當(dāng)前位置：首頁(yè) > 运维知识 > linux >内容正文

linux

linux安全加固(2)

發(fā)布時(shí)間：2025/3/17 linux 12 豆豆

生活随笔收集整理的這篇文章主要介紹了 linux安全加固(2) 小編覺(jué)得挺不錯(cuò)的,現(xiàn)在分享給大家,幫大家做個(gè)參考.

目錄：
1.BIOS
2.SSH安全
3.禁用telnet
4.禁用代碼編譯
5.ProFTP
6.TCPwrappers
7.創(chuàng)建一個(gè)SU組
8.root通知
9.history安全
10.歡迎信息
11.禁用所有特殊賬戶
12.chmod危險(xiǎn)文件
13.指定允許root登陸的TTY設(shè)備
14.選擇一個(gè)安全的密碼
15.檢查Rootkit
16.安裝補(bǔ)丁
17.隱藏Apache信息
18.隱藏php信息
19.關(guān)閉不使用的服務(wù)
20.檢測(cè)監(jiān)聽(tīng)中的端口
21.關(guān)閉打開(kāi)的端口和服務(wù)
22.刪除不用的rpm包
23.禁用危險(xiǎn)的php函數(shù)
24.安裝配置防火墻
25.安裝和配置BFD
26.內(nèi)核加固(sysctl.conf)
27.更改SSH端口
28./tmp /var/tmp,/dev/shm分區(qū)安全
29.PHP IDS

總結(jié)
========================================================================
介紹

這個(gè)教程將一步步的指引你，使你的Linux系統(tǒng)變得安全。
任何默認(rèn)安裝的操作系統(tǒng)都是不夠安全的，本文將指引你如何建立一個(gè)
相對(duì)安全的Linux系統(tǒng)。
========================================================================
1.BIOS
你應(yīng)該總是在系統(tǒng)啟動(dòng)的時(shí)候設(shè)置一個(gè)BIOS密碼和禁用從CD-ROM和軟盤(pán)引導(dǎo)。
這將防止一些人未經(jīng)允許訪問(wèn)你的系統(tǒng)和更改BIOS設(shè)置

2.SSH安全
SSH是一個(gè)協(xié)議，利用它可以登錄到一個(gè)遠(yuǎn)程系統(tǒng)或遠(yuǎn)程執(zhí)行系統(tǒng)命令，
默認(rèn)允許root登錄，并且sshv1存在缺陷，我們應(yīng)該在
sshd_config禁止root訪問(wèn)和使用sshv2來(lái)讓ssh更加安全。

方法：

vi /etc/ssh/sshd_config

把協(xié)議改為2

PermitRootLogin = no

重啟

sshd /etc/rc.d/init.d/sshd restart

3.禁用telnet
早期的Linux默認(rèn)開(kāi)啟telnet服務(wù)，telnet,ftp,rlogin都是明文傳輸?shù)膮f(xié)議
是容易被嗅探到的，這就是為什么推薦使用安全的版本(sftp,scp,ssh)的原因
如果你必須要使用telnet，那么至少應(yīng)該隱藏banner信息

方法：
修改

/etc/xinetd.d/telnet

disable=yes

4.禁用代碼編譯
你可以禁用代碼編譯并且只把編譯的權(quán)限分配給一個(gè)用戶組
方法：
添加編譯用戶組

/usr/sbin/groupadd compiler ，cd /usr/bin

把常見(jiàn)的編譯器所屬組賦給編譯用戶組

chgrp compiler *cc*

chgrp compiler *++*

chgrp compiler ld

chgrp compiler as

設(shè)置mysqlaccess的訪問(wèn)

chgrp root mysqlaccess

設(shè)置權(quán)限

chmod 750 *cc*

chmod 750 *++*

chmod 750 ld

chmod 750 as

chmod 755 mysqlaccess

把用戶添加到組里
修改/etc/group

compiler:x:520:user1,user2

5.ProFTP
你可以通過(guò)修改proftpd.conf來(lái)禁止root登陸
方法：
修改/etc/proftpd.conf

Add RootLogin off

重啟

proftpd /sbin/service proftpd stop

/sbin/service proftpd start

6.TCP wrappers
編輯hosts.allow和hosts.deny可以限制或允許訪問(wèn)inet服務(wù)

