linux 系统安全及应用

一、账号安全基本措施

1.系统账号清理

1.将用户设置为无法登录 /sbin/nologin

shell——/sbin/nologin却比较特殊，所谓“无法登陆”指的仅是这个用户无法使用bash或其他shell来登陆系统而已，并不是说这个账号就无法使用系统资源。举例来说，各个系统账号中，打印作业有lp这个账号管理，www服务器有apache这个账号管理，他们都可以进行系统程序的工作，但就是无法登陆主机而已。

2.锁定长期不使用的账号

账户锁定：passwd   -l   用户名  或   usermod  -L  用户名

账户解锁：passwd  -u   用户名  或   usermod  -U  用户名

3.删除无用的账户

账户删除：userdel  -r  (并删除家目录)

4.锁定配置文件    chattr

某些特定文件比较重要防止误删除添加锁定文件   

锁定配置文件即锁定配置文件passwd与shadow  

-i     不得任意更动文件或目录
-a     让文件或目录仅供附加用途。只能追加chattr +i /etc/passwd /etc/shadow           锁定配置文件
chattr -i /etc/passwd /etc/shadow           解锁配置文件
chattr +a /etc/passwd /etc/shadow           让文件或目录仅供附加用途,只能追加
lsattr /etc/passwd /etc/shadow              查看文件状态属性

5.清除历史记录

查看历史输入命令：history 

history记录存放文件：~/.bash_history

临时清空：history   -c

永久清空：echo " ">~/.bash_history

vim .bash_logout    退出后清除

vim .bashrc     自对自己生效    开机后清除

Shell 环境的命令历史机制为用户提供了极大的便利，但另一方面也给用户带来了潜在 的风险。只要获得用户的命令历史文件，该用户的命令操作过程将会一览无余，如果曾经在 命令行输入明文的密码，则无意之中服务器的安全壁垒又多了一个缺口。 Bash 终端环境中，历史命令的记录条数由变量 HISTSIZE 控制，默认为 1000 条。通 过修改/etc/profile 文件中的 HISTSIZE 变量值，可以影响系统中的所有用户。例如，可以设 置最多只记录 200 条历史命令。 减少历史命令条数。

2.密码安全控制

1.设置密码规则

  对于新建用户,可以修改 /etc/login.defs 文件里的内容来设置密码规则

小实验：

  2.已创建用户密码管理——chage

chage [选项] 用户名-m：密码可更改的最小天数。为零时代表任何时候都可以更改密码。
-M：密码保持有效的最大天数。
-w：用户密码到期前，提前收到警告信息的天数。
-E：帐号到期的日期。过了这天，此帐号将不可用。
-d：上一次更改的日期。
-i：停滞时期。如果一个密码已过期这些天，那么此帐号将不可用。
-l：例出当前的设置。由非特权用户来确定他们的密码或帐号何时过期。

强制用户下一次登录时一定修改密码，此时密码应该符合复杂性的要求  chage -d  0 用户

面试：设置随机密码，每7天改一次，对密码复杂性有要求，区分大小写

你做过哪些系统安全加固？

3.su 命令   切换用户身份

su命令 可以切换用户身份， 并且以指定用户的身份执行命令。

切换用户的方式：

su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，即不完全切换

su - UserName：登录式切换，会读取目标用户的配置文件，切换至自已的家目录，即完全切换

说明：root su至其他用户无须密码；非root用户切换时需要密码

注意：su 切换新用户后，使用 exit 退回至旧的用户身份，而不要再用 su 切换至旧用户，否则会生成很多的bash子进程，环境可能会混乱。

su 与 su-

即有 - 选项，切换用户身份更彻底；反之，只切换了一部分，这会导致某些命令运行出现问题或错误（例如无法使用 service 命令）。

su 不加-：不完全切换

su 加-：完全切换

限制使用su命令的用户?

