安全协议与标准07b-Linu_安全(NCSE讲义).ppt

安全协议与标准 2008 11 强化Linux安全 第1节Linux系统综述 第2节Linux发行版的通用命令 第3节Linux文件系统安全性 A B第4节Linux帐号安全性 第5节Linux的安全配置文件 第6节NFS和NIS安全 第7节典型应用层服务 第8节Linux安全性的评估 第1节Linux系统综述 Linux纵览Linux内核Linux的特性Linux与其他操作系统的区别典型应用层服务 Linux Linux的出现 最早开始于一位名叫LinusTorvalds的计算机业余爱好者 当时他是芬兰赫尔辛基大学的学生 Linux以它的高效性和灵活性著称 它能够在PC计算机上实现全部的Unix特性 具有多任务 多用户的能力 Linux是一套Free免费使用和自由传播的类Unix操作系统 thepenguin theLinuxmascot Unix Linux发展脉络 Redhat9 RedhatAS4 RedhatAS5 Debian6 Fedora10Preview Ubuntu8 04 Solaris9 Linux Linux之所以受到重视 主要原因它具有Unix的全部功能 任何使用Unix操作系统或想要学习Unix操作系统的人都可以从Linux中获益 它属于自由软件 用户不用支付任何费用就可以获得它和它的源代码 并且可以根据自己的需要对它进行必要的修改 无偿对它使用 无约束地继续传播 UNIX GNU Linux关键人物及贡献 KenThompson DennisRitchieUNIX 60年代末BrianKernighan DennisRitchieTheCProgrammingLanguage70年代末RichardStallmanFSF GNU GPL emacs gcc80年代中AndrewS TanenbaumMINIX DesignandImplementation80 90LinusTorvaldsLinux 90年代EricRaymond 黑客文化简史 如何成为一名黑客 大教堂和市集 开拓智域 魔法大锅炉 自由软件领袖RichardStallman EricRaymond themostfamoushackers theauthorof TheCathedralandtheBazaar andthepresentmaintainerofthe JargonFile alsoknownas TheNewHacker sDictionary Linux Linux操作系统软件包不仅包括完整的Linux操作系统 而且还包括了文本编辑器 高级语言编译器等应用软件还包括带有多个窗口管理器的X Windows图形用户界面 如同我们使用WindowsNT一样 允许我们使用窗口 图标和菜单对系统进行操作丰富的应用软件 Linux纵览 Linux可以分为四个主要部分 Linux 内核 函数库 Shell和工具 应用程序 0Kernel 1文件结构库 库函数 2Shell 3Applications Linux纵览 Linux内核 Linux系统的内核 Kernel 它提供了对硬件的统一接口内核是在引导时装入的程序内核识别硬件 初始化启动脚本 并且运行网络和终端守护程序当启动完毕之后 内核又成为访问硬件的通路 用来提供用户层程序和硬件之间的接口 Linux内核的功能 进程调度 进程间通信 管理内存 I O驱动 init init etc inittab ps A grepinit LinuxShell Shell是系统的用户界面 提供了用户与内核进行交互操作的一种接口它接收用户输入的命令并把它送入内核去执行 cat etc passwd greproot shell 内核 执行 Shell的多种版本 Shell也有多种不同的版本 目前主要有下列版本的ShellBourneShell 是贝尔实验室开发的BASH 是GNU的BourneAgainShell 是GNU操作系统上默认的shellKornShell 是对BourneSHell的发展 在大部分内容上与BourneShell兼容CShell 是SUN公司Shell的BSD版本 Linux文件结构 文件结构是文件存放在磁盘等存储设备上的组织方法 主要体现在对文件和目录的组织上 目录提供了管理文件的一个方便而有效的途径Linux目录采用多级树形结构 LinuxHierarchicalFileSystem使用Linux 用户可以设置目录和文件的权限 以便允许或拒绝其他人对其进行访问用户可以浏览整个系统 可以进入任何一个已授权进入的目录 访问那里的文件 cd tree ls l Linux实用工具 标准的Linux系统都有一套叫做实用工具的程序 它们是专门的程序 实用工具可分三类 用于编辑文件用于接收数据并过滤数据允许用户发送信息或接收来自其他用户的信息 编辑器 过滤器 交互程序 内核的版本号 内核的版本号分为三部分 以2 6 27 7为例 主版本号 此内核是2 它表明对内核的重大改进 很少改变次版本号 此内核是6 它表明内核的稳定性 偶数号 如0 2 4等 的内核是稳定的产品版本 而奇数号 如1 3 5等 的内核是处于开发过程中的内核 一般包含着最近开发的试验性代码 它不太稳定 有时可能包含着致命的错误 修订号 此内核是27 它表明这一发布版本的增补级 Linux版本经历 主要版本0 0191 87 5k0 0291 