linux系统安全设置(R)

强化Linux系统安全设置（1）1、禁止在后台使用CTRL-ALT-DELETE重起机器#vi /etc/inittab在文件找到下面一行：# Trap CTRL-ALT-DELETEca::ctrlaltdel:/sbin/shutdown -t3 -r now注释掉这一行，如：# Trap CTRL-ALT-DELETE#ca::ctrlaltdel:/sbin/shutdown -t3 -r now使用下面的命令使改变生效：# /sbin/init q2、屏蔽主机的ping 命令，是被别人无法ping你的机器执行以下命令：echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all若想恢复就用：echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all3、系统默认口令长度安装完L i n u x系统之后默认的最小口令长度为5。

这就是说如果一个新的用户可以访问服务器，那么他的口令必须多于5字符#vi /etc/login.defs找到PASS_MIN_LEN 5 这一行，改为：PASS_MIN_LEN 84、所有的服务、访问位置，如果没有被明确地允许，也就是在“/etc/hosts.allow”中找不到匹配的项，就是被禁止的。

修改以下文件：/etc/host.allow /etc/host.deny#vi /etc/host.denyAccess is denied by default.# Deny access to everyone.ALL:ALL@ALL,PARANOID注意加上“PARANOID”参数之后，如果要在服务器上使用telnet或ftp服务，就要在服务器的“/etc/hosts”文件中加入允许使用telnet和ftp服务的客户端计算机的名字和IP地址。

否则，在显示登录提示之前，因为DNS的域名解析，可能要等上几分钟时间。

第二步：编辑hosts.allow文件（vi /etc/hosts.allow）。

例如，可以加入下面这些行（被授权访问的计算机要明确地列出来）：sshd: 208.164.186.1 被授权访问的计算机的I P地址是：208.164.186.1，主机名是：，允许使用的服务是：sshd。

5、编辑aliases编辑aliases文件（vi /etc/aliases），删除或注释掉下面这些行：# Basic system aliases -- these MUST be present.MAILER-DAEMON: postmasterpostmaster: root# General redirections for pseudo accounts.bin: rootdaemon: root#games: root ←remove or comment out.#ingres: root ←remove or comment out.nobody: root#system: root ←remove or comment out.#toor: root ←remove or comment out.#uucp: root ←remove or comment out.# Well-known aliases.#manager: root ←remove or comment out.#dumper: root ←remove or comment out.#operator: root ←remove or comment out.# trap decode to catch security attacks#decode: root# Person who should get root's mail#root: marc运行“#/usr/bin/newaliases”，使改变生效6、特殊账号禁止操作系统中不必要的预置账号（每次升级或安装完都要检查一下）。

L i n u x系统中提供了这样一些可能不需要的预置账号。

如果确实不需要这些账号，就把它们删掉。

系统中账号越多，就越容易受到攻击。

1) 用下面的命令删除一些不必要的用户：[root@Aid]# userdel adm[root@Aid]# userdel lp[root@Aid]# userdel sync[root@Aid]# userdel shutdown[root@Aid]# userdel halt[root@Aid]# userdel news[root@Aid]# userdel uucp[root@Aid]# userdel operator[root@Aid]# userdel games （如果没安装X Window服务器,可以删除这个用户）[root@Aid]# userdel gopher[root@Aid]# userdel ftp （如果没安装匿名ftp服务器，可以删除这个用户）2) 输入下面的命令删除一些不必要的组：[root@Aid]# groupdel adm[root@Aid]# groupdel lp[root@Aid]# groupdel news[root@Aid]# groupdel uucp[root@Aid]# groupdel games (如果不用X windows服务器，可以删除这个组成)[root@Aid]# groupdel dip[root@Aid]# groupdel pppusers[root@Aid]# groupdel popusers (如果不用用于email的POP服务器，可以删除这个组) [root@Aid]# groupdel slipusers3) “不可改变”位可以用来保护文件，使其不被意外地删除或重写，也可以防止有些人创建这个文件的符号连接。

删除“/etc/passwd”、“/etc/shadow”、“/etc/group”或“/etc/gshadow”都是黑客的攻击方法。

可以用下面的命令给口令文件和组文件设置不可改变位[root@Aid]# chattr +i /etc/passwd[root@Aid]# chattr +i /etc/shadow[root@Aid]# chattr +i /etc/group[root@Aid]# chattr +i /etc/gshadow7、用户试图输入的口令数量为了方便重复输入很长的命令，bash shell可以在“~/.bash_history”文件（“~/”是主目录，每个用户都是不一样的）中存500个曾经输入过的命令。

每一个有自己账号的用户，在自己的主目录中，都会有“.bash_history”文件。

可能会有这种情况，用户在不该输入口令的地方输入了口令，而输入的口令会在“.bash_history”文件中保存下来，而且“.bash_history”文件越大，这种可能性也越大。

在“/etc/profile”文件中，HISTFILESIZE和HISTSIZE两行决定了系统中所有用户的“.bash_history”文件可以保存多少命令。

建议把“/etc/profile”文件中的HISTFILESIZE 和HISTSIZE设成一个比较小的值，如：20。

编辑profile文件（vi /etc/profile），把这些行改成：HISTFILESIZE=20HISTSIZE=20这样每个用户主目录下的“. b a s h _ h i s t o r y”就最多只能存2 0个命令。

如果黑客试图在用户的“~/ . b a s h _ h i s t o r y”文件中发现一些口令，他就没有什么机会了。

8 、/etc/grub.conf要让文件不可改变，使用下面的命令：[root@Aid]# chattr +i /etc/grub.conf这样可以避免grub.conf文件因为意外或其他原因而改变。