二、PAM安全认证

PAM提供了对所有服务进行认证的中央机制，适用于本地登录，远程登录，如telnet,rlogin,fsh,ftp,点对点协议PPP，su等应用程序中，系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略；应用程序开发者通过在服务程序中使用PAM API(pam_xxxx( ))来实现对认证方法的调用；而PAM服务模块的开发者则利用PAM SPI来编写模块（主要调用函数pam_sm_xxxx( )供PAM接口库调用，将不同的认证机制加入到系统中；PAM接口库（libpam）则读取配置文件，将应用程序和相应的PAM服务模块联系起来。重复利用别人的开发的功能，不必自己开发，会话，密码验证等功能，已经做好了调用下就可以了未来通用性，所以有了pam框架，类似淘宝 一边普通买家，一边卖家，淘宝上既是买家也是卖家

/usr/lib64/security：存放功能模块

/etc/pam.d：配置文件

特定模块相关的设置文件：/etc/security/

专用配置文件/etc/pam.d/ 格式

PAM相关文件

  • 包名: pam

  • 模块文件目录：/lib64/security/*.so

  • 特定模块相关的设置文件：/etc/security/

  • man 8 加模块名 可以查看帮助

  • 应用程序调用PAM模块的配置文件

  1. 主配置文件：/etc/pam.conf，默认不存在，一般不使用主配置

  2. 为每种应用模块提供一个专用的配置文件：/etc/pam.d/APP_NAME

  3. 注意：如/etc/pam.d存在，/etc/pam.conf将失效

PAM工作原理

PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so

PAM认证首先要确定那一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib64/security下)进行安全认证

PAM认证过程示例：

1.使用者执行/usr/bin/passwd 程序，并输入密码
2.passwd开始调用PAM模块，PAM模块会搜寻passwd程序的PAM相关设置文件，这个设置文件一般是在/etc/pam.d/里边的与程序同名的文件，即PAM会搜寻/etc/pam.d/passwd此设置文件
3.经由/etc/pam.d/passwd设定文件的数据，取用PAM所提供的相关模块来进行验证
4.将验证结果回传给passwd这个程序，而passwd这个程序会根据PAM回传的结果决定下一个动作（重新输入密码或者通过验证）

type：指模块类型，即功能

control ：PAM库该如何处理与该服务相关的PAM模块的成功或失败情况，一个关健词实现

module-path： 用来指明本模块对应的程序文件的路径名

Arguments： 用来传递给该模块的参数

模块类型（module-type）

  • Auth 账号的认证和授权

  • Account 帐户的有效性，与账号管理相关的非认证类的功能，如：用来限制/允许用户对某个服务的访问时间，限制用户的位置(例如：root用户只能从控制台登录)

  • Password 用户修改密码时密码复杂度检查机制等功能

  • Session 用户会话期间的控制，如：最多打开的文件数，最多的进程数等

  • -type 表示因为缺失而不能加载的模块将不记录到系统日志,对于那些不总是安装在系统上的模块有用

type：模块类型，即功能

Auth：验证用户身份，按照身份给你相应权限

Account：验证账户是否有效

password：账户密码是否有效

session：管理会话，可以使用多少资源

Control: （ 控制位）

required：一票否决，如果失败，最后一定失败，但是会继续进行验证

requisite：一票否决，如果失败，会立即结束验证，反馈失败

sufficient：验证成功则立即返回结果（前两个有一个失败，则为失败）

optional 可选项

第三列代表PAM模块

默认是在/lib64/security/目录下，如果不在此默认路径下，要填写绝对路径。 同一个模块，可以出现在不同的模块类型中，它在不同的类型中所执行的操作都不相同，这是由于每个模块针对不同的模块类型编制了不同的执行函数。