100 99 Slackware93 111 094 3158kAlpha版95 62 096 7649k2 299 11536k2 401 12888k2 603 124200k 2 6 2708 1010000k311 7 图示 代码规模 指数增长版本更新时间区间 内核介绍 内核源文件linux 2 6 27 7 tar bz2编译内核 makemenuconfig make makemodules install makeinstall reboot Wheretoget http www kernel org http lxr linux no Linux特性 Linux主要特性 Linux与其他操作系统的区别 Linux与MS DOS之间的区别Linux与OS 2之间的区别Linux与Windows之间的区别Linux与WindowsNT之间的区别 Linux优势 Linux从Unix社团获益Linux是Free Open的Linux的成本优势 Linux主要发行版 LinuxDistribution LinuxKernel GNUPackage Free OpenSoftwareRedhat Fedora coreDebianwww debian org Linux Hurd UbuntuGentoowww gentoo orgMandrakeTurboLinux Redflag4 第2节Linux发行版的通用命令 Linux系统管理命令Linux与用户有关的命令Linux常用命令 Linux系统管理命令 wall命令这个命令的功能是对全部已登录的用户发送信息用户可以先把要发送的信息写好存入一个文件中 然后输入 wall 文件名 表示输入重定向 Linux系统管理命令 write命令write命令的功能是向系统中某一个用户发送信息 该命令的一般格式为 write用户帐号 终端名称 希望退出发送状态时 按组合键即可 另一个 talk Linux系统管理命令 mesg指令mesg命令设定是否允许其他用户用write命令给自己发送信息 如果允许别人给自己发送信息 输入命令 mesgy否则 输入 mesgn Linux系统管理命令 sync命令 关闭Linux系统时使用的 因为Linux系统 在内存中缓存了许多数据 在关闭系统时需要进行内存数据与硬盘数据的同步校验 保证硬盘数据在关闭系统时是最新的 只有这样才能确保数据不会丢失 一般正常的关闭系统的过程是自动进行这些工作的 在系统运行过程中也会定时做这些工作 不需要用户干预 sync命令是强制把内存中的数据写回硬盘 以免数据的丢失 Linux系统管理命令 shutdown命令 关闭或重启Linux系统 shutdown 选项 时间 警告信息 命令中各选项的含义为 k并不真正关机 而只是发出警告信息给所有用户 r关机后立即重新启动 h关机后不重新启动 f快速关机 重启动时跳过fsck n快速关机 不经过init程序 c取消一个已经运行的shutdown该命令只能由超级用户使用 poweroff reboot poweroffrebootCTL ALT DEL Linux系统管理命令 free命令的功能是查看当前系统内存的使用情况 它显示系统中剩余及已用的物理内存和交换内存 以及共享内存和被核心使用的缓冲区该命令的一般格式为 free b k m 命令中各选项的含义如下 b以字节为单位显示 k以K字节为单位显示 m以兆字节为单位显示 Linux系统管理命令 uptime命令uptime命令显示系统已经运行了多长时间它依次显示下列信息现在时间系统已经运行了多长时间目前有多少登录用户系统在过去的1分钟 5分钟和15分钟内的平均负载 Linux与用户有关的命令 who whoamI w Linux与用户有关的命令 passwd命令Linux系统中的每一个用户除了有其用户名外 还有其对应的用户口令 因此需使用passwd命令为每一位新增加的用户设置口令用户以后还可以随时用passwd命令改变自己的口令只有超级用户可以使用 passwd用户名 修改其他用户的口令 普通用户只能用不带参数的passwd命令修改自己的口令 mkpasswd debian5 makepasswd count10wx5d7aNL459PTXxu1DS2tAvgP802aPb9gMjxQUXa7AvUtH6yigxb3Kp9rpUav4fGKJm69 Linux与用户有关的命令 su命令 switchuser 它可以让一个普通用户拥有超级用户或其他用户的权限 也可以让超级用户以普通用户的身份做一些事情普通用户使用这个命令时必须有超级用户或其他用户的口令输入exit离开当前用户的身份 Linux与用户有关的命令 su命令该命令的一般形式为 su 选项 使用者帐号 C执行一个命令后就结束 加了这个减号的目的是使环境变量和欲转换的用户相同m保留环境变量不变 suroot c cat etc shadow sudo命令 Linux常用命令 ifconfig网络配置命令Linux无论是自动安装还是手工安装 Linux都会向用户询问有关网络的问题并配置相关的软件用于配置网卡的基本命令为ifconfig ifconfig ifconfig ifconfigeth0up ifconfigeth0down ifconfigeth0192 168 ifconfigeth0 1192 168 ifconfigeth0ether ifconfigeth0promisc