Linux网络安全经验之谈

%3Cp%3E

核心提示：1个潜伏的黑客假设要攻击你的Linux服务器，他首先就会尝试缓冲区溢出。在过往的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的1种情势了。

关于分区

1个潜伏的黑客假设要攻击你的Linux服务器，他首先就会尝试缓冲区溢出。在过往的几年中，以缓冲区溢出为类型的安全漏洞是最为常见的1种情势了。更加严重的是，缓冲区溢出漏洞占了远程网络攻击的尽大多数，这类攻击可以轻易使得1个匿名的Internet用户有机会取得1台主机的部份或全部的控制权！

为了避免此类攻击，我们从安装系统时就应当留意。假设用root分区纪录数据，如log文件和email，便可能由于拒尽服务产生大量日志或垃圾邮件，从而导致系统崩溃。所以建议为/var开辟单独的分区，用来寄存日志和邮件，以免root分区被溢出。最好为特殊的利用程序单独开1个分区，特别是可以产生大量日志的程序，还有建议为/home单独分1个区，这样他们就不能填满/分区了，从而就避免了部份针对Linux分区溢出的恶意攻击。

关于BIOS

记着要在BIOS设置中设定1个BIOS密码，不接收软盘启动。这样可以禁止不怀好意的人用专门的启动盘启动你的Linux系统，并避免他人更改BIOS设置，如更改软盘启动设置或不弹出密码框直接启动服务器等等。

关于口令

口令是系统中认证用户的主要手段，系统安装时默许的口令最小长度通常为5，但为保证口令不容易被猜想攻击，可增加口令的最小长度，最少即是8。为此，需修改文件/etc/login.defs中参数PASS_MIN_LEN（口令最小长度）。同时应限制口令使用时间，保证定期更换口令，建议修改参数PASS_MIN_DAYS（口令使用时间）。

关于Ping

既然没有人能ping通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的1行命令到/etc/rc.d/rc.local，以使每次启动后自动运行，这样便可以够禁止你的系统响应任何从外部/内部来的ping要求。

echo 1 》 /proc/sys/net/ipv4/icmp_echo_ignore_all

关于Telnet

假设你希看用户用Telnet远程登录到你的服务器时不要显示操纵系统和版本信息（可以免有针对性的漏洞攻击），你应当改写/etc/inetd.conf中的1行象下面这样：

telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h

加-h标志在最后使得telnet后台不要显示系统信息，而仅仅显示login。

关于特权账号

制止所有默许的被操纵系统本身启动的且不需要的帐号，当你第1次装上系统时就应当作此检查，Linux提供了各种帐号，你可能不需要，假设你不需要这个帐号，就移走它，你有的帐号越多，就越轻易遭到攻击。

为删除你系统上的用户，用下面的命令：userdel username

为删除你系统上的组用户帐号，用下面的命令：groupdel username

在终端上打进下面的命令删掉下面的特权用账号：

userdel adm

userdel lp

userdel sync

userdel shutdown

userdel halt

userdel mail

假设你不用sendmail服务器，就删除这几个帐号：

userdel news

userdel uucp

userdel operator

userdel games

假设你不用X windows 服务器，就删掉这个帐号。

userdel gopher

假设你不答应匿名FTP，就删掉这个用户帐号：

userdel ftp

关于su命令

假设你不想任何人能够su为root的话，你应当编辑/etc/pam.d/su文件，加下面几行：

auth sufficient /lib-

http://security.chinaitlab.com/pam_rootok-

.so debug

auth required /lib-

http://security.chinaitlab.com/pam_wheel-

.so group=isd

这意味着仅仅isd组的用户可以su作为root。假设你希看用户admin能su作为root.就运行下面的命令：

usermod -G10 admin

suid程序也是非常危险的，这些程序被普通用户以euid=0（即root）的身份履行，只能有少许程序被设置为suid。用这个命令列出系统的suid2进制程序：

suneagle# find / -perm ⑷000 -print

你可以用chmod -s往掉1些不需要程序的suid位。

关于账户注销

假设系统治理员在离开系统时忘了从root注销，系统应当能够自动从shell中注销。那末，你就需要设置1个特殊的 Linux 变量“tmout”，用以设定时间。 一样，假设用户离开机器时忘记了注销账户，则可能给系统安全带来隐患。你可以修改/etc/profile文件，保证账户在1段时间没有操纵后，自动从系统注销。 编辑文件/etc/profile，在“histfilesize=”行的下1行增加以下1行：

tmout=600

则所有用户将在10分钟无操纵后自动注销。留意：修改了该参数后，必须退出并重新登录root，更改才能生效。

关于系统文件

对系统中的某些关键性文件如passwd、passwd.old、passwd._、shadow、shadown._、inetd.conf、services和lilo.conf等可修改其属性，避免意外修改和被普通用户查看。 如将inetd文件属性改成600：

# chmod 600 /etc/inetd.conf

这样就保证文件的属主为root，然后还可以将其设置为不能改变：

# chattr +i /etc/inetd.conf

这样，对该文件的任何改变都将被制止。 你可能要问：那我自己不是也不能修改了？固然，我们可以设置成只有root重新设置复位标志后才能进行修改：

# chattr -i /etc/inetd.conf

关于用户资源

对你的系统上所有的用户设置资源限制可以避免DoS类型攻击，如最大进程数，内存数目等。例如，对所有用户的限制， 编辑/etchttp://security.chinaitlab.com/limits.con加进以下几行：

* hard core 0

* hard rss 5000

* hard nproc 20

你也必须编辑/etc/pam.d/login文件，检查这1行的存在：

session required /libhttp://security.chinaitlab.com/pam_limits.so

上面的命令制止core files“core 0”，限制进程数为“nproc 50“，且限制内存使用为5M“rss 5000”。

关于NFS服务器

由于NFS服务器漏洞比较多，你1定要谨慎。假设要使用NFS网络文件系统服务，那末确保你的/etc/exports具有最严格的存取权限设置，不意味着不要使用任何通配符，不答应root写权限，mount成只读文件系统。你可以编辑文件/etc/exports并且加：

/dir/to/export host1.mydomain.com（ro，root_squash）

/dir/to/export host2.mydomain.com（ro，root_squash）

其中/dir/to/export 是你想输出的目录，host.mydomain.com是登录这个目录的机器名，ro意味着mount成只读系统，root_squash制止root写进该目录。最后为了让上面的改变生效，还要运行/usr/sbin/exportfs -a

唐山网站建设www.fw8.net%3C%2Fp%3E
TAG:用户,帐号,口令,系统,文件

评论加载中... 内容： 评论者： 验证码：