[root@localhost ~]# vi /etc/login.defs      ####修改密码配置文件，适用于新建用户
……
PASS_MAX_DAYS 30
[root@localhost ~]# chage -M 30 lisi
[root@localhost ~]# cat /etc/shadow | grep lis

[root@localhost ~]# chage -d 0 zhangsan     ####强制在下次登录时更改密码，文件中的第三个字段被修改为0
[root@localhost ~]# cat /etc/shadow | grep zhangsan shadow

账号安全基本措施

命令历史限制

• 减少记录的命令条数
• 登录时自动清空命令历史

[root@localhost ~]# vi /etc/profile 
export HISTSIZE=200                  ####将命令条数设置为200条
[root@localhost ~]# source /etc/profile
[root@localhost ~]# vi ~/.bashrc 
echo " " > ~/.bash_history           ####登陆时自动清空历史命令，> ~/.bash_history 效果相同

终端自动注销

[root@localhost ~]# vi /etc/profile
……
export TMOUT=600                     ####闲置600秒自动注销
[root@localhost ~]# source /etc/profile

使用su命令切换用户

用途及用法

• 用途: Substitute User,切换用户
• 格式：

su -目标用户

密码验证

• root →任意用户,不验证密码
• 普通用户 →其他用户,验证目标用户的密码

[jerry@localhost ~]$ su -root    ####带-选项表示将使用目标用户的登录Shell环境
口令：
[root@localhost ~]# whoami
root

限制使用su命令的用户

• 将允许使用su命令的用户加入wheel组
• 启用pam_wheel认证模块

[root@localhost ~]# gpasswd -a tsengyia wheel
tsengyia
####正在将用户"tsengyia"加入到"wheel"组中

 

 

Linux中的PAM安全认证

su命令的安全隐患

• 默认情况下,任何用户都允许使用su命令, 有机会反复尝试其他用户(如root)的登录密码,带来安全风险
• 为了加强su命令的使用控制,可借助于PAM认证模块,只允许极个别用户使用su命令进行切换

PAM(Pluggable Authentication Modules)可插拔式认证模块

• 是一种高效而且灵活便利的用户级别的认证方式
• 也是当前Linux服务器普遍使用的认证方式

 

PAM认证原理

Linux-PAM，是linux可插拔认证模块,是一套可定制、可动态加载的共享库，使本地系统管理员可以随意选择程序的认证方式。

PAM使用/etc/pam.d/下的配置文件，来管理对程序的认证方式。应用程序调用相应的PAM配置文件，从而调用本地的认证模块，模块放置在/lib64/security下，以加载动态库的形式进行认证。比如使用su命令时，系统会提示输入root用户的密码，这就是su命令通过调用PAM模块实现的。

PAM认证原理:

1.PAM认证一般遵循的顺序: Service (服务)--> PAM (配置文件)--> pam*.so

2.PAM认证首先要确定哪一项应用服务，然后加载相应的PAM的配置文件(位于7etc/pam.d下)，最后调用认证模块(位于/lib64/security/下)进行安全认证。

3.用户访问服务器的时候，服务器的某一个服务程序把用户的请求发送到PAM模块进行认证。不同的应用程序所对应的PAM模块也是不同的。

如果想查看某个程序是否支持PAM认证，可以用ls命令进行查看/etc/pam.d/

PAM的配置文件中的每一行都是一个独立的认证过程，它们按从上往下的顺序依次由PAM模块调用。

一般遵循的顺序

首先要确定哪一项服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证文件(位于/lib64/security下)进行安全认证

用户访问服务器时,服务器的某一个服务程序把用户的请求发送到PAM模块进行认证

不同的应用程序所对应的PAM模块是不同的

ls /etc/pam.d | grep su

PAM安全认证流程

控制类型也称做Control Flags,用于PAM验证类型的返回结果

1.required验证失败时仍然继续,但返回Fail

2.requisite验证失败则立即结束整个验证过程,返回Fail

3.sufficient验证成功则立即返回,不再继续,否则忽略结果并继续

4.optional不用于验证,只显示信息(通常用于session类型)