tcpdump etc ifupeth0 ifdowneth0arp ping traceroute netstat 管理后台服务 不安装 卸载 关闭服务 inredhat setup servicestart stop ntsysv 进程管理相关命令 一 ps命令查看系统运行的进程 psauxwa表示显示系统中所有用户的进程u表示输出进程用户所属信息x表示也显示没有控制台的进程若显示行太长而被截断则可以使用f参数pstree 进程管理相关命令 二 netstat命令用来查看系统监听的服务 netstat lnl表示显示当前系统监听的端口信息n表示端口按照端口号来显示 而不转换为service文件中定义的端口名若希望了解各个端口都是由哪些进程监听则可以使用p参数 进程管理相关命令 三 top命令用来查看当前系统使用情况 kill kill kill 9 killall renice lsof lsofisacommandmeaning listopenfiles whichisusedinmanyUnix likesystemstoreportalistofallopenfilesandtheprocessesthatopenedthem ThisopensourceutilitywasdevelopedandsupportedbyVicAbell theretiredAssociateDirectorofthePurdueUniversityComputingCenter ItworksinandsupportsseveralUNIXflavors Openfilesinthesystemincludediskfiles pipes networksocketsanddevicesopenedbyallprocesses Oneuseforthiscommandiswhenadiskcannotbeunmountedbecause unspecified filesareinuse Thelistingofopenfilescanbeconsulted suitablyfilteredifnecessary toidentifytheprocessthatisusingthefiles 第3节ALinux文件系统安全性 Linux文件系统基础Linux文件系统安全性 Linux文件系统基础 Linux的树型结构 Linux下一些主要目录的功用 一 bin二进制可执行命令 dev设备特殊文件 etc系统管理和配置文件 etc rc d启动的配置文件和脚本 home用户主目录的基点 比如用户user的主目录就是 home user 可以用 user表示 lib标准程序设计库 又叫动态链接共享库 作用类似windows里的 dll文件 sbin系统管理命令 这里存放的是系统管理员使用的管理程序 Linux下一些主要目录的功用 二 tmp公用的临时文件存储点 root系统管理员的主目录 mnt系统提供这个目录是让用户临时挂载其他的文件系统 lost found系统非正常关机而留下的文件 proc虚拟的目录 是系统内存的映射 可直接访问这个目录来获取系统信息 var某些大文件的溢出区 比方说各种服务的日志文件 Linux下一些主要目录的功用 三 usr最庞大的目录 要用到的应用程序和文件几乎都在这个目录 其中包含 usr X11R6存放Xwindow的目录 usr bin众多的应用程序 usr sbin超级用户的一些管理程序 usr doclinux文档 usr includelinux下开发和编译应用程序所需要的头文件 usr lib常用的动态链接库和软件包的配置文件 Linux下一些主要目录的功用 四 usr man帮助文档 usr src源代码 linux内核的源代码就放在 usr src linux里 usr local bin本地增加的命令 usr local lib本地增加的库 Linux文件系统 文件系统指文件存在的物理空间及其逻辑结构 Linux系统中每个分区都是一个文件系统 都有自己的目录层次结构 linux会将这些分属不同分区的 单独的文件系统按一定的方式形成一个系统的总的目录层次结构 Filelinks ln ln s Linux系统分区 硬盘的分区主要分为基本分区 PrimaryPartion 扩充分区 ExtensionPartion 基本分区和扩充分区的数目之和不能大于四个 基本分区 扩充分区 基本分区 基本分区 安装时的分区 可以将Linux安装在一个或多个类型为 Linuxnative 的硬盘分区 还需要一个交换 swap 分区 这个分区的类型是 Linuxswap 就是说安装Linux至少需要两个硬盘分区 一个或多个 Linuxnative 类型的分区一个 Linuxswap 类型的分区 分区命名规则 Linux通过字母和数字的组合来标识硬盘分区 归纳如下前两个字母 分区名的前两个字母表明分区所在设备的类型 您将通常看到hd 指IDE硬盘 或sd 指SCSI硬盘 下一个字母 这个字母表明分区在哪个设备 例如 dev hda 第一个IDE硬盘 或 dev sdb 第二个SCSI硬盘 数字 代表分区 前四个分区 主分区或扩展分区 用数字1到4表示 逻辑分区从5开始 例如 dev hda3第一个IDE硬盘上的第三个主分区或扩展分区 dev sdb6是第二个SCSI硬盘上的第二个逻辑分区 常用的分区配置 