方法：
限制訪問(wèn)inet服務(wù)
修改/etc/hosts.allow
建議格式：

#Approved IP addresses

ALL:192.168.0.1

ALL:192.168.5.2

#CSV uploader machine

proftpd:10.0.0.5

#pop3 from antwhere

ipop3:ALL

修改/etc/hosts.deny

ALL:ALL EXCEPT localhostENY

7.創(chuàng)建SU用戶組
因?yàn)槲覀冊(cè)赟SH禁止了root用戶訪問(wèn)并且禁用了telnet，所有我們應(yīng)該
分配給一些用戶su權(quán)限來(lái)獲取root特權(quán)

方法：
vi /etc/group
添加一行 wheel:x:10:root,user1,user2

chgrp wheel /bin/su

chmod o-rwx /bin/su

8.root通知
當(dāng)一個(gè)具有root權(quán)限的用戶登錄的時(shí)候發(fā)mail
方法：
編輯/root下的.bashrc ，當(dāng)有root權(quán)限的用戶登錄時(shí)發(fā)生email通知

echo ‘ALERT ? Root Shell Access (Server Name) on:’ `date` `who` | mail -s “Alert: Root Access from `who | cut -d”(” -f2 | cut -d”)” -f1`” your@email.com

9.history安全
這是一個(gè)避免刪除.bash_history或重定向到/dev/null的好主意
因此他不能清除或刪除他最后執(zhí)行的命令
方法：

chattr +a .bash_history

chattr +i .bash_history

獲取用戶的人會(huì)知道他的歷史命令鎖定并且要同意才可以使用服務(wù)

10.使用歡迎信息
你必須提供一些信息讓攻擊者知道該系統(tǒng)不對(duì)公眾開(kāi)放。
在國(guó)外有類(lèi)似案件，攻擊者入侵一個(gè)系統(tǒng)并且系統(tǒng)沒(méi)有這些信息，
這種情況下法院不能做任何裁決，因?yàn)橄到y(tǒng)說(shuō)welcome

方法：
刪除/etc/redhat-release
編輯/etc/issue /etc/motd并顯示警告信息

11.禁用所有特殊賬戶
你應(yīng)該從系統(tǒng)中刪除所有默認(rèn)用戶和組
例如news,lp,sync,shutdown,uucp,games,halt 等
方法：
刪除賬戶userdel name
刪除組 groupdel name
鎖定特定賬戶：

/usr/sbin/usermod -L -s /bin/false user

12.chmod危險(xiǎn)文件
這可能是限制不具有root權(quán)限的用戶執(zhí)行下面這些命令的好主意
方法：

chmod 700 /bin/ping

chmod 700 /usr/bin/finger

chmod 700 /usr/bin/who

chmod 700 /usr/bin/w

chmod 700 /usr/bin/locate

chmod 700 /usr/bin/whereis

chmod 700 /sbin/ifconfig

chmod 700 /usr/bin/pico

chmod 700 /usr/bin/vi

chmod 700 /usr/bin/which

chmod 700 /usr/bin/gcc

chmod 700 /usr/bin/make

chmod 700 /bin/rpm

13.指定允許root登陸的TTY設(shè)備
/etc/securetty文件允許你指定root可以從哪個(gè)TTY設(shè)備登錄
方法：

vi /etc/securetty

只留2個(gè)連接

tty1

tty2

14.選擇一個(gè)安全的密碼
在/etc/login.defs文件中定義了shadow密碼的具體配置
默認(rèn)密碼長(zhǎng)度最短為5字符，你應(yīng)該至少設(shè)置為8
方法：

vi /etc/login.defs

PASS_MIN_LEN 8

15.檢測(cè)Rootkit
用chkrootkit或rkhunter，以chkrootkit為例
方法：

wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz

wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.md5

首先檢查md5校驗(yàn)值: md5sum chkrootkit.tar.gz
然后解壓安裝

tar -zxvf chkrootkit.tar.gz

cd chkrootkit

./configure

make sense

然后運(yùn)行./chkrootkit
我們可以將其添加到contrab使其每天自動(dòng)掃描：

vi /etc/cron.daily/chkrootkit.sh

#!/bin/bash
# 輸入chkrootkit的安裝目錄

cd /root/chkrootkit/

# 輸入你想收到檢測(cè)報(bào)告的email

./chkrootkit | mail -s “Daily chkrootkit from Server Name” your@email.com

16.安裝補(bǔ)丁
你要經(jīng)常檢查更新以修復(fù)某些缺陷或系統(tǒng)穩(wěn)定性的改進(jìn)
否則你存在漏洞的系統(tǒng)將會(huì)不時(shí)的遭受新的攻擊
方法：

