系统安全及应用
目录
- 一、账号安全控制
-
- 1、账号安全基本措施
- 2、切换用户与用户限制
- 3、使用sudo机制提权
- 4、linux中的PAM安全认证
- 二、系统引导和登录控制
-
- 1、开关安全控制
- 2、终端登录安全控制
- 三、弱口令检测
-
- 1、Joth the Ripper,简称为 JR
- 2、安装JR工具
- 3、检测弱口令账号
- 4、密码文件的暴力破解
- 四、端口扫描-NMAP
- 总结
一、账号安全控制
1、账号安全基本措施
▶系统账号清理
1、将非登录用户的shell设为/sbin/nologin
使用命令：
grep “/sbin/nologin$” /etc/passwd
usermod -s /sbin/nologin 用户名 #设置为非登录用户账号
usermod -s /bin/bash 用户名 #设置为登录用户账号
2、锁定长期不使用账号
●锁定：
usermod -L 用户名 #锁定用户账号方法一
passwd -l 用户名 #锁定用户账号方法二
（usermod的密码一个感叹号、passwd有两个感叹号）
●解锁：
usermod -U 用户名 #解锁用户账号方法一
passwd -u 用户名 #解锁用户账号方法二
（passwd -S 用户名 #查看）
（passwd -d 用户名 #清空用户的密码）
3、删除无用的账号
userdel -r 用户名
4、锁定账号文件passw、shadow
chattr +i /etc/passwd /etc/shadow #锁定账号文件passw、shadow
（-i为解锁）
lsattr /etc/passwd /etc/shadow #查看文件是否锁定
----i----------- /etc/passwd
----i----------- /etc/shadow
注：
①如果锁定passwd，没有锁定shadow，可以修改之前的用户密码。
②如果锁定shadow，没有锁定passwd，无法创建用户。
③两者只要有一个被锁定，就无法创建新用户。
▶密码安全控制
1、设置密码有效期
2、要求用户下次登录时修改密码
●chage
chage -M 天数 用户名 # 设置用户密码有效期
chage -E xxxx-xx-xx #设置过期日期
chage -d 0 用户名 #强制在下次登录时更改密码
●vim /etc/login.defs
PASS_MAX_DAYS 30 #修改密码有效期为30天，之后新建用户都是如此
PASS_MIN_LEN 18 #生产上我们密码最少要18位
▶命令历史限制
1、减少记录的命令条数
2、注销时自动清空命令历史
vim /etc/profile #修改历史缓存数为200
HISTSIZE=200
source /etc/profile #刷新
补充：
1、用户登录–>先加载~/.bash_profile --> 然后是bash_profile中的配置（首先是使~/.bashrc生效）。
2、用户登出–>直接运行.bash_logout运行logout配置文件。
方法一：可在普通用户中
vim ~/.bash_logout #登出时自动清除
history -c
clear
方法二：在root中
vim .bashrc
echo " " > ~/.bash_history
▶终端自动注销
闲置300秒后自动注销
vi /etc/profile
export TMOUT=300 #输入
2、切换用户与用户限制
▶切换用户
●用途及用法
用途：Substitute User，切换用户
格式
su -目标用户
●密码验证
①root→任意用户，不验证密码
②普通用户→其他用户，验证目标用户的密码
su - root # 带-选项表示将使用目标用户的登陆Shell环境
▶用户限制
①将允许使用su命令的用户加入wheel组
②启用pam_wheel认证模块
●su命令具有安全隐患：
su命令使得每个用户都具有反复尝试其他用户的登陆密码，若是root用户，则风险更大。
所以需要加强su命令的使用控制，可以借助PAM认证模块，仅允许极个别指定用户可使用su命令进行切换。
gpasswd -a zhangsan wheel #将用户“zhangsan”加入到whell组中
在/etc/pam.d/su文件里设置禁止用户使用su命令
vim /etc/pam.d/su
（pam是禁用su的命令）
▶查看su操作记录
安全日志文件：/var/log/secure
3、使用sudo机制提权
●sudo是一个授权命令
用途：以其他用户身份（如root）执行授权的命令
▶配置sudo授权
- visudo
- vi /etc/sudoers（此文件的默认权限为 440，保存退出时必须执行“:wq!”命令来强制操作）
▶语法格式
用户 主机名 = 命令程序列表
用户 主机名 = （用户）命令程序列表
用户： 直接授权指定的用户名，或采用 “ % ” 的形式（授权一个组的所有用户）
主机名： 使用此规则的主机名。没配置过主机名时可用localhost ，配置过主机名则使用实际的主机名，ALL 代表所有主机
（用户）：用户能够以何种身份来执行命令。此项可省略，缺省时以root用户的身份来运行命令
命令程序列表：允许授权的用户通过 sudo 方式执行的特权命令，需填写命令程序的完整路径，多个命令之间以逗号“，” 进行分隔（可以使用通配符 “ * ” 号任意值 和 “ ！” 号进行取反操作）。ALL则代表系统中的所有命令。
| sudo [参数选项] | 说明 |
|---|---|
| -l | 列出用户在主机上可用的和被禁止的命令，一般配置好/etc/sudoers以后，要用这个命令来查看和测试是不是配置正确的 |
| -v | 验证用户的时间戳，如果用户运行 sudo 后，输入用户的密码后，在短时间内可以不用输入口令来进行sudo 操作;用 -v 可以追踪最新的时间戳 |
| -u | 指定以某个用户执行特定操作 |
