• 马上背!十九大报告中的四个“新” 2019-10-04
  • 三日内8省区调整省级政府副职 4省常务副省长变动 2019-10-04
  • 湖南:专题研究“互联网+政务服务”和政务公开工作 2019-10-01
  • 大同市纪委监委通报5起违反中央八项规定精神问题典型案例 2019-10-01
  • 互联网基金违规销售乱象:巧立名目送红包、送份额 2019-09-30
  • 夏天喝饮料越喝越渴吗 三款饮料不利于健康-美食资讯 2019-09-30
  • 北欧的千湖之国被选为2018全球最幸福国家 2019-09-27
  • 车俊会见毛里求斯代总统 2019-09-27
  • 你不看文章的内容吗? 2019-09-14
  • 回复@“老笑头”,你的这种逻辑是你当年生sj病住院时向你同室的“病友”学来的吧!哈哈哈哈! 2019-09-05
  • 江西吉安永丰县:芒种农忙(图) 2019-09-01
  • 2018 E3:女主持人展位探访 被吓的花容失色 2019-08-27
  • 习近平为诊治“长江病”把脉开方 2019-08-27
  • 公共图书馆如何更有效地服务读者 2019-08-26
  • 让全民“动”起来 网友:健身配套设施不能少 2019-08-11
  • 精准一头一尾中特l:深入分析Linux 系统深度安全加固

    时间:2019-06-04 07:00来源:网络整理 作者:Linux先生 举报 点击:
    登录采用加密的 ssh,如果管理员只从固定的终端登陆,还应限制合法 ssh 客户端的范围防止嗅探及中间人攻击 防止入侵者向其中写入木马语句(诸如一个shell的拷贝)

    免费一尾中特 www.nifws.tw   ★ Linux 系统深度安全加固

      1. 安装和升级

      尽量选用最新的 Linux 发行版本,安装前拔掉网线,断开物理连接,安装时建议用 custom 自定义方式安装软件包,数量以少为好,一般来说服务器没有必要安装 X-windows,在 lilo/grub 引导器中加入口令限制,防止能够物理接触的恶意用户因为 Linux 安装光盘的 rescue 模式可以跳过这个限制,所以还要给bios加上密码或服务器机箱上锁 /var, /home, /usr, /root 等目录用独立的物理分区,防止垃圾数据和日志填满硬盘而导致 D.o.S 攻击.

      root 账号给予强壮的口令.

      安装完毕立即用 up2date 或 apt 升级系统软件,有时升级内核也是必要的,因为内核出现问题同样会给攻击者提供机会Apt 是 Debian GNU Linux 下的一个强大的包管理工具,也可用于其他版本的 Linux.

      2. 账号

      如果系统中的用户比较多,可以编辑 /etc/login.defs,更改密码策略

      删除系统中不必要帐户和组,

      [[email protected] /]# userdel -r username

      如果不开匿名 ftp 则可以把 ftp 账号也删了

      最安全的方式是本地维护,可惜不太现实,但还是需要限制 root 的远程访问,管理员可以用普通账户远程登录,然后 su 到 root,我们可以把使用 su 的用户加到 wheel 组来提高安全性

      在 /etc/pam.d/su 文件的头部加入下面两行:

      auth sufficient /lib/security/pam_rootok.so debug

      auth required /lib/security/pam_wheel.so group=wheel

      然后把可以执行 su 的用户放入 wheel 组

      [[email protected] /]# usermod -G10 admin

      编辑 /etc/securetty,注释掉所有允许 root 远程登录的控制台,然后禁止使用所有的控制台程序,[[email protected] /]# rm -f /etc/security/console.apps/servicename

      登录采用加密的 ssh,如果管理员只从固定的终端登陆,还应限制合法 ssh 客户端的范围防止嗅探及中间人攻击

      将命令历史纪录归为零,尽可能的隐藏你做过的事情

      [[email protected] /]# unset HISTFILESIZE

      3. 服务

      最少服务原则,凡是不需要的服务一律注释掉

      在 /etc/inetd.conf 中不需要的服务前加 "#",较高版本中已经没有 inetd 而换成了 Xinetd;取消开机自动运行服务,把 /etc/rc.d/rc3.d 下不需要运行的服务第一个字母大写改称小写,或者由 setup 命令启动的 GUI 界面中的 service 更改

      如果你希望简单一点,可以使用 /etc/host.allow,/etc/host.deny 这两个文件,但是本文计划用 iptables 防火墙,所以不在此详述.