列出可用更新:up2date -l

安裝未排除的更新:up2date -u

安裝包括排除的更新up2date -uf

17.隱藏Apache信息
你應(yīng)該隱藏Apache的banner信息使攻擊者不知道Apache的版本，從而使他們難以利用漏洞
方法：
修改/etc/httpd/conf/httpd.conf
改變服務(wù)器簽名:

ServerSignature Off

重啟Apache /sbin/service httpd restart

18.隱藏php信息
你應(yīng)該隱藏php的banner信息，原因同上
方法：
修改php.ini
改變

expose_php=Off

重啟Apache

19.關(guān)閉不用的服務(wù)
你應(yīng)該把任何未使用的服務(wù)關(guān)閉，可以在/etc/xinetd.d文件夾里找到
方法：

cd /etc/xinetd.d

grep disable *

這將顯示所有服務(wù)開(kāi)啟或關(guān)閉的狀態(tài)，然后根據(jù)需要來(lái)開(kāi)啟或關(guān)閉服務(wù)

20.檢測(cè)監(jiān)聽(tīng)的端口
檢測(cè)是否有必要開(kāi)放端口是非常重要的
方法：

netstat -tulp或

lsof -i -n | egrep ‘COMMAND|LISTEN|UDP’或

nmap！

21.關(guān)閉端口和服務(wù)
重點(diǎn)是關(guān)閉在系統(tǒng)啟動(dòng)時(shí)打開(kāi)的不需要的端口
方法：
對(duì)于正在運(yùn)行的服務(wù)，可以執(zhí)行chkconfig -list | grep on
禁用服務(wù)可以執(zhí)行chkconfig servicename off
然后停止正在運(yùn)行的服務(wù):/etc/init.d/service stop

22.刪除不用的rpm包
首先應(yīng)該清楚你的系統(tǒng)的作用，它是web,mail,file服務(wù)器或其他
然后覺(jué)得哪些包是必要的，之后刪除不需要的軟件包
方法：
首先列出安裝列表rpm -qa
更詳細(xì)的信息rpm -qi rpmname
還可以檢測(cè)刪除包可能出現(xiàn)的沖突rpm -e ?test rpmname

23.禁用危險(xiǎn)的php函數(shù)
你應(yīng)該禁用php的危險(xiǎn)函數(shù)防止在網(wǎng)站上執(zhí)行系統(tǒng)命令
方法：

whereis php.ini

vi /usr/local/lib/php.ini

編輯

disable_functions = “symlink,shell_exec,exec,proc_close,proc_open,popen,

system,dl,passthru,escapeshellarg, escapeshellcmd”

24.安裝配置防火墻
高級(jí)策略防火墻(APF)是一種IP表（網(wǎng)絡(luò)過(guò)濾），它是基于當(dāng)今互聯(lián)網(wǎng)部署服務(wù)器防火墻系統(tǒng)的基本需要和客戶部署LINUX安裝的唯一需要而設(shè)計(jì)的。它是最好的開(kāi)源防

火墻之一。

配置APF防火墻方法：
下載APF：wget?http://www.r-fx.ca/downloads/apf-current.tar.gz
解壓安裝：

tar -zxvf apf-current.tar.gz

cd apf-0.9.7-1

./install.sh

然后我們配置它vi /etc/apf/conf.apf
一般配置：
啟用防火墻使用DShield.org塊列表
USE_DS=”1″
然后我將列出常規(guī)的配置和CPanel配置方式，因?yàn)镃Panel是應(yīng)該最廣泛的虛擬主機(jī)管理軟件

1.常規(guī)配置(DNS,Mail,Web,FTP)

Common ingress (inbound)

# Common ingress (inbound) TCP ports -3000_3500 = passive port range for Pure FTPD IG_TCP_CPORTS=”21,22,25,53,80,110,143,443,995″

# Common ingress (inbound) UDP ports IG_UDP_CPORTS=”53″

# Egress filtering [0 = Disabled / 1 = Enabled]

EGF=”1″

# Common egress (outbound) TCP ports

EG_TCP_CPORTS=”21,25,80,443,43″

# Common egress (outbound) UDP ports

EG_UDP_CPORTS=”20,21,53″

2.CPanel配置

Common ingress (inbound) ports

# Common ingress (inbound) TCP ports -3000_3500 = passive port range for Pure FTPD IG_TCP_CPORTS=”21,22,25,53,80,110,143,443,2082,2083, 2086,2087,