一个根分区 根分区是 root 所在地 保存内核和有关文件 这个分区不需要很大 需要注意的是要选择Linux本身作为这个根分区的分区类型 一个boot分区 存放内核等启动文件一个 usr分区 usr是RedHatLinux系统的许多软件的所在的地方 根据交换安装的包的数量确定一个 home分区 这是用户的home目录所在地 它的大小取决于系统有多少用户 以及这些用户将存放多少数据一个交换分区 交换分区用来支持虚拟内存 交换分区的尺寸通常是内存的大小的两倍 FileSystems Ext2Ext3兼容ext2添加了日志功能Ext4 BTRFS Reiser4推荐使用XFS 非boot分区 挂载文件系统 一 linux系统中每个分区都是一个文件系统 都有自己的目录层次结构 linux会将这些分属不同分区的 单独的文件系统按一定的方式形成一个系统的总的目录层次结构 这里所说的 按一定方式 就是指的挂载挂载点必须是一个目录一个分区挂载在一个已存在的目录上 这个目录可以不为空 但挂载后这个目录下以前的内容将不可用 挂载文件系统 二 挂载时使用mount命令格式 mount 参数 设备名称 挂载点 tauto vfat iso9660 oro rw mnt floppy mnt cdrom etc fstab less etc fstab关于nouser选项 FStools fdiskmkfsmount umountfsckdfdumkswapswapon swapoff 第3节BLinux文件系统安全性 Linux文件系统安全性 一 控制台和网络 二 引导与资源 三 异常文件 Linux文件系统安全性 一 禁止使用控制台程序禁止控制台的访问防止sendmail被没有授权的用户滥用使系统对ping没有反应不要显示系统提示信息路由协议使TCPSYNCookie保护生效防火墙 console apps cd etc security console apps ls Removeanyitemyouwant禁止控制台程序 pam conforpam d cd etc pam d catpoweroff authrequiredpam console so禁止控制台访问PAMPluggableAuthenticationModules sendmail etc sendmail cf PrivacyOptions authwarnings PrivacyOptions authwarnings novrfy noexpn杜绝滥发邮件 etc postfix ICMP Ping ICMP ECHO REQ ECHO REPLY echo1 proc sys net ipv4 icmp echo ignaore all禁止对ECHO REQ反应 Appendto etc rc d rc local issue 修改 etc issue 勿泄漏线索信息 etc inetd conf telnetstreamtcpnowaitroot usr sbin tcpdin telnetd h h则阻止显示登陆信息xinetd IPsourcerouting IPsourceroutingoptions 禁止源路由选项 echo0 proc sys net ipv4 conf eth0 accept source routeforfin proc sys net ipv4 conf accept source route doecho0 fdoneappendto etc rc d rc local TCPSYN TCPSYNAttack echo1 proc sys net ipv4 tcp syncookies sysctl wnet ipv4 tcp syncookies 1可抵抗SYN攻击 Netfilter iptable FirewallICFinwinxpnetfilter iptable iptables AINPUT s192 168 235 2 jREJECT iptables DINPUT dport80 jDROP Linux文件系统安全性 二 资源限制更好地控制mount上的文件系统把rpm程序转移到一个安全的地方 并改变默认的访问许可登录shell创建所有重要的日志文件的硬拷贝改变 etc rc d init d 目录下的脚本文件的访问许可 limits conf less etc security limits conf hardcore0 禁止coredump hardnproc20 进程数限制20 hardrss5000 内存限制5Min etc pam d login sessionrequired lib security pam limits so mount fstab cat etc fstab选项 nosuid禁止suid sgidnoexec不执行二进制文件nodev不使用设备符号 rpm 保护rpmchmod700 bin rpm把文件 bin rpm转移到安全地方mount mnt floppymv bin rpm mnt floppy umount mnt floppy shell bash historyin etc profile HISTFILESIZE 20HISTSIZE 20 log var log 防止日志被破坏在线打印 append etc syslog confauthpriv mail dev