| -k | 删除时间戳，下一个 sudo 命令要求提供密码 |
例子1：
cl ALL=/ sbin/ ifconfig
xlm localhost=/sbin/*, ! /sbin/ reboot, ! /sbin/ poweroff
通配符*"表示所有、取反符号、!”表示排除
%wheel ALL=NOPASSWD:ALL
表示wheel组成员无需验证密码即可使用sudo执行任何命令
ddlm ALL= (root) NOPASSWD: /bin/kill, /usr/bin/killall
例子2：
配置/etc/sudoers文件，可以授权用户较多的时使用
Host_Alias MYHOST= localhost 主机名
User_Alias MYUSER = cl，zhangsan,lisi 需要授权的用户
Cmnd_Alias MYCMND = /sbin/*,/usr/bin/passwd 命令授权
MYUSER MYHOST = NOPASSWD : MYCMND 授权格式
启用sudo操作日志
visudo
Defaults logfile = "/var/ log/ sudo" #写入
进入用户sudo -l，可以查看授权命令，sudo位于/var/log/sudo。
4、linux中的PAM安全认证
▶su命令的安全隐患
●默认情况下，任何用户都允许使用su命令，有机会反复尝试其他用户(如root) 的登录密码，带来安全风险；
●为了加强su命令的使用控制，可借助于PAM认证模块,只允许极个别用户使用su命令进行切换。
▶PAM(Pluggable Authentication Modules)可插拔式认证模块
●是一种高效而且灵活便利的用户级别的认证方式；
●也是当前Linux服务器普遍使用的认证方式。
●PAM提供了对所有服务进行认证的中央机制，适用于login，远程登陆，su等应用
●系统管理员通过PAM配置文件来制定不同的应用程序的不同认证策略
注：
PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放在/lib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的。
▶PAM认证原理
1、PAM 认证一般遵循的顺序：Service（服务）→PAM（配置文件）→pam_*.so；（认证模块）
2、PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证模块(位于 /lib64/security/下)进行安全认证。
3、用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM 模块也是不同的。
如果想查看某个程序是否支持 PAM 认证，可以用ls命令进行查看/etc/pam.d/
PAM认证模块位于/lib64/security
以su为例子：
●PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用
●第一列代表PAM认证模块类型
①auth：对用户身份进行识别，如提示输入密码，判断是否为root。
②account：对账号各项属性进行检查，如是否允许登录系统，帐号是否已经过期，是否达到最大用户数等。
③password：使用用户信息来更新数据，如修改用户密码。
④session：定义登录前以及退出后所要进行的会话操作管理，如登录连接信息，用户数据的打开和关闭，挂载文件系统。
●第二列代表PAM控制标记
①required：表示需要返回一个成功值，如果返回失败，不会立刻将失败结果返回，而是继续进行同类型的下一验证，所有此类型的模块都执行完成后，再返回失败。
②requisite：与required类似，但如果此模块返回失败，则立刻返回失败并表示此类型失败。
③sufficient：如果此模块返回成功，则直接向程序返回成功，表示此类成功，如果失败，也不影响这类型的返回值。
④optional：不进行成功与否的返回，一般不用于验证，只是显示信息（通常用于 session 类型）。
⑤include：表示在验证过程中调用其他的PAM配置文件。比如很多应用通过完整调用/etc/pam.d/system-auth（主要负责用户登录系统的认证工作）来实现认证而不需要重新逐一去写配置项。
●第三列代表PAM模块，默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。
●第四列代表PAM模块的参数，这个需要根据所使用的模块来添加。
▶PAM安全认证流程
控制类型也称做Control Flags,用于PAM验证类型的返回结果
1、required验证失败时仍然继续，但返回Fail
2、requisite验证失败则立即结束整个验证过程，返回Fail
3、sufficient验证成功则立即返回，不再继续，否则忽略结果并继续
4、optional不用于验证，只显示信息
二、系统引导和登录控制
1、开关安全控制
① 调整BIOS引导设置
• 将第一引导设备设为当前系统所在硬盘
• 禁止从其他设备(光盘、U盘、网络)引导系统
• 将安全级别设为setup,并设置管理员密码
② GRUB限制
• 使用grub2-mkpasswd-pbkdf2生成密钥
• 修改/etc/grub.d/00_ header文件中， 添加密码记录
• 生成新的grub.cfg配置文件
●GRUB限制的实现
方法一：
1、使用grub2-mkpasswd-pbkdf2生成密钥并复制，然后备份两个配置文件。
PBKDF2 hash of your password is grub. pbkdf2…
#省略部分内容为经过加密生成的密码字符串
2、cp /boot/grub2/grub.cfg /boot/grub2/geub.cfg.bak
cp /etc/grub.d/00_header /etc/grub.d/00_header.bak