2095, 2096,3000_3500″

# Common ingress (inbound) UDP ports

IG_UDP_CPORTS=”53″

Common egress (outbound) ports

# Egress filtering [0 = Disabled / 1 = Enabled]

EGF=”1″

# Common egress (outbound) TCP ports

EG_TCP_CPORTS=”21,25,80,443,43,2089″

# Common egress (outbound) UDP ports

EG_UDP_CPORTS=”20,21,53″

之后啟動(dòng)防火墻 /etc/apf/apf -s
如果運(yùn)行良好我在回去修改配置文件，使DEVM=”0″
然后我們配置APF的AntiDos: vi /etc/apf/ad/conf.antidos

找到下面的內(nèi)容并替換成你的資料

# Organization name to display on outgoing alert emails

CONAME=”Your Company”

# Send out user defined attack alerts [0=off,1=on]

USR_ALERT=”0″

# User for alerts to be mailed to

USR=you@yourco.com

你應(yīng)把USR_ALERT改為1
保存后重啟APF：/etc/apf/apf ?r

To make the firewall start with the Operating System: chkconfig ?level 2345 apf on

APF開(kāi)機(jī)自啟動(dòng)：chkconfig ?level 2345 apf on
禁止一個(gè)IP用/etc/apf/apf -d ip或vi /etc/apf/deny_hosts.rules
允許一個(gè)IP用/etc/apf/apf -a ip或vi /etc/apf/deny_hosts.rules

25.安裝配置BFD(暴力破解檢測(cè))
BFD是一個(gè)用于分析應(yīng)用日志和檢測(cè)驗(yàn)證失敗的模塊化shell腳本
而且安裝配置和用法都是非常容易的。使用BFD的原因很簡(jiǎn)單。
其實(shí)在LINUX領(lǐng)域幾乎沒(méi)有結(jié)合防火墻或?qū)崟r(shí)設(shè)備來(lái)監(jiān)控不驗(yàn)證和
暴力攻擊審計(jì)的程序。在用BFD之前你必須安裝APF防火墻。

方法：

wget http://www.r-fx.ca/downloads/bfd-current.tar.gz

tar -zxvf bfd-current.tar.gz

cd bfd-0.9

然后我們來(lái)配置它 vi /usr/local/bfd/conf.bfd
把以下內(nèi)容改為你的資料

# Enable/disable user alerts [0 = off; 1 = on]

ALERT_USR=”1″

# User alert email address

EMAIL_USR=”your@mail.com”

# User alert email; subject

SUBJ_USR=”Brute Force Warning for $HOSTNAME”

然后vi /usr/local/bfd/ignore.hosts
把你的IP設(shè)置成允許主機(jī)，避免意外的鎖定自己。
之后重啟BFD /usr/local/sbin/bfd -s

26.內(nèi)核加固(sysctl.conf)
sysctl.conf用來(lái)加固內(nèi)核，目的是避免DOS和欺騙攻擊
方法：
到/proc/sys目錄或sysctl -a命令了解下當(dāng)前配置的大概情況
然后vi /etc/sysctl.conf
添加如下內(nèi)容：