limit  重要的pam模块   控制进程占用资源 ，控制进程打开的数量

作用：控制进程占用资源

在/etc/security   中的   limits.conf文件

作用：控制进程打开数量

功能：在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用内存空间

ulimit命令

ulimit是linux shell的内置命令，它具有一套参数集，用于对shell进程及其子进程进行资源限制。

ulimit的设定值是 per-process 的，也就是说，每个进程有自己的limits值。使用ulimit进行修改，立即生效。

ulimit只影响shell进程及其子进程，用户登出后失效。

可以在profile中加入ulimit的设置，变相的做到永久生效

-H 设置硬件资源限制.
-S 设置软件资源限制.
-a 显示当前所有的资源限制.
-c size:设置core文件的最大值.单位:blocks
-d size:设置数据段的最大值.单位:kbytes
-f size:设置创建文件的最大值.单位:blocks
-l size:设置在内存中锁定进程的最大值.单位:kbytes
-m size:设置可以使用的常驻内存的最大值.单位:kbytes
-n size:设置内核可以同时打开的文件描述符的最大值.单位:n
-p size:设置管道缓冲区的最大值.单位:kbytes
-s size:设置堆栈的最大值.单位:kbytes
-t size:设置CPU使用时间的最大上限.单位:seconds
-u size:最大用户进程数
-v size:设置虚拟内存的最大值.单位:kbytes
unlimited 是一个特殊值，用于表示不限制

limit 功能：在用户级别实现对其可使用的资源的限制，例如：可打开的文件数量，可运行的进程数量，可用内存空间

vim 打开/etc/security/limits.conf这个配置文件,这个文件的内容就是控制进程打开的数量和内存大小

查看下

limits 生产中的 建议设置

使用压力测试工具进行测试  打开的文件数
ab -c1025 -n 2000 http://192.168.246.7/
必须这样写， 包括url 后面的 斜杠/

压力测试：

先来进行一个压力测试  让它同时打开1025个文件  最多打开2000个进行测试

或者在配置文件里加上，表示所有用户最大打开文件数量为100000

要是之后修改的，（reboot ）重启会比较麻烦

这样就通过测试就知道可以同时打开的范围了，不过要注意的是，如果你要使用ab测试工具，使用ab工具的机器，也要调高最大值，比如A 去访问B，A要调整1024 ，B也要调整1024

[root@localhost pam.d]#ulimit -a
可以看到系统的相关 资源限制 设置#使用压力测试工具进行测试  打开的文件数
ab -c1025 -n 2000 http://192.168.91.100/
必须这样写， 包括url 后面的 斜杠/[root@localhost pam.d]#ulimit -n  10000
修改最大值  临时修改[root@localhost security]#vim /etc/security/limits.conf 
永久修改不用重启   软硬一起设置可以直接使用 -
zhangsan         -       nproc            5su  -   zhangsan
切换时  注意要完全切换

三、sudo---提权操作

su root---以管理员身份使用，会造成安全隐患

sudo的配置文件是 sudoers 文件；位置：/etc/sudoers，属性为0440

作用：管理用户的使用权限和使用的主机

1.sudo概念

概念：sudo即superuser do可翻译为以超级管理员身份做，是可以让普通用户在不知道root密码的情况下执行一些或全部的root命令工具。

优点：不需要指定超级管理员密码、可以指定那些组或那些账户可以执行那些特定的命令、提供了丰富的日志，详细记录了每个用户干了什么

2.使用sudo

配置sudo文件：/etc/sudoers直接编辑sudo文件更改完成后必须visudo  -c检查语法

官方推荐配置sudo：visudo 等价于修改sudo的配置文件，但是此命令会自动检查语法是否正确

[root@localhost ~]# visudo
## Allow root to run any commands anywhere
root    ALL=(ALL)       ALL## Allows people in group wheel to run all commands
%wheel  ALL=(ALL)       ALL

配置语法介绍(可使用通配符):

         root                                              ALL=(ALL)                                                       ALL