lp0 etc rc d init d syslogrestart servicesyslog inredhat转移到另外的服务器集中处理authpriv mail mailserver etc rc d init d chmod R700 etc rc d init d 只有root有权限操作 Linux文件系统安全性 三 异常和隐含文件查找所有SUID SGID位有效的文件查找任何人都有写权限的文件和目录查找没有主人的文件查找 rhosts 文件使Control Alt Delete关机键无效 ls a find name print SUID SGID SUID find usr bin typef perm 2000 printSGID find usr bin typef perm 4000 printSUID SGID文件可能是被植入的 可写文件 find perm 2 print find perm 20任何人都可写的文件 可能是入侵的遗留 无主文件 find dev nouser print find dev nogroup print无属主文件的存在是有疑问的 rhosts find home name rhosts rhosts等价主机 允许无需口令的rlogin等 CTL ALT DEL in etc inittab TrapCTRL ALT DELETEca ctrlaltdel sbin shutdown t3 rnow initq 加密文件系统 例子 文件里的虚拟盘 loopback ddif dev zeroof mydbs 1kcount 1024losetup edes exor dev loop0mydmke2fs dev loop0mount dev loop0 mnt myd umount mnt mydlosetup d dev loop0 detach 第4节Linux帐号安全性 系统安全记录文件启动和登录安全性BIOS用户口令帐号口令文件C A Dsuissue 系统安全记录文件 操作系统内部的记录文件是检测是否有网络入侵的重要线索可以运行来检查系统所受到的攻击 more var log secure greprefusedcat var log secure last lastlogless var log secure grepFailed 基本日志 Windows事件查看器IISLog本地安全策略 本地策略 审核策略等Linuxaccess log记录HTTP web的传输acct pacct记录用户命令aculog记录MODEM的活动btmp记录失败的记录lastlog记录最近几次成功登录的事件和最后一次不成功的登录messages从syslog中记录信息 有的链接到syslog文件 sudolog记录使用sudo发出的命令sulog记录使用su命令的使用syslog从syslog中记录信息 通常链接到messages文件 utmp记录当前登录的每个用户wtmp一个用户每次登录进入和退出时间的永久记录xferlog记录FTP会话 启动和登录安全性 BIOS安全设置BIOS密码且修改引导次序禁止从软盘启动系统BIOSsetup userpasswd 用户口令 口令 mkpasswd口令至少要有6个字符 最好包含一个以上的数字或特殊字符口令不能太简单 所谓的简单就是很容易猜出来 也就是用自己的名字 电话号码 生日 职业或者其它个人信息作为口令口令必须是有有效期的 在一段时间之后就要更换口令口令在这种情况下必须作废或者重新设定 如果发现有人试图猜测你的口令 而且已经试过很多次了不要使用单一口令 Zipcrackersample AdvancedZIPPasswordRecoverystatistics EncryptedZIP file sdjfks zipTotalpasswords 2 091 362 752Totaltime 6m58s725msAveragespeed passwords s 4 994 597Passwordforthisfile 7uee23PasswordinHEX 377565653233 login defs etc login defsPASS MIN LEN5 8PASS MAX DAYS99 99999 帐号 一 特殊的帐号禁止操作系统中不必要的预置帐号删除一些不必要的组在系统中加入必要的用户 不许改变 位可以用来保护文件使其不被意外地删除或重写 也可以防止有些人创建这个文件的符号连接 userdel useradd userdel groupadd groupdel passwd chattr i 文件只读如passwd shadow group gshadow 帐号 二 root帐号 root 帐号是Unix系统中享有特权的帐号 root 帐号是不受任何限制和制约的不要随便用root帐号登录 su 临时启用root身份 帐号 三 加密加密时要用到密匙 密匙是一个特殊的数字 把密匙和需要加密的信息经过加密算法加密之后 只有知道密匙的人才能把信息读出来 通信加密 OpenSSLApache OpenSSLOpenSSHsshd putty 口令文件 chattr命令给下面的文件加上不可更改属性 从而防止非授权用户获得权限 chattr i etc passwd chattr i etc shadow chattr i etc group chattr