中那些主机在线，或者某台主机中开了那些端口
• NMAP的扫描语法
  nmap [扫描类型] [选项] <扫描目标…>

其中，扫描目标可以是主机名、IP地址或网络地址等，多个目标以空格分隔;常用的选项有“-p“"-n”，分别用来指定扫描的端口、禁用反向DNS解析(以加快扫描速度);扫描类型决定着检测的方式，也直接影响扫描的结果。

比较常用的几种扫描类型如下

• -sS，TCP SYN打描(半开扫描):只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放。
• -sT, TCP连接扫描:这是完整的TCP扫描方式，用来建立-一个 TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
• -sF， TCP FIN扫描:开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。
• -sU,UDP扫描:探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢。
• -sP， ICMP扫描:类似于ping检测，快速判断目标主机是否存活，不做其他扫描。
• -PO,跳过ping检测:这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法ping通而放弃扫描。

[root@localhost run]# nmap -sP 192.168.179.100-200                   ##查看此网段内有哪些主机在线
Starting Nmap 6.40 ( http://nmap.org ) at 2020-06-22 19:48 CST
Nmap scan report for 192.168.179.144
Host is up.
Nmap done: 101 IP addresses (1 host up) scanned in 4.12 seconds

[root@localhost run]# nmap -sT 192.168.179.144                       ##查看主机192.168.179.144开了哪些TCP端口
Starting Nmap 6.40 ( http://nmap.org ) at 2020-06-22 19:51 CST
Nmap scan report for 192.168.179.144
Host is up (0.0013s latency).
Not shown: 999 closed ports
PORT   STATE SERVICE
22/tcp open  ssh

Nmap done: 1 IP address (1 host up) scanned in 0.14 seconds