centos linux系统和php安全配置

centos linux系统安全配置、php安全配置一.centos 安全篇1,最小化安全系统,删除不必要的软件,关闭不必要的服务.# ntsysv以下仅列出需要启动的服务，未列出的服务一律推荐关闭,必要运行的服务再逐个打开. atdcrondirqbalancemicrocode_ctlnetworksshdsyslog2,删除finger程序,具体方法如下Finger是UNIX系统中用于查询用户情况的实用程序#rpm –e finger3,BOIS安全设置4,帐号安全设置修改/etc/login.def文件PASS_MAX_DAYS 120 设置密码过期日期◊设置密码最少更改日期◊PASS_MIN_DAYS 0PASS_MIN_LEN 10 设置密码最小长度◊PASS_W ARN_AGE 设置过期提前警告天数◊ 7确保/etc/shadow为root只读确保/etc/passwd为root读写linux中的umask 函数主要用于：在创建新文件或目录时屏蔽掉新文件或目录不应有的访问允许权限。

文件的访问允许权限共有9种，分别是：rwxrwxrwx它们分别代表：用户读用户写用户执行组读组写组执行其它读其它写其它执行屏蔽的规则如下：1. 不管屏蔽码是多少，·新创建的文件默认不具有可执行允可权限。

·新创建的目录默认具有可执行允可权限。

2. 屏蔽码的格式为八进制格式，共三个八进制数。

可设置如下002 或022 或.....3. 其中的每一个八进制数由三位表示，分别是读写执行4 2 1例如002 用二进制表示为：0 0 0 -- 0 0 0 -- 0 1 04 2 1 4 2 1 4 2 14. 产生的文件为umask 值求反后的允可权限，即对于文件：~002 = 664（新创建文件所应具有的访问权限）对于目录：~002 = 775（新创建目录所应具有的访问权限）定期用密码工具检测用户密码强度5, /etc/exports如果通过NFS把文件共享出来,那么一定要配置”/etc/exports”文件,使得访问限制尽可能的严格.这就是说,不要使用通配符,不允许对根目录有写权限,而且尽可能的只给读权限.在/etc/exports文件加入:/dir/to/export (ro,root_squash)/dir/to/export (ro,root_squash)建议最配置/etc/exports文件配置/etc/exports文件用户可以把需要共享的文件系统直接编辑到/etc/exports文件中，这样当NFS服务器重新启动时系统就会自动读取/etc/exports文件，从而告诉内核要输出的文件系统和相关的存取权限。

在下面的例子中显示了/etc/exports文件中几个条目项的内容，被挂载在/pub目录下的文件系统具有只读访问权限，所有的计算机在访问文件系统的时候不必经过安全检查。

编辑/etc/exports文件：# vi /etc/exports/usr/sys/src -maproot=daemon host2/usr/ports -ro -network 192.168.1.0从上面这个例子中可以看出exports文件的格式，首先是定义要共享的文件目录。

必须使用绝对路径，而不能使用符号链接。

然后设置对这个目录进行访问限制的参数，用于保证安全性。

在第1行设置中，将/usr/sys/src目录共享出去。

但限制客户机上的root用户等价于本机上的daemon用户，以避免客户机上的root用户拥有这个服务器上的root权限进行非法操作。

此后的host2参数是主机名，从而限制只有host2才能共享这个/usr/sys/src目录；第2行设置共享/usr/ports 目录，但限制为只允许读取，并且也只有网络上的192.168.1.0计算机才能访问这个共享目录。

（1）rw：可读写权限。

（2）ro：只读权限。

（3）no_root_squash：当登录NFS主机使用共享目录的使用者是root时，其权限将被转换成为匿名使用者，通常它的UID与GID都会变成nobody身份。