用户或组(组前需加%)  登入主机(可写网段)=以什么身份执行(可不写)   运行那些命令(命令的绝对

3.sudo特性

  • sudo能够授权指定用户在指定主机上运行某些命令。如果未授权用户尝试使用 sudo，会提示联系管理员

  • sudo提供了丰富的日志，详细地记录了每个用户干了什么。它能够将日志传到中心主机或者日志服务器

  • sudo使用时间戳文件来执行类似的“检票”系统。当用户调用sudo并且输入它的密码时，用户获得了一张存活期为5分钟的票

  • sudo的配置文件是sudoers文件，它允许系统管理员集中的管理用户的使用权限和使用的主机。它所存放的位置默认是在/etc/sudoers，属性必须为0440

  • sudo在Linux和类Unix系统中是一个非常重要的命令，它的主要作用是允许普通用户以系统管理员权限（通常是root权限）执行特定的命令或程序，而无需切换到root用户。通过使用sudo，系统管理员可以对不同用户授予执行特定管理任务的能力，同时保留了对系统安全性和日志记录的控制。

用户    登入主机=(代表用户)  命令
user    host   =(runas)   command
root     ALL    =(ALL)     ALL(绝对路径)  //root可以使用任何主机代表任何用户执行任何命令
%wheel   ALL    =(ALL)     ALLuser: 运行命令者的身份可以是用户也可以是组（组前应该加%）用户可以是用户名或者UID组可以是组名或者GID
host: 通过哪些主机 可以写IP地址或主机名 可以有多个主机
runas：以哪个用户的身份
command: 运行哪些命令command name  （命令）directory     （文件夹里的命令）sudoedit      （可以编辑sudoers这个文件，变相变成管理员）Cmnd_Alias    （命令别名）

再次执行这个命令的时候5分钟内就不需要输入密码了（默认为5分钟，可在/etc/sudoers自定义），使用sudo不需要再次输入密码

如果想要取消密码验证，需要加上N0PASSWD:

此时sudo将会询问该用户自己的密码（以确认终端机前的是该用户本人）

输入！取反作用，表示此命令不可执行

[root@localhost ~]#gpasswd -a lili wheel
正在将用户“lili”加入到“wheel”组中
wheel组表示管理员组是比较特殊的一个组，在wheel组中的成员可以使用任何命令

4.别名

sudo别名有四种类型：

  • User_Alias（用户）

  • Runas_Alias（代表用户）

  • Host_Alias（登录主机）

  • Cmnd_Alias（命令）

别名格式：必须大写字母，数字可以使用但是不能放在开头

上班一般不设置别名

面试题：我有20个项目，如何管理？

写在子配置文件里，不能写在配置文件里，要不不方便管理

常见端口号学习：

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/607720.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

苹果电脑交互式原型设计软件Axure RP 9 mac特色介绍

苹果电脑交互式原型设计软件Axure RP 9 mac特色介绍

Axure RP 9 for Mac是一款交互式原型设计软件，使用axure rp9以最佳的方式展示您的作品，优化现代浏览器并为现代工作流程设计。同时确保您的解决方案正确完整地构建。Axure RP 9 for Mac为您整理笔记，将其分配给UI元素，并合并屏幕注…
阅读更多...
YOLO物体检测-系列教程6：YOLOv5源码解析1

YOLO物体检测-系列教程6：YOLOv5源码解析1

计算机视觉 全教程 目录 物体检测 系列教程 总目录 1、基本概述 YOLOv5没有一篇对应的论文，是一个对v4更好的实现v5版本是一个在github更新的基于工程项目的实现基本上和v4没有差异，只不过在整个项目上做出了更好的实现效果主要基于github的文档介绍来…
阅读更多...
Visual Studio 2022 AI Code 支持

Visual Studio 2022 AI Code 支持

1.先在 Log In | Codeium Free AI Code Completion & Chat 上注册一个用户 在Visual Stuido 中扩展中搜索 codeium 并安装 安装完成后登录即可。 注意国内可能存在网络问题无法使用这时建议使用代理进行登录。 地址如下： Sign Up | Codeium Free AI Code Co…
阅读更多...
Linux下安装JET2