使用sudo机制提升权限

su命令的缺点

• 默认情况下,任何用户都允许使用su命令, 有机会反复尝试其他用户(如root)的登录密码,带来安全风险

sudo命令的用途及用法

• 用途：以其他用户身份(如root)执行授权的命令
• 用法：sudo 授权命令

 配置sudo授权

visudo 或者 vi /etc/sudoers

记录格式：用户    主机名=命令程序

vi /etc/sudoers (此文件的默认权限为440,保存退出时必须执行":wq!"命令来强制操作)

语法格式:

用户 主机名=命令程序列表

用户 主机名=(用户) 命令程序列表

• 用户: 直接授权指定的用户名,或采用"%组名"的形式(授权一个组的所有用户)。
• 主机名: 使用此规则的主机名。没配置过主机名时可用localhost,有配过主机名则用实际的主机名, ALL则代表所有主机
• (用户): 用户能够以何种身份来执行命令。此项可省略,缺省时以root用户的身份来运行命令
• 命令程序列表: 允许授权的用户通过sudo方式执行的特权命令,需填写命令程序的完整路径,多个命令之间以逗号","进行分隔。ALL则代表系统中的所有命令

 示例：

Tom ALL=/sbin/ifconfig

Jerry localhost=/sbin/*, !/sbin/reboot, !/sbin/poweroff     #通配符"*"表示所有、取反符号"!"表示排除

 

%wheel ALL=NOPASSWD: ALL                                     #表示wheel组成员无需验证密码即可使用sudo执行任何命令

Mike ALL=(root)NOPASSWD: /bin/kill, /usr/bin/killall

 

使用关键字User_Alias、Host_Alias、Cmnd_Alias来进行设置别名(别名必须为大写)

User_Alias USERS=Tom,Jerry,Mike

Host_Alias HOSTS=localhost,bogon

Cmnd_Alias CMNDS=/sbin/ifconfig, /usr/sbin/useradd, /usr/sbin/userdel

USERS HOSTS=CMNDS                                               #调用

 

查看sudo操作记录

需启用Defaults logfile配置

启用sudo操作日志

 

[root@localhost ~]# visudo
Defaults logfile = "/var/log/sudo“　

启用日志配置以后，sudo操作过程才会被记录

 sudo -l 查看用户权限

 

开关机安全控制

调整BIOS引导设置

• 将第一引导设备设为当前系统所在硬盘
• 禁止从其他设备(光盘、U盘、网络)引导系统
• 将安全级别设为setup,并设置管理员密码

GRUB限制

• 使用grub2-mkpasswd-pbkdf2生成密钥
• 修改/etc/grub.d/00-header文件中,添加密码记录
• 生成新的grub.cfg配置文件

限制更改GRUB引导参数

通常情况下在系统开机进入GRUB菜单时,按e键可以查看并修改GRUB引导参数,这对服务器是一个极大的威胁。

可以为GRUB菜单设置一个密码,只有提供正确的密码才被允许修改引导参数。

 

grub2-mkpasswd-pbkdf2                  #根据提示设置GRUB菜单的密码

PBKDF2 hash of your password is grub.pbkdf2...                 #省略部分内容为经过加密生成的密码字符串

 

cp /boot/grub2/grub.cfg /boot/grub2/grub.cfg.bak

cp /etc/grub.d/00_header /etc/grub.d/00_header.bak

 

vim /etc/grub.d/00_header

cat << EOF

set superusers="root" #设置用户名为root

password_pbkdf2 root grub.pbkdf2... #设置密码,省略部分内容为经过加密生成的密码字符串

EOF

 

grub2-mkconfig -o /boot/grub2/grub.cfg #生成新的grub.cfg文件

 

重启系统进入GRUB菜单时,按e键将需要输入账号密码才能修改引导参数。

 