      4. 文件系统权限

      找出系统中所有含 "s" 位的程序,把不必要得 "s" 位去掉,或者把根本不用的直接删除

      [[email protected] /]# find / -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {}

      [[email protected] /]# chmod a-s filename

      防止用户滥用及提升权限的可能性

      把重要文件加上不可改变属性

      [[email protected] /]# chattr +i /etc/passwd

      [[email protected] /]# chattr +i /etc/shadow

      [[email protected] /]# chattr +i /etc/gshadow

      [[email protected] /]# chattr +i /etc/group

      [[email protected] /]# chattr +i /etc/inetd.conf

      [[email protected] /]# chattr +i /etc/httpd.conf

      ...............................

      具体视需要而定,我怀疑现在的入侵者都知道这个命令,有些 exploit 溢出后往 inetd.conf 写一条语句绑定 shell 在一个端口监听,此时这条命令就起了作用,浅薄的入侵者会以为溢出不成功.

      找出系统中没有属主的文件:

      [[email protected] /]# find / -nouser -o -nogroup

      找出任何人都有写权限的文件和目录:

      [[email protected] /]# find / -type f ( -perm -2 -o -perm -20 ) -exec ls -lg {}

      [[email protected] /]# find / -type d ( -perm -2 -o -perm -20 ) -exec ls -ldg {}

      防止入侵者向其中写入木马语句(诸如一个shell的拷贝)或继承属主权限而非法访问

      找出并加固那些历来被入侵者利用的文件,比如 .rhosts

      编辑 /etc/security/limits.conf,加入或改变如下行:

      * hard core 0

      * hard rss 5000

      * hard nproc 20

      5. Banner 伪装

      入侵者通常通过操作系统,服务及应用程序版本来攻击,漏洞列表和攻击程序也是按此来分类,所以我们有必要作点手脚来加大入侵的难度

      更改 /etc/issue,因为 reboot 后重新加载,所以编辑 /ect/rc.d/rc.local

      # This will overwrite /etc/issue at every boot. So, make any changes you

      # want to make to /etc/issue here or you will lose them when you reboot.

      #echo "" > /etc/issue

      #echo "$R" >> /etc/issue

      #echo "Kernel $(uname -r) on $a $(uname -m)" >> /etc/issue

      #

      #cp -f /etc/issue /etc/issue.net

      #echo >> /etc/issue

      把以上行前的 "#" 去掉

      Apache 不回显版本:

      apache 的配置文件,找到 ServerTokens 和 ServerSignature 两个 directive,修改默认属性:

      #ServerTokens Full

      ServerTokens Prod <----------

      #ServerSignature On

      ServerSignature Off <----------

      修改 uname

      拿出 uname.c 的源码,找到如下行

      print_element (PRINT_SYSNAME, name.sysname);//操作系统名如 linux

      print_element (PRINT_NODENAME, name.nodename);//主机名

      print_element (PRINT_RELEASE, name.release);//发行版本,如:2.4.20-18

      print_element (PRINT_VERSION, name.version);//

      print_element (PRINT_MACHINE, name.machine);//机器类型,如i686

      print_element (PRINT_PROCESSOR, processor);//处理器类型

      可以修改为

      print_element (PRINT_SYSNAME,"HP-UX");

      .......