i etc gshadow 禁止Ctrl Alt Del重新启动机器命令 修改 etc inittab文件将该行注释掉ca ctrlaltdel sbin shutdown t3 rnow重新设置 etc rc d init d 目录下所有文件的许可权限 运行如下命令 chmod R700 etc rc d init d 限制su命令 防止任何人都可以用su命令成为root在 etc pam d su 文件中加入authsufficient lib security pam rootok sodebugauthrequired lib security pam wheel sogroup wheel只有 wheel 组的成员才能用su命令成为root 举例 让admin用户成为 wheel 组的成员 root deep usermod G10admin 10 是 wheel 组的ID值 删减登录信息 默认情况下 登录提示信息包括Linux发行版 内核版本名和服务器主机名等编辑 etc rc d rc local将输出系统信息的注释掉清空 etc issue etc 第5节Linux的安全配置文件 一 etc exports 文件 etc inetd conf 文件 etc aliases 文件 etc host conf 文件 etc services 文件 etc securetty 文件 etc lilo conf 文件GRUB多重启动管理器 Linux的安全配置文件 二 etc rc d rc local 文件 etc sysctl conf 文件syslog系统日志工具 etc sysconfig network scripts 目录 etc sysconfig network NFS exports etc exports dir to ro root squash 只读 抵制root特权 inetd etc inetd conf禁止 注释掉 暂不需要的服务ftp telnet talk finger shell login killall HUPinetd 重读配置 chmod600 chattr i stat tcp wrappers etc hosts allowsshd 192 168 0 1 etc hosts denyALL ALL tcpdchk tcpd inetd sendmail aliases etc aliases注释掉不必要的项 vi etc aliases usr bin newaliases host conf 查找域名的顺序 etc host conforderhosts bindmultion 有多IP主机nospoofon 禁止IP伪装 manhost conf services etc services less etc services chattr i securetty etc securetty login使用 tty 注释掉不必要和不被信任的tty cat etc inittab tty lilo conf etc lilo conftimeout 0restrictedpassword chmod600 etc lilo conf chattr i etc lilo conf lilo grub conf boot grub etc grub conf password password md5 grub md5crypt issue 清空 etc issue etc 查看 ect rc d rc local注意勿泄漏OS敏感信息 sysctl conf proc sys sysctl a 显示所有可控项 sysctl wnet ipv4 ip forward 1修改 etc sysctl confnet ipv4 ip forward 1可以拼加到rc sysinit中 less etc rc d rc sysinit syslogd etc syslog conffacilityauth cron daemon kern lpr mail levelemerg alert crit err warning notice info debug noneactionfile term host username npipe syslog syslogd r h r接受远程进入信息 h hop转发klogd记录内核信息klogd通常会传递信息给syslogd 也可以写入指定文件 ffname 其他日志 var log cd var log sambacroncyclog network scripts cd etc sysconfig network scripts ifupifdown ifupeth0 catifcfg eth0 catifcfg lo network etc sysconfig network cat etc sysconfig networkNETWORKING YES NOGATEWAY GATEWAYDEV eth0 HOSTNAME myname 第6节NFS和NIS安全 什么是NFS什么是NISNFS和NIS的安全问题 什么是NFS 基于RPC remoteprocedurecall 协议的网络文件系统 是由SunMicrosystems公司最早于1980年实现的 用于在异种UNIX操作系统共享文件NFS的客户端 服务器实现结构使得远程磁盘对于本地客户端是透明可见的 