终端登录安全控制

在Linux系统中, login程序会读取/etc/securetty文件,以决定允许root用户从哪些终端(安全终端)登录系统。

限制root只在安全终端登录

• 安全终端配置: /etc/securetty

[root@localhost ~]# vi /etc/securetty
……
#tty5
#tty6

禁止普通用户登录

• 建立/etc/nologin文件
• 删除nologin文件或重启后即恢复正常

[root@localhost ~]# touch /etc/nologin   ###禁止普通用户登录
[root@localhost ~]# rm -f /etc/nologin   ###取消上述登录限制

 

系统弱口令检测

John the Ripper,简称为JR

• 一款密码分析工具,支持字典式的暴力破解
• 通过对shadow文件的口令分析,可以检测密码强度
• 官方网站: http://www.openwall.com/john/

#解压工具包

cd /opt
tar zxf john-1.8.0.tar.gz　

#安装软件编译工具

yum install -y gcc gcc-c++ make　

#切换到src子目录

cd /opt/john-1.8.0/src

#进行编译安装

make clean linux-x86-64

#准备待破解的密码文件

cp /etc/shadow /opt/shadow.txt　

#执行暴力破解

cd /opt/john-1.8.0/run
./john /opt/shadow.txt

#查看已破解出的账户列表

./john --show /opt/shadow. txt

#使用密码字典文件

> john.pot #清空已破解出的账户列表,以便重新分析
./john --wordlist=./password.lst /opt/shadow.txt #使用指定的字典文件进行破解

　　

网络端口扫描

NMAP是一个强大的端口扫描类安全评测工具,支持ping扫描、多端口检测等多种技术。

#安装NMAP软件包

rpm -ga I grep nmap
yum install -y nmap

　　

nmap命令常用的选项和扫描类型

-p:   指定扫描的端口。

-n:   禁用反向DNS解析(以加快扫描速度)。

-ss:  TCP的SYN扫描(半开扫描) ,只向目标发出SYN数据包,如果收到SYN/ACK响应包就认为目标端口正在监听,并立即断开连接;否则认为目标端口并未开放。

-ST:  TCP连接扫描,这是完整的TCP扫描方式(默认扫描类型) ,用来建立一个TCP连接,如果成功则认为目标端口正在监听服务,否则认为目标端口并未开放。

-SF:  TCP的FIN扫描,开放的端口会忽略这种数据包,关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤,而忽略了其他形式的TCP攻击包。这种类型的扫描可间接检测防火墙的健壮性。

-sU:   UDP扫描,探测目标主机提供哪些UDP服务, UDP扫描的速度会比较慢。

-sP:   ICMP扫描,类似于ping检测,快速判断目标主机是否存活,不做其他扫描。

-PO:  跳过ping检测,这种方式认为所有的目标主机是存活的,当对方不响应ICMP请求时,使用这种方式可以避免因无法ping通而放弃扫描。

 

 netstat命令

netstat命令常用选项:

-a: 显示主机中所有活动的网络连接信息(包括监听、非监听状态的服务端口)

-n: 以数字的形式显示相关的主机地址、端口等信息。

-t: 查看TCP相关的信息。

-u: 显示UDP协议相关的信息。

-p: 显示与网络连接相关联的进程号、进程名称信息(该选项需要root权限)

-r: 显示路由表信息。

-l: 显示处于监听状态的网络连接及端口信息。

 

netstat -natp  查看正在运行的使用TCP协议的网络状态信息

 

 netstat -naup  查看正在运行的使用UDP协议的网络状态信息

 

其他示例:

#分别查看本机开放的TCP端口、UDP端口

nmap -sT 127.0.0.1

nmap -sU 127.0.0.1

#检测192.168.80.0/24网段有哪些主机提供HTTP服务

nmap -p 80 192.168.80.0/24

#检测192.168.80.0/24网段有哪些存活主机

nmap -n -sP 192.168.80.0/24

 

 

总结

账号基本安全措施

• 系统账号清理、密码安全控制、命令历史清理、自动注销

用户切换与提权

• su, sudo

开关机安全控制

• BIOS引导设置、GRUB菜单设置密码

终端控制

John the Ripper工具

пamp命令