      编译后替换 /bin/uname

      其他服务及程序的修改可以查看其配置文件或者源码不要改太多,否则会给系统管理带来大麻烦。

      6. Iptales 防火墙规则

      假设我们的服务器 server1 运行 apache,sshd (sshd 可以不运行在标准端口,配置文件中能修改)eth0 网卡接 Internet,eth1 连接 LAN,管理员在家中拨号登陆到 server2 (其私用网络 IP 为 192.168.0.12),再登陆 server1[[email protected] root]# iptables -A INPUT -i eth1 -s 192.168.0.12 -p tcp --dport 22 -j ACCEPT为防止 IP spoofing 的可能,还可以绑定 server2 的网卡地址:sh-2.05b# iptables -A INPUT -i eth1 -s 192.168.0.12 --mac-source 01:68:4B:91:CC:B7 -p tcp --dport 22 -j ACCEPT不过好像也很少有入侵者能够做到这种地步,而且没什么利用的价值

      [[email protected] root]# iptables -A INPUT -i eth0 -p tcp --dport 80 -j ACCEPT

      [[email protected] root]# iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

      [[email protected] root]# iptables -A INPUT -j DROP

      对攻击有所了解的人都知道“端口重定向+反向管道”的美妙结合来穿越防火墙的例子吧这种技巧已经运用太广,而危害很大为了对抗这种难以防御的攻击,我们必须以牺牲一定的易用性为代价 [[email protected] root]# iptables -A OUTPUT -o eth0 -p tcp --syn -j DROP以上规则将阻止由内而外的 TCP 主动连接另外,用 tftp 或其他客户端反向攫取文件的攻击行为也很普遍,由于 tftp 以及其他一些工具依赖 UDP,所以现在要把它彻底抹煞掉[[email protected] root]# iptables -A OUTPUT -o eth0 -p udp -j DROPPS: 在更新系统和调试网络时需要把这两条规则临时去掉因为入侵的本质就是通过文本或图形界面在标准或非标准端口得到目标操作系统的 shell,所以,这不仅能阻止反向管道本身,还能免疫很多入侵技巧不过对一般的系统管理员而言,这太苛刻了!

      iptables 的一些攻击对策

      Syn-flood protection:

      [[email protected] foo]# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

      Furtive port scanner:

      [[email protected] foo]# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

      Ping of death:

      [[email protected] foo]# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

      此外,iptables 还能配置出让一些扫描行为比如 nmap 失效的规则,应当注意:防火墙不是万能的,当一个攻击者足够疯狂时,不要指望你的防火墙能抵挡得住 DDoS 的洪水。

    推荐内容
  • 免费一尾中特
  • 马上背!十九大报告中的四个“新” 2019-10-04
  • 三日内8省区调整省级政府副职 4省常务副省长变动 2019-10-04
  • 湖南:专题研究“互联网+政务服务”和政务公开工作 2019-10-01
  • 大同市纪委监委通报5起违反中央八项规定精神问题典型案例 2019-10-01
  • 互联网基金违规销售乱象:巧立名目送红包、送份额 2019-09-30
  • 夏天喝饮料越喝越渴吗 三款饮料不利于健康-美食资讯 2019-09-30
  • 北欧的千湖之国被选为2018全球最幸福国家 2019-09-27
  • 车俊会见毛里求斯代总统 2019-09-27
  • 你不看文章的内容吗? 2019-09-14
  • 回复@“老笑头”,你的这种逻辑是你当年生sj病住院时向你同室的“病友”学来的吧!哈哈哈哈! 2019-09-05
  • 江西吉安永丰县:芒种农忙(图) 2019-09-01
  • 2018 E3:女主持人展位探访 被吓的花容失色 2019-08-27
  • 习近平为诊治“长江病”把脉开方 2019-08-27
  • 公共图书馆如何更有效地服务读者 2019-08-26
  • 让全民“动”起来 网友:健身配套设施不能少 2019-08-11
  • 安卓软件培训 最好用的手机pk10软件 重庆时时彩APP安卓系统 澳门玩双骰子 棋牌娱乐下载 49个码复式二中二多少组 21点是几点 竞彩骗局 时时彩后一100稳赚 制作app用什么软件