示例:禁止“lisi”用户登录
解禁: usermod -s /bin/bash lisi
方法一 :usermod -L 用户名
解锁:usermod -U 用户名
userdel -r 用户名
锁定文件: chattr +i /etc/passwd /etc/shadow
示例:锁定修改密码文件,用户修改密码时会显示鉴定令牌操作错误
查看状态:lsattr /etc/passwd /etc/shadow
解锁文件:chattr -i /etc/passwd /etc/shadow
密码有效期位于用户账号文件的第6字段
方法一:chage -M 天数 用户
适用于已建立的用户
示例:修改用户“lisi”两次改密码之间相距的最大天数改为30,即将密码有效期设为30天
方法二:vim /etc/login.defs
给新建的用户修改密码有效期(也就是修改完成后再新建的用户密码有效期直接就是你设定的值,而不是最大天数的99999)
与账号密码有效期不同,用户账号到达失效期后,此用户账户将被系统作废
账号失效期位于用户账号文件的第8字段,默认值为空,表示账号永久可用
用法:chage -d 天数 用户
示例:将用户zhangsan最近一次密码设置时间设为0,输入命令后须重启系统
当zhangsan再次登录系统就需要重新设置密码(此次重设密码要求严格,必须满八位且不允许与之前密码相似)
一般系统默认记录命令的数量为1000条
修改方法:vim /etc/profile
输入:export HISTSIZE=数量
示例:这里我们设置为100条历史命令
保存退出后须重启
使用命令“ source /etc/profile 或者 . /etc/profile ”重新加载配置文件
在使用“history”查看一下:
方法:vim /etc/rc.local
/etc/rc.local自动启动脚本,但系统默认没有执行权限
所以还需赋权:chmod +x rc.local
方法:vim /etc/profile
export TMOUT=秒数
示例:闲置600秒后自动注销
命令“ source /etc/profile 或 . /etc/profile ”重新加载配置文件
默认可以使用 su 命令的普通用户可以尝试破解管理员的密码
删除箭头处的“ # ”号,启用pam_wheel认证模块
可以看到用户 lisi 仍有 su 管理员的权限,但不在 wheel 组的 zhaoliu 在 su 管理员时被 su 拒绝了权限
(使用“ exit ”命令可以回到管理员界面)
(一)第一列代表PAM认证模块类型
(二)第二列代表PAM控制标记
(三)第三列代表PAM模块
(四)第四列代表PAM模块的参数
控制标记的补充说明:
required:表示该行以及所涉及模块的成功是用户通过鉴别的[必要条件]。换句话说,只有当对应于应用程序的所有带required标记的模块全部成功后,该程序才能通过鉴别。同时,如果任何带required标记的模块出现了错误,PAM并不立刻将错误消息返回给应用程序,而是在所有此类型模块都调用完毕后才将错误消息返回调用他的程序。
反正说白了,就是必须将所有的此类型模块都执行一次,其中任何一个模块验证出错,验证都会继续进行,并在执行完成之后才返回错误信息。这样做的目的就是不让用户知道自己被哪个模块拒绝,通过一-种隐蔽的方式来保护系统服务。就像设置防火墙规则的时候将拒绝类的规则都设置为drop-样,以致于用户在访问网络不成功的时候无法准确判断到底是被拒绝还是目标网络不可达。
requisite:与required相仿,只有带此标记的模块返回成功后,用户才能通过鉴别。不同之处在于其一- 旦失败就不再执行堆中后面的其他模块,并且鉴别过程到此结束,同时也会立即返回错误信息。与上面的required相比,似乎要显得更光明正大一些。
sufficient:表示该行以及所涉及模块验证成功是用户通过鉴别的[充分条件]。也就是说只要标记为sufficient的模块一旦验控制标志也是一样。当标记为sufficient的模块失败时,sufficient模块 会当做optional对待。因此拥有sufficient标志位的配控制标志也是一样。当标记为sufficient的模块失败时,sufficient模块 会当做optional对待。因此拥有sufficient标志位的配置项在执行验证出错的时候并不会导致整个验证失败,但执行验证成功之时则大门敞开。所以该控制位的使用务必慎重。
optional:他表示即便该行所涉及的模块验证失败用户仍能通过认证。在PAM体系中,带有该标记的模块失败后将继续处理下一模块。也就是说即使本行指定的模块验证失败,也允许用户享受应用程序提供的服务。使用该标志,PAM框架会忽略这个模块产生的验证错误,继续顺序执行下一.个层叠模块。
以上两行是默认状态(即开启第一行,注释第二行),这种状态下是允许所有用户间使用su命令进行切换的。
两行都注释也是运行所有用户都能使用su命令,但root下使用su切换到其他普通用户需要输入密码;如果第一行不注释, 则root使用su切换普通用户就不需要输入密码(paml rootok. so模块的主要作用是使uid为0的用户,即root用户能够直接通过认证而不用输入密码。)
如果开启第二行,表示只有root用户和wheel组内的用户才可以使用su命令。
如果注释第一行,开启第二行,表示只有whee1组内的用户才能使用su命令,root用户也被禁用su命令。
如上图普通用户 lisi 想要修改虚拟网卡,结果失败。Linux系统里普通用户有很多操作都无权限执行,在工作环境中管理员又不可能把账号借给其他人使用,这时候就要用 sudo 来提权
方法一:visudo配置文件可以直接保存退出
方法二:vi /etc/sudoers此文件的默认权限为 440,保存退出时必须执行“:wq!”命令来强制操作
两种方法都可以提权,只不过第二种文件权限不够,需要强制保存退出
如图:给用户 lisi修改网卡和重启系统的权限(修改网卡用的是方法一,可以直接保存退出,重启是方法二,需要wq!强制保存退出)
示例:lisi用户已经可以修改虚拟网卡了,不过需要输入密码,且命令前须加上sodu
查一下,虚拟网卡已经加上了
同样的,我们试一下重启的命令。发现只有命令还是不能重启,必须加上sodu和输入密码(5分钟以内再次使用赋权命令无需密码)
语法格式:
用户 主机名=命令程序列表
用户 主机名=(用户) 命令程序列表
用户:直接授权指定的用户名,或采用“%组名”的形式(授权一个组的所有用户)。
主机名:使用此规则的主机名。没配置过主机名时可用localhost,有配过主机名则用实际的主机名,ALL则代表所有主机
(用户):用户能够以何种身份来执行命令。此项可省略,缺省时以root用户的身份来运行命令
命令程序列表:允许授权的用户通过sudo方式执行的特权命令,需填写命令程序的完整路径,多个命令之间以逗号“,”进行分隔。ALL则代表系统中的所有命令(特权)
示例:
用途:记录
visudo
按G跳到最后一行编辑:
Defaults logfile = /var/log/sudo
在系统开机进入GRUB 菜单时,按 e 可以查看并修改GRUB 引导参数,这是一个很大的安全隐患
可以为 GRUB 菜单设置一个密码,想要修改引导参数就须密码。
过程如下:
在 Linux 系统中,login 程序会读取/etc/securetty 文件,以决定允许 root 用户从哪些终端(安全终端)登录系统。
vi /etc/securetty
login 程序会检查/etc/nologin 文件是否存在,如果存在,则拒绝普通用户登录系统(root 用户不受限制)
创建/etc/nologin文件即禁止普通用户登录
touch /etc/nologin
删除该文件即取消登录限制
rm -rf /etc/nologin