它通过几个守护进程和配置文件来实现文件共享 NFS如何工作 由于NFS运行于面向无连接 不需要对传输数据包进行任何确认 的UDP协议上 NFS则试图强迫对它发送的每一个命令进行确认如果收到确认 则继续发送数据 如果在特定时间内未收到确认 数据将被重传 NFS的配置文件 NFS的配置文件 etc exports 它定义了哪些共享和对谁是可用的 etc fstab 它包含了在客户端上被安装的文件系统列表 exports fstab etc exports usr local ro root squash 只读 etc fstab cat etc fstab 挂到 pub位置server usr local pub pubnfsrsize 8192 wsize 8192 timeo 14 intr 什么是NIS NetworkInformationService 网络信息服务 通常还称为YellowPages 黄页 是一种集中管理系统通用访问文件的分布式数据库系统 master服务器存放这些文件 而客户端则通过网络访问其中的信息Master Slave Client etc nsswitch conf NIS的实现 NIS的实现是通过几个守护进程ypserv是服务器守护进程ypbind是客户端进程以构造NIS请求maps可以在更新后手工 使用yppush 传送到slave服务器 或者通过ypxfrd进程自动 slave服务器检查服务器上的时间戳以进行正确的更新 传送 NFS和NIS的安全问题 NFS的安全问题NIS服务的安全问题保护NFS保护NIS NFS的安全问题 NFS使用AUTH UNIX的认证方法即非显式信任NFS客户端在服务器的UID 用户ID 和GID 组ID 对于文件系统共享输出 export 时被明确地指定了允许root用户访问的权限 任何在NFS客户端获取了root权限的攻击者都可能会轻易控制NFS服务器 攻击者通过编写设置UID和GID值的程序 使其有权访问NFS服务器端任何用户的文件NFS守护进程服务器还不时被发现存在缓冲区溢出漏洞 manexports 末尾有例子 NIS服务的安全问题 DoS攻击 在多台客户端上使用finger服务 缓冲区溢出攻击 libnasl NISmaps查询弱认证和其各个守护进程也存在各自的安全问题NFS NIS运行在非特权端口 cat etc services grepnfs 保护NFS 安装最新的NFS补丁检查 etc exports文件确保所有被共享的文件名不超过256字符确保 etc exports和 etc netgroups的访问权限为644 属主为root 组用户为root或sys在被输出文件系统机器上运行fsirand抵抗对文件句柄的猜测激活NFS的端口监视insolaris 保护NIS 确保安装了最新的NIS补丁确保NISmaps是否与本地口令文件是相互独立的检查用户口令强度检查空口令确保口令域中 的正确使用http www linux nis org nis howto 安全替代品 SecureNFSNIS LDAPCFS 第7节典型应用层服务 FTP Wu Ftpd TelnetSMTP Sendmail WWW Apache FTPD anonftpwu ftpd vsftpdinFC rpm ivhwu ftpd x x x i386 rpm FTP Wu Ftpd FTP服务器的配置文件 etc ftpusers etc ftpconversions 处理压缩 etc ftpgroups etc ftphosts etc ftpaccess ftpd etc ftphostsallowftpadmin10 2 2 110 2 2 2denyftpadmin10 2 2 3 etc ftpaccess etc ftpaccesswu ftpdconffileclassuserreal orguest anonymouspasswd checkrfc822warnloginfails3limitremote20any msg file Telnet Telnet面临的主要安全问题使用者认证数据传送保密防范针对telnet的攻击 Telnet本身的缺陷 没有口令保护 远程用户的登陆传送的帐号和密码都是明文 使用普通的sniffer都可以被截获没有强力认证过程 只是验证连接者的帐户和密没有完整性检查 传送的数据没有办法知道是否完整的 而不是被篡改过的数据 传送的数据都没有加密 sniffer NetXRay SnifferPro演示 数据传送保密 使数据在Telnet会话中安全传送的方法使用Diffie Hellman进行密钥交换使用DES 3DES IDEA加密会话使用公钥私钥加密签名 telnet telnetxxx80telnetxxx20 ssh OpenSSHSSH基于旧的paswd机制基于公钥的机制 SMTP Sendmail Sendmail是在Unix环境下使用最广泛的实现邮件发送 接受的邮件传输代理程序 设置Sendmail使用 smrsh 决定smrsh可以允许sendmail运行的命令列表 cd etc smrsh在 etc smrsh 目录中创建允许sendmail运行的程序的符号连接配置 etc sendmail cf使之使用受限shellpostfix 避免Sendmail被未授权的用户滥用 编辑 etc sendmail cf