Linux下安装JET2

0. 说明： JET2是一个基于Joint Evolutionary Trees的利用序列和结构信息预测蛋白质界面的软件，详情见: http://www.lcqb.upmc.fr/JET2/JET2.html，http://www.lgm.upmc.fr/JET/JET.html 和 https://doi.org/10.1371/journal.pcbi.1004580 本…
阅读更多...
多模态推荐系统综述：三、多模态特征增强

多模态推荐系统综述：三、多模态特征增强

三、多模态特征增强 同一对象的不同模态表示具有独特且共同的语义信息。如果能够区分独特特征和共同特征，那么MRS的推荐性能和泛化能力可以得到显着提高。解耦表征学习（DRL）和对比学习（CL）被用来进行基于交互的特征增…
阅读更多...
第二证券：主力为什么要砸盘？

第二证券：主力为什么要砸盘？

砸盘就是在股票的某个阶段有许多卖出单，这些许多的卖出单不断的成交使股票价格出现快速下跌。一般是受到主力资金洗盘或者出货所影响形成的。 1、洗盘 个股通过长时间上涨之后，盘中的散户较多，主力为了洗掉盘中的散户，在低位吸筹…
阅读更多...
从私有Git仓库的搭建到命令的使用及部署再到分支管理

从私有Git仓库的搭建到命令的使用及部署再到分支管理

一、版本控制系统/版本控制器 1. 版本控制系统： git 分布式 —没有中心代码库，所有机器之间的地位同等（每台机器上都有相同的代码） svn 集中管理的 —有中心代码库，其他都是客户端 2.git与svn介绍 1.git属于分布…
阅读更多...
Mac版 Photoshop 2021---PS2021

Mac版 Photoshop 2021---PS2021

Adobe Photoshop 2021是一款强大的图像处理软件，它可以帮助用户进行各种图像编辑、修饰和合成工作。这款软件拥有先进的图像处理技术，支持多种图像格式，可以轻松实现各种复杂的图像处理任务。它还提供了丰富的滤镜和工具，使用户可…
阅读更多...
全网最全Stable Diffusion原理快速上手，模型结构、关键组件、训练预测方式！！！！

全网最全Stable Diffusion原理快速上手，模型结构、关键组件、训练预测方式！！！！

手把手教你入门绘图超强的AI绘画程序，用户只需要输入一段图片的文字描述，即可生成精美的绘画。给大家带来了全新保姆级教程资料包（文末可获取） 【AIGC】Stable Diffusion的建模思想、训练预测方式快速 在这篇博客中，…
阅读更多...
运动耳机怎么选？2024年运动耳机推荐，运动蓝牙耳机排行榜10强

运动耳机怎么选？2024年运动耳机推荐，运动蓝牙耳机排行榜10强

​在现代生活中，音乐和运动已经成为很多人生活不可分割的一部分。运动耳机在这样的背景下变得越来越受欢迎，它们不仅可以在运动时提供音乐的陪伴，还能增加运动时的乐趣和动力。但是，面对市面上众多不同类型的运动耳机，…
阅读更多...
哈希-力扣454.四数相加Ⅱ

哈希-力扣454.四数相加Ⅱ

题目 给你四个整数数组 nums1、nums2、nums3 和 nums4 &#xff0c;数组长度都是 n &#xff0c;请你计算有多少个元组 (i, j, k, l) 能满足&#xff1a; 0 < i, j, k, l < nnums1[i] nums2[j] nums3[k] nums4[l] 0 示例 1&#xff1a; 输入&#xff1a;nums1 [1…
阅读更多...
数据结构第十一弹---堆

数据结构第十一弹---堆

堆 1、堆的概念及结构2、堆的性质3、堆的调整算法3.1、向下调整算法3.2、向上调整算法 4、堆的实现4.1、头文件包含和结构定义4.2、初始化4.3、销毁4.4、插入数据4.5、删除数据 删除堆顶4.6、获取堆顶元素4.7、获取有效数据个数4.8、判断是否为空 5、代码汇总5.1、Heap.h5.2、H…
阅读更多...
好用的设备租赁管理软件有哪些？

