实验一：Linux用户管理与安全策略

操作系统安全Operating System Security
Linux系统安全实验讲义
2013年12版本
实验一：Linux用户管理与安全策略1实验目的
●通过实验熟悉Linux 环境下的用户操作管理；
●了解PAM工作原理和配置方法；
●掌握Linux 操作系统中常用用户安全策略配置；
2实验原理
2.1用户与用户组的基本体系
●Linux提供了安全的用户名和口令文件保护以及强大的口令设置规
则，并对用户和用户组的权限进行细粒度的划分。

●Linux 系统的用户和用户组的信息分别保存在
⏹/etc/shadow
⏹/etc/passwd
⏹/etc/group
⏹/etc/gshadow 等几个文件中，
●/etc/passwd文件是系统用户认证访问权限的第一个文件。

文件的行格式如下：
login_name:password:uid:gid:user info: home_directory:default_shell
⏹其中：
⏹login_name：用户帐户，可以用1~8个字符表示，区分大小写，
避免使用数字开头；
⏹password：加密后的用户登录系统的密码；
⏹uid：系统指定给每个用户的唯一数值，即用户标识符，32位系统
中标识符在0~60 000之间。

；
⏹gid：用户组标识；
⏹user info：用户注释信息（如用户身份、电话号码、特性等）；
⏹home_directory：用户的主目录（家目录）；
⏹default_shell：用户登录系统时默认执行的Shell程序，通常为
/bin/sh，表示执行Bourne Shell。

如果是Korn Shell则用
/usr/bin/ksh。

如果是C Shell则用/usr/bin/csh。

如果是TC Shell
则用/usr/bin/tcsh（较少使用）。

如果是Bash Shell则用
/usr/bin/bash（Linux系统）
特别说明：
Linux 系统支持以命令行或窗口方式管理用户和用户组，本实验要求使用命令行方式实现，窗口方式为学生自行了解和掌握内容。

2.2PAM安全验证机制
详见课程讲义和教学课件
3课堂实验内容
3.1用户账户的基本管理
3.1.1查看和添加账户
1.用useradd 命令新建名为test1的新账户，并查看shadow和passwd文件
变化
# cat /etc/passwd
# useradd test1
# cat /etc/passwd
[ root@localhost root ] # cat /etc/shadow
2.切换到新建的test1账户，检查相关文件的权限设置,尝试创建新用户$ cat /etc/passwd
$ su test1
$ cat /etc/shadow
$ useradd test_a
3.1.2设置和更改密码
1.尝试test1为自己修改密码
$ passwd
2.使用root为账户test1 添加或修改密码：
#passwd test1
3.1.3建立用户组
1.建立名为testgroup1 的用户组
#cat /etc/group
# groupadd testgroup1
#cat /etc/group
2.将新建的用户组更名为testgroup
# groupmod -n testgroup testgroup1
3.将用户加入到新建的组testgroup中,观察文件变化
#cat /etc/passwd
# gpasswd -a test1 testgroup
# adduser test2 -g testgroup
#cat /etc/passwd
3.1.4*账户管理(不必须要求)
1.了解chage命令
# chage –m 0 -M 90 –E 0 -W 10 test1
上述命令强制用户test1首次登录时更改口令，同时还强制该用户以后每90 天更改一次口令，并提前10 天提示。

3.1.5账户的禁用与恢复
1.注销root登陆，回到x-window 登陆界面
2.使用test1登陆系统
3.切换到root登录系统
4.锁定用户test1
# passwd -l test1
5.再次注销root登陆，回到x-window 登陆界面使用test1登陆系统
6.切换到root登录系统，解锁账户test1
# passwd –u test2
7.注销root登陆，回到x-window 登陆界面，使用test1登陆系统
3.2系统的账号安全策略
3.2.1设置密码长度要求
1.创建用户，用户名学生拼音全拼如gouxu，每名位同学用户不一样；
1.通过root编辑/etc/pam.d/system-auth文件，设置最小密码长度策略
password requisite pam_cracklib.so try_first_pass retry=3
为
password requisite pam_cracklib.so try_first_pass retry=3 minlen=8
2.使用先前成功登陆的用户gouxu，修改低于最低要求长度（8位）的密码1
3.为用户gouxu，修改超过最低要求长度（8位）的密码2，并记录密码2 3.2.2控制密码的复杂度
1.为用户gouxu，修改超过最低要求长度（8位）新密码密码3，并记录密码3
2.通过编辑/etc/pam.d/system-auth文件，在
password requisite 行加入ucredit=-1 difok=3
3.切换到gouxu用户，修改用户密码超过8位，但不含任何大写字母
4.修改用户密码超过8位，但和先前密码重复内容超过3位
5.切换到gouxu用户，修改用户密码超过8位，密码含一个大写字母
6.记录系统提示
3.2.3删除用户和用户组
1.删除所有课堂实验部分新建用户test1 和test1
2.删除新建的用户组testgroup
4课后实验内容
1.按照下表创建用户，为实验二提供基础用户环境
2.尝试利用pam机制，在课堂实验成功基础上，实现用户密码策略：
a)禁止使用过去5次用的任何密码
b)最多允许用户密码输入错误2次
c)超过2次账户被锁定
5报告与成果要求
1.过程记录系统提示，关键界面一律使用截屏，附图实验报告操作；
2.出现异常或不成功的操作，需要分析原因并在实验室报告记录；
3.鼓励同学就pam机制做深入分析与学习；
4.报告用word编辑，email或打印提交均可；。