如果想要改变grub.conf文件，必须先清除它的不可改变标志。

要清除不可改变标记，使用下面的命令：[root@Aid]# chattr -i /etc/grub.conf限制本地单用户状态无密码登陆：vi /etc/grub.conf ##在timeout后添加一行password=1234567 ##密码使生效：敲grub回车等待一会再敲quit9、/etc/rc.d/init.d/目录下的脚本文件的访问许可改变启动和停止d a e m o n的脚本文件的权限。

[root@Aid]# chmod -R 700 /etc/rc.d/init.d/*这样只有root可以读、写和执行这个目录下的脚本。

一般用户没有必要知道脚本文件的内容。

注意：如果安装或升级了一个程序，要用到“/etc/rc.d/init.d/”中system V脚本，不要忘记再检查一下改变和检查这个脚本文件的许可。

10、删除“/etc”目录下的和issue文件：[root@Aid]# rm -f /etc/issue[root@Aid]# rm -f /etc/注意“/etc/”文件是用户从网络登录计算机时（例如：telnet、SSH）看到的登录提示。

同样在/etc目录下还有一个“issue”文件，是用户从本地登录时看到的提示。

这两个文件都是文本文件，可以根据需要改变。

如果想删掉这两个文件，必须向上面介绍的那样把“/etc/rc.d/rc.local”脚本中的那些行注释掉，否则每次重新启动的时候，系统又会重新创建这两个文件。

11、带s位的程序用ls -l命令列出来的文件，如果文件的权限位中出现“s”，则这些文件的SUID （-rwsr-xr-x）或SGID（-r-xr-sr-x）位被设定了。

因为这些程序给执行它的用户一些特权，所以如果不需要这些特权，最好把这些程序的“s”位移去。

可以使用命令“chmod a-s <文件名>”移去相应文件的“s”位。

可以清除“s”位的程序为：•从来不用的程序•不希望非root用户运行的程序•偶尔使用，但是不介意先用su命令变为root后再运行的程序。

下面加了星号*）的程序，一般认为有必要移去“s”位。

注意，系统可能需要一些SUID 的程序才能正常运行，所以要千万小心。

用下面的命令查找所有带“s”位的程序：[root@Aid]# find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls -lg {} \;*-rwsr-xr-x 1 root root 35168 Sep 22 23:35 /usr/bin/chage*-rwsr-xr-x 1 root root 36756 Sep 22 23:35 /usr/bin/gpasswd*-r-xr-sr-x 1 root tty 6788 Sep 6 18:17 /usr/bin/wall-rwsr-xr-x 1 root root 33152 Aug 16 16:35 /usr/bin/at-rwxr-sr-x 1 root man 34656 Sep 13 20:26 /usr/bin/man-r-s--x--x 1 root root 22312 Sep 25 11:52 /usr/bin/passwd-rws--x--x 2 root root 518140 Aug 30 23:12 /usr/bin/suidperl-rws--x--x 2 root root 518140 Aug 30 23:12 /usr/bin/sperl5.00503-rwxr-sr-x 1 root slocate 24744 Sep 20 10:29 /usr/bin/slocate*-rws--x--x 1 root root 14024 Sep 9 01:01 /usr/bin/chfn*-rws--x--x 1 root root 13768 Sep 9 01:01 /usr/bin/chsh*-rws--x--x 1 root root 5576 Sep 9 01:01 /usr/bin/newgrp*-rwxr-sr-x 1 root tty 8328 Sep 9 01:01 /usr/bin/write-rwsr-xr-x 1 root root 21816 Sep 10 16:03 /usr/bin/crontab*-rwsr-xr-x 1 root root 5896 Nov 23 21:59 /usr/sbin/usernetctl*-rwsr-xr-x 1 root bin 16488 Jul 2 10:21 /usr/sbin/traceroute-rwxr-sr-x 1 root utmp 6096 Sep 13 20:11 /usr/sbin/utempter-rwsr-xr-x 1 root root 14124 Aug 17 22:31 /bin/su*-rwsr-xr-x 1 root root 53620 Sep 13 20:26 /bin/mount*-rwsr-xr-x 1 root root 26700 Sep 13 20:26 /bin/umount*-rwsr-xr-x 1 root root 18228 Sep 10 16:04 /bin/ping*-rwxr-sr-x 1 root root 3860 Nov 23 21:59 /sbin/netreport-r-sr-xr-x 1 root root 26309 Oct 11 20:48 /sbin/pwdb_chkpwd用下面的命令禁止上面选出来的S U I D的程序：[root@Aid]# chmod a-s /usr/bin/chage[root@Aid]# chmod a-s /usr/bin/gpasswd[root@Aid]# chmod a-s /usr/bin/wall[root@Aid]# chmod a-s /usr/bin/chfn[root@Aid]# chmod a-s /usr/bin/chsh[root@Aid]# chmod a-s /usr/bin/newgrp[root@Aid]# chmod a-s /usr/bin/write[root@Aid]# chmod a-s /usr/sbin/usernetctl[root@Aid]# chmod a-s /usr/sbin/traceroute[root@Aid]# chmod a-s /bin/mount[root@Aid]# chmod a-s /bin/umount[root@Aid]# chmod a-s /bin/ping[root@Aid]# chmod a-s /sbin/netreport如果想知道这些程序到底有什么用，可以用m a n命令查看帮助。