（4）root_squash；如果登录NFS主机使用共享目录的使用者是root，那么对于这个共享的目录来说，它具有root 的权限。

（5）all_squash：忽略登录NFS使用者的身份，其身份都会被转换为匿名使用者，通常即nobody。

（6）anonuid：通常为nobody，也可以自行设定这个UID的值，UID必须存在于/etc/passwd中。

（7）anongid：同anonuid，但是变为Group ID。

（8）sync：同步写入资料到内存与硬盘中。

（9）async：资料会先暂存于内存中，而非直接写入硬盘。

主机可以使用以下格式。

（1）单个机器：一个全限定域名（能够被服务器解析）、主机名（能够被服务器解析）或IP地址。

（2）使用通配符来指定的机器系列，使用 * 或？字符来指定一个字符串匹配。

IP地址中不使用通配符。

如果反向DNS查询失败，它们可能会碰巧有用。

在完整域名中指定通配符时，点（.）不包括在通配符中。

例如，*包括，但不包括.。

（3）IP网络：使用a.b.c.d/z，a.b.c.d是网络，z是子网掩码中的位数（如192.168.0.0/24）。

另一种可以接受的格式是a.b.c.d/netmask，a.b.c.d是网络，netmask是子网掩码（如192.168.70.8/255.255.255.0）。

6,inetd.conf或xinetd.conf如果是inetd.conf建议注释掉所有的r开头的程序,exec等7,TCP_Wrappers在/etc/hosts.allow中加入允许的服务,在/etc/hosts.deny里加入这么一行ALL:ALL8,/etc/aliases文件Aliases文件如果管理错误或管理粗心就会造成安全隐患.把定义”decode”这个别名的行从aliases文件中删除.编辑aliases,删除或注释下面这些行:#games: root#ingres: root3253#system: root#toor: root#uucp: root#manager: root#dumper: root#operator: root#decode: root运行/usr/bin/newaliases重新加载.9,防止sendmail被没有授权的用户滥用编辑sendmail.cf把PrivacyOptions=authwarnings改为PrivacyOptions=authwarnings,noexpn,novrfy10,不响应pingecho 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all11,使TCP SYN Cookie保护生效Echo 1 > /proc/sys/net/ipv4/tcp_syncookies12,删除不必要的用户和组用户删除的用户,如adm,lp,sync,shutdown,halt,news,uucp,operator,games,gopher等删除的组,如adm,lp,news,uucp,games,dip,pppusers,popusers,slipusers等可以设置不可更改位chattr +i /etc/passwdchattr +i /etc/shadowchattr +i /etc/groupchattr +i /etc/gshadow13,防止任何人都可以用su命令成为root编辑su文件(vi /etc/pam.d/su),加入如下两行auth sufficient /lib/security/pam_rootok.so debugauth required /lib/security/pam_wheel.so group=wheel把能su为root的用户加入wheel组usermod -G10 username14,使Control+Alt+Delete关机键无效编辑/etc/inittab文件,注释掉Ca:ctrlaltdel:/sbin/shutdown –t3 –r now运行/sbin/init q 使设置生效15,创建所有重要的日志文件的硬拷贝如果服务器比较重要,可以考虑把ssh,mail,引导信息等打印出来.在/etc/syslog.conf文件中加入一行.: Authpriv.*;mail.*;local7.*;auth.*; /dev/lp0执行/etc/rc.d/init.d/syslog restart或者把日志发送到其它服务器保存如authpriv.* /var/log/secure要把它发送到192.168.0.2,就可以这样修改authpriv.* @192.168.0.2 /var/log/secure16,改变/etc/rc.d/init.d目录下的脚本文件的访问许可chmod –R 700 /etc/rc.d/init.d/*注意:慎重修改此安全设置17,/etc/rc.d/rc.local把此文件中无关的信息全部注释,不让任何人看到任何有关主机的信息. 删除/etc下的issue和18,带S位的程序可以清除s位的程序包括但不限于:从来不用的程序;⌝⌝不希望非root用户运行的程序;偶尔用用,但是不介意先用su命令变为root后再运行.⌝find / -type f \( -perm 04000 –o –perm -02000 \) -print chmod a-s 程序名19,查看系统隐藏文件find / -name “.*” –print20,查找任何人都有写权限的文件和目录find / -type f \( -perm -2 -o perm -20 \) lsfind / -type f \( -perm -2 –o –perm -20 \) ls21,查找系统中没有主人的文件find / -nouser –o –nogroup22,vi /etc/ssh/sshd_config查找.rhosts文件find /home -name “.rhosts”如果有,请删除它.23,收回系统编译器的权限或删除如: chmod 700 /usr/bin/gcc24,用防火墙禁止(或丢弃) icmp 包iptables -A INPUT -p icmp -j DROP25,更改SSH端口，最好改为10000以上，别人扫描到端口的机率也会下降vi /etc/ssh/sshd_config将PORT改为1000以上端口同时，创建一个普通登录用户，并取消直接root登录useradd ‘username’passwd ‘username’在最后添加如下一句：7PermitRootLogin no ＃取消root直接远程登录26, chmod 600 /etc/xinetd.conf二.PHP 安全篇1、开启安全模式（做为商业应用的服务器不建议开启）#vi /usr/local/Zend/etc/php.ini (没装ZO时php.ini文件位置为：/etc/php.ini)safe_mode = On2、锁定PHP程序应用目录#vi /etc/httpd/conf.d/virtualhost.conf加入php_admin_value open_basedir /home/*** （***为站点目录）3、千万不要给不必要的目录给写权限，也就是777权限，根目录保持为711权限，如果不能运行PHP请改为7554、屏蔽PHP不安全的参数(webshell)#vi /usr/local/Zend/etc/php.ini (没装ZO时php.ini文件位置为：/etc/php.ini)disable_functions = system,exec,shell_exec,passthru,popen以下为我的服务器屏蔽参数：disable_functions = passthru,exec,shell_exec,system,set_time_limit,ini_alter,dl, pfsockopen,openlog,syslog,readlink,symlink,link,leak,fsockopen,popen,escapeshellcmd,error_logLinux 安全设置手册Linux安全设置手册(1) 2007-05-23 14:43 H2KILL 范生我要评论(0)摘要：本文讲述了如何通过基本的安全措施，使你的Linux系统变得可靠。