# Kernel sysctl configuration file for Red Hat Linux

# For binary values, 0 is disabled, 1 is enabled. See sysctl(8) and

# sysctl.conf(5) for more details.

# Controls IP packet forwarding

net.ipv4.ip_forward = 0

# Controls source route verification

net.ipv4.conf.default.rp_filter = 1

# Controls the System Request debugging functionality of the kernel

kernel.sysrq = 0

# Controls whether core dumps will append the PID to the core filename.

# Useful for debugging multi-threaded applications.

kernel.core_uses_pid = 1

#Prevent SYN attack

net.ipv4.tcp_syncookies = 1

net.ipv4.tcp_max_syn_backlog = 2048

net.ipv4.tcp_synack_retries = 2

# Disables packet forwarding

net.ipv4.ip_forward=0

# Disables IP source routing

net.ipv4.conf.all.accept_source_route = 0

net.ipv4.conf.lo.accept_source_route = 0

net.ipv4.conf.eth0.accept_source_route = 0

net.ipv4.conf.default.accept_source_route = 0

# Enable IP spoofing protection, turn on source route verification

net.ipv4.conf.all.rp_filter = 1

net.ipv4.conf.lo.rp_filter = 1

net.ipv4.conf.eth0.rp_filter = 1

net.ipv4.conf.default.rp_filter = 1

# Disable ICMP Redirect Acceptance

net.ipv4.conf.all.accept_redirects = 0

net.ipv4.conf.lo.accept_redirects = 0

net.ipv4.conf.eth0.accept_redirects = 0

net.ipv4.conf.default.accept_redirects = 0

# Enable Log Spoofed Packets, Source Routed Packets, Redirect Packets

net.ipv4.conf.all.log_martians = 1

net.ipv4.conf.lo.log_martians = 1

net.ipv4.conf.eth0.log_martians = 1

# Disables IP source routing

net.ipv4.conf.all.accept_source_route = 0

net.ipv4.conf.lo.accept_source_route = 0

net.ipv4.conf.eth0.accept_source_route = 0

net.ipv4.conf.default.accept_source_route = 0

# Enable IP spoofing protection, turn on source route verification

net.ipv4.conf.all.rp_filter = 1

net.ipv4.conf.lo.rp_filter = 1

net.ipv4.conf.eth0.rp_filter = 1

net.ipv4.conf.default.rp_filter = 1

# Disable ICMP Redirect Acceptance

net.ipv4.conf.all.accept_redirects = 0

net.ipv4.conf.lo.accept_redirects = 0

net.ipv4.conf.eth0.accept_redirects = 0

net.ipv4.conf.default.accept_redirects = 0

# Disables the magic-sysrq key

kernel.sysrq = 0

# Modify system limits for Ensim WEBppliance

fs.file-max = 65000

# Decrease the time default value for tcp_fin_timeout connection

net.ipv4.tcp_fin_timeout = 15

# Decrease the time default value for tcp_keepalive_time connection

net.ipv4.tcp_keepalive_time = 1800

# Turn off the tcp_window_scaling

net.ipv4.tcp_window_scaling = 0

# Turn off the tcp_sack

net.ipv4.tcp_sack = 0

# Turn off the tcp_timestamps

net.ipv4.tcp_timestamps = 0

# Enable TCP SYN Cookie Protection

net.ipv4.tcp_syncookies = 1

# Enable ignoring broadcasts request

net.ipv4.icmp_echo_ignore_broadcasts = 1

# Enable bad error message Protection

net.ipv4.icmp_ignore_bogus_error_responses = 1

# Log Spoofed Packets, Source Routed Packets, Redirect Packets

net.ipv4.conf.all.log_martians = 1

# Set maximum amount of memory allocated to shm to 256MB

kernel.shmmax = 268435456

# Improve file system performance

vm.bdflush = 100 1200 128 512 15 5000 500 1884 2

# Improve virtual memory performance

vm.buffermem = 90 10 60

# Increases the size of the socket queue (effectively, q0).

net.ipv4.tcp_max_syn_backlog = 1024

# Increase the maximum total TCP buffer-space allocatable

net.ipv4.tcp_mem = 57344 57344 65536

# Increase the maximum TCP write-buffer-space allocatable

net.ipv4.tcp_wmem = 32768 65536 524288

# Increase the maximum TCP read-buffer space allocatable

net.ipv4.tcp_rmem = 98304 196608 1572864

# Increase the maximum and default receive socket buffer size

net.core.rmem_max = 524280

net.core.rmem_default = 524280

# Increase the maximum and default send socket buffer size

net.core.wmem_max = 524280

net.core.wmem_default = 524280

# Increase the tcp-time-wait buckets pool size

net.ipv4.tcp_max_tw_buckets = 1440000

# Allowed local port range

net.ipv4.ip_local_port_range = 16384 65536

# Increase the maximum memory used to reassemble IP fragments

net.ipv4.ipfrag_high_thresh = 512000

net.ipv4.ipfrag_low_thresh = 446464

# Increase the maximum amount of option memory buffers

net.core.optmem_max = 57344

# Increase the maximum number of skb-heads to be cached

net.core.hot_list_length = 1024

## DO NOT REMOVE THE FOLLOWING LINE!

## nsobuild:20051206

重啟后生效
/sbin/sysctl -p

sysctl -w net.ipv4.route.flush=1

27.更改SSH端口
更改SSH默認(rèn)端口號(hào)在一定程度上可以提高安全性
方法：
vi /etc/ssh/sshd_config
Port 22改為其他端口
當(dāng)然不要忘記把更改的端口加進(jìn)防火墻
然后重啟生效/etc/init.d/ssh restart
如果安裝了APF并把端口添加之后,還要重啟APF:/etc/init.d/apf restart