3、修改/etc/grub.d/00_ header #文件中， 添加密码记录，并存并退出
cat << EOF
set superusers=" root "
#设置用户名为root
password_ pbkdf2 root grub . pbkd2…
#设置密码，省略部分内容为经过加密生成的密码字符串
EOF
4、grub2-mkconfig -o /boot/grub2/grub.cfg #生成新的grub.cfg文件，然后重启系统
方法二：
直接设置grub2—setpassword 设置grub密码
2、终端登录安全控制
① 限制root只在安全终端登录
安全终端配置：/etc/securetty
② 禁止普通用户登录
• 建立/etc/nologin文件
• 删除nologin文件或重启后即恢复正常
▶禁止root用户登录
在Linux系统中，login 程序会读取/etc/securetty文件，以决定允许root 用户从哪些终端(安全终端)登录系统
vi /etc/ securetty
#tty6
▶禁止普通用户登录
login程序会检查/etc/nologin文件是否存在，如果存在，则拒绝普通用户登录系统(root 用户不受限制)
touch /etc/nologin #禁止普通用户登录
rm -rf /etc/ nologin #取消登录限制
三、弱口令检测
1、Joth the Ripper,简称为 JR
• 一款密码分析工具，支持字典式的暴力破解
• 通过对shadow文件的口令分析，可以检测密码强度
• 官方网站: http://www.openwall.com/john/
2、安装JR工具
• 安装方法
make clean 系统类型
• 主程序文件为john
3、检测弱口令账号
• 获得Linux/Unix服务器的shadow文件
• 执行john程序，将shadow文件作为参数
4、密码文件的暴力破解
• 准备好密码字典文件，默认为password.lst
• 执行john程序，结合- -wordlist=字典文件
例子：
1、把下载好的安装包用过rz命令下到目录opt下：
[root@localhost ~]#cd /opt
[root@localhost opt]#ls
john-1.8.0.tar.gz
2、解压
[root@localhost opt]#tar -zxvf john-1.8.0.tar.gz
3、安装软件编译工具
[root@localhost src]#yum install gcc gcc-c++ make -y
4、进行编译安装
[root@localhost src]#make clean linux-x86-64
5、准备待破解的密码文件
[root@localhost src]#cd … 切换至上级目录
[root@localhost src]#cp /etc/shadow /opt/shadow.txt 准备密码文件
6、执行暴力破解
[root@localhost src]#cd /opt/john-1.8.0/run/
[root@localhost run]#./john /opt/shadow.txt
7、查看已经破解出的密码
[root@localhost run]#./john --show /opt/shadow.txt
8、使用密码字典文件
john.pot
9、清空已破解出的账户列表，便重新分析
./john --wordlist=./passwd.lst /opt/shadow.txt
使用指定的字典文件进行破解
四、端口扫描-NMAP
●一款强大的网络扫描、安全检测工具
●官方网站: http://nmap.orgl
●CentOS 7.7光盘中安装包,nmap-6.40-7.el7.x86_64.rpm
rpm -qa|grep nmap # 查看nmap
yum install -y nmap #安装nmap
常用格式：
nmap [扫描类型] [选项] <扫描目标>
例子：
[root@ky19cl ~]# nmap -sT 192.168.159.50
[root@ky19cl ~]# nmap -sT 127.0.0.1
①控制位
SYN： 建立链接
ACK ：确认
FIN：结束断开
PSH： 传送 0 数据缓存 上层应用协议
RST ：重置
URG：紧急
② 常用的选项和扫描类型
-p: 指定扫描的端口
-n: 禁用反向DNS 解析(以加快扫描速度)
-sS:TCP的SYN扫描(半开扫描)，只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接;否则认为目标端口并未开放
-sT: TCP连接扫描，这是完整的TCP扫描方式(默认扫描类型)，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放
-sF: TCP的FIN扫描，开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对sYN数据包进行简单过滤，而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性
-sU: UDP扫描，探测目标主机提供哪些UDP服务，UDP扫描的速度会比较慢
-sP: ICMP 扫描，类似于ping 检测，快速判断目标主机是否存活，不做其他扫描
-P0: 跳过ping检测，这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法
ping通而放弃扫描
总结
1.账号基本安全措施
（ 系统账号清理、密码安全控制、命令历史清理、自动注销 ）
2.用户切换与提权
（ su 、sudo ）
3.开关机安全控制
（BIOS引导设置、禁止Ctrl+Alt+Del快捷键、GRUB菜单设置密码）
4.终端控制
5.John the Ripper
6.namp命令