好用的设备租赁管理软件有哪些？

“我们公司是做设备租赁的&#xff0c;想找一款适合设备租赁的库存管理软件&#xff0c;最好有库存管理&#xff0c;客户信息&#xff0c;设备外调管理&#xff0c;租赁天数管理&#xff0c;设备的借出与归还信息管理与查询。” 总结一下—— 库存管理客户信息管理设备租赁管…
阅读更多...
阿里云服务器 使用Certbot申请免费 HTTPS 证书及自动续期

阿里云服务器 使用Certbot申请免费 HTTPS 证书及自动续期

前言 Certbot是一款免费且开源的自动化安全证书管理工具&#xff0c;由电子前沿基金会&#xff08;EFF&#xff09;开发和维护&#xff0c;是在Linux、Apache和Nginx服务器上配置和管理SSL/TLS证书的一种机制。Certbot可以自动完成域名的认证并安装证书。 一、 安装软件 1.1…
阅读更多...
38.深入MySQL

38.深入MySQL

深入MySQL 索引 索引是关系型数据库中用来提升查询性能最为重要的手段。关系型数据库中的索引就像一本书的目录&#xff0c;我们可以想象一下&#xff0c;如果要从一本书中找出某个知识点&#xff0c;但是这本书没有目录&#xff0c;这将是意见多么可怕的事情&#xff01;我们…
阅读更多...
JVM如何执行synchronized修饰的方法

JVM如何执行synchronized修饰的方法

首先市面上关于synchronized的资料已经很多了&#xff0c;但是大家对于底层的原理实现可能没有什么概念&#xff0c;大多都是死记硬背&#xff0c;所以我想通过实战的方式给大家带来一些不一样的体验。具体体现在哪些方面呢&#xff1f; 更系统。市面上目前虽然资料众多&#x…
阅读更多...
WPF 入门教程DispatcherTimer计时器

WPF 入门教程DispatcherTimer计时器

https://www.zhihu.com/tardis/bd/art/430630047?source_id1001 在 WinForms 中&#xff0c;有一个名为 Timer 的控件&#xff0c;它可以在给定的时间间隔内重复执行一个操作。WPF 也有这种可能性&#xff0c;但我们有DispatcherTimer控件&#xff0c;而不是不可见的控件。它几…
阅读更多...
15-链表-环形链表 II

15-链表-环形链表 II

这是链表的第15题&#xff0c;力扣链接。 给定一个链表的头节点 head &#xff0c;返回链表开始入环的第一个节点。 如果链表无环&#xff0c;则返回 null。 如果链表中有某个节点&#xff0c;可以通过连续跟踪 next 指针再次到达&#xff0c;则链表中存在环。 为了表示给定链…
阅读更多...
中科驭数诚邀您参加第二届证券基金行业先进计算技术大会暨2024低时延技术创新实践论坛（上海站）

中科驭数诚邀您参加第二届证券基金行业先进计算技术大会暨2024低时延技术创新实践论坛（上海站）

低时延技术是证券基金期货领域业务系统的核心技术&#xff0c;是打造极速交易系统领先优势的关键&#xff0c;也是证券基金行业关注的前沿技术热点。 继去年圆满举办首届证券基金行业先进计算技术大会之后&#xff0c;在中国计算机学会集成电路设计专委、先进计算产业联盟、证…
阅读更多...
在macos上查看当前进程的栈信息

在macos上查看当前进程的栈信息

概述 在调试程序时&#xff0c;如cpu莫名的高或低&#xff0c;一个常用的方式就是打印当前进行的调用栈&#xff0c;然后确认各线程的执行函数是否有异常。 在linux系统中可以使用pstack命令&#xff0c;直接打印各线程的栈信息&#xff0c;可惜在macos上没有该命令。一种解决…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023