28./tmp,/var/tmp,/dev/shm分區(qū)的安全
/tmp,/var/tmp,/dev/shm目錄是不安全的，任何用戶都可以執(zhí)行腳本。
最好的解決辦法是掛載ncexec和nosuid選項(xiàng)的參數(shù)
注意：不建議在CPanel使用
方法：
/tmp目錄：
cd /dev
創(chuàng)建 100M (“count”) 的存儲(chǔ)文件:
dd if=/dev/zero of=tmpMnt bs=1024 count=100000
設(shè)為一個(gè)擴(kuò)展的文件系統(tǒng)：

/sbin/mke2fs /dev/tmpMnt (“…is not a block special device. continue?”回答yes)

備份現(xiàn)有臨時(shí)文件：

cp -R /tmp/ /tmp_backup

用noexec掛載新文件系統(tǒng):

mount -o loop,rw,nosuid,noexec /dev/tmpMnt /tmp

chmod 0777 /tmp

把備份的文件拷貝回去：

cp -R /tmp_backup/* /tmp/

刪除備份：

rm -rf /tmp_backup

修改/etc/fstab 添加下面的條目使其在引導(dǎo)時(shí)仍然有效

/dev/tmpMnt /tmp ext2 loop,rw,nosuid,noexec 0 0

/var/tmp目錄：

mv /var/tmp /var/tmpbak

ln -s /tmp /var/tmp

cp /var/tmpbak/* /tmp/

/dev/shm目錄：
編輯/etc/fstab
把 none /dev/shm tmpfs defaults,rw 0 0
改為

none /dev/shm tmpfs defaults,nosuid,noexec,rw 0 0

安全補(bǔ)充： 賬號(hào)安全管理：
1.限制使用su的用戶并合理利用sudo：
vi /etc/pam.d/su，添加auth required /lib/security/$ISA/pam_wheel.so group=wheel行，
用命令“usermod -G 10 <用戶名>”來(lái)添加允許使用su的用戶
合理利用sudo大家可以查看資料，也可以有人整理專(zhuān)題討論。

2.禁止root使用ssh遠(yuǎn)程登入：
vi /etc/ssh/sshd_config，找到#PermitRootLogin yes 改成?> PermitRootLogin no，重啟ssh服務(wù)

3.給重要文件加鎖，拒絕修改：
# chattr +i /etc/passwd
# chattr +i /etc/shadow

4.刪除大部分不必要帳號(hào)，取消帳號(hào)中不必要的shell。
如下帳號(hào)可被刪除：
adm,lp,sync,shutdown,halt,mail,news,uucp,operator,games,gopher,ftp,rpm,nscd,rpc,
rpcuser,nfsnobody,mailnull,smmsp,pcap,xfs,ntp
如果要使用KDE之類(lèi)的圖形窗口，則有些帳號(hào)如rpc,xfs是需要的。

文件系統(tǒng)權(quán)限
1) 找出系統(tǒng)中所有含s"位的程序,把不必要的"s"位去掉,或者把根本不用的直接刪除,這樣可以防止用戶濫用及提升權(quán)限的可能性,其命令如下:
find / -type f -perm -4000 -o -perm -2000 -print | xargs ls -lg

2) 把重要文件加上不可改變屬性(一般情況不用這么做):
chattr +i /etc/passwd
Immutable，系統(tǒng)不允許對(duì)這個(gè)文件進(jìn)行任何的修改。如果目錄具有這個(gè)屬性，那么任何的進(jìn)程只能修改目錄之下的文件，不允許建立和刪除文件。

3) 找出系統(tǒng)中沒(méi)有屬主的文件:
find / -nouser -o -nogroup

4) 找出任何都有寫(xiě)權(quán)限的文件和目錄:
find / -type f -perm -2 -o -perm -20 |xargs ls -lg
find / -type d -perm -2 -o -perm -20 |xargs ls -ldg

5) Suid及sgid文件檢查：
執(zhí)行如下命令：
find / -user root -perm -4000 -print -exec md5sum {} \;
find / -user root -perm -2000 -print -exec md5sum {} \;
將結(jié)果重定向到一個(gè)文件，保存起來(lái)以后備查。

Banner偽裝
1)系統(tǒng)banner
2)各服WEB服務(wù)軟件banner偽裝及隱藏。

總結(jié)

以上是生活随笔為你收集整理的linux安全加固(2)的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。

linux

上一篇：安全扫描工具Nmap引擎理解文档
下一篇：基于Away3D实现全景的相机控制器。