時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
關(guān)于分區(qū)
一個(gè)潛在的黑客如果要攻擊你的Linux服務(wù)器，他首先就會(huì)嘗試緩沖區(qū)溢出。在過去的幾年中，以緩沖區(qū)溢出為類型的安全漏洞是最為常見的一種形式了。更為嚴(yán)重的是，緩沖區(qū)溢出漏洞占了遠(yuǎn)程網(wǎng)絡(luò)攻擊的絕大多數(shù)，這種攻擊可以輕易使得一個(gè)匿名的Internet用戶有機(jī)會(huì)獲得一臺(tái)主機(jī)的部分或全部的控制權(quán)！
為了防止此類攻擊，我們從安裝系統(tǒng)時(shí)就應(yīng)該注意。如果用root分區(qū)紀(jì)錄數(shù)據(jù)，如log文件和email，就可能因?yàn)榫芙^服務(wù)產(chǎn)生大量日志或垃圾郵件，從而導(dǎo)致系統(tǒng)崩潰。所以建議為/var開辟單獨(dú)的分區(qū)，用來存放日志和郵件，以避免root分區(qū)被溢出。最好為特殊的應(yīng)用程序單獨(dú)開一個(gè)分區(qū)，特別是可以產(chǎn)生大量日志的程序，還有建議為/home單獨(dú)分一個(gè)區(qū)，這樣他們就不能填滿/分區(qū)了，從而就避免了部分針對(duì)Linux分區(qū)溢出的惡意攻擊。
關(guān)于BIOS
記著要在BIOS設(shè)置中設(shè)定一個(gè)BIOS密碼，不接收軟盤啟動(dòng)。這樣可以阻止不懷好意的人用專門的啟動(dòng)盤啟動(dòng)你的Linux系統(tǒng)，并避免別人更改BIOS設(shè)置，如更改軟盤啟動(dòng)設(shè)置或不彈出密碼框直接啟動(dòng)服務(wù)器等等。
關(guān)于口令
口令是系統(tǒng)中認(rèn)證用戶的主要手段，系統(tǒng)安裝時(shí)默認(rèn)的口令最小長(zhǎng)度通常為5，但為保證口令不易被猜測(cè)攻擊，可增加口令的最小長(zhǎng)度，至少等于8。為此，需修改文件/etc/login.defs中參數(shù)PASS_MIN_LEN（口令最小長(zhǎng)度）。同時(shí)應(yīng)限制口令使用時(shí)間，保證定期更換口令，建議修改參數(shù)PASS_MIN_DAYS（口令使用時(shí)間）。
關(guān)于Ping
既然沒有人能ping通你的機(jī)器并收到響應(yīng)，你可以大大增強(qiáng)你的站點(diǎn)的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次啟動(dòng)后自動(dòng)運(yùn)行，這樣就可以阻止你的系統(tǒng)響應(yīng)任何從外部/內(nèi)部來的ping請(qǐng)求。
echo 1 》 /proc/sys/net/ipv4/icmp_echo_ignore_all
關(guān)于Telnet
如果你希望用戶用Telnet遠(yuǎn)程登錄到你的服務(wù)器時(shí)不要顯示操作系統(tǒng)和版本信息（可以避免有針對(duì)性的漏洞攻擊），你應(yīng)該改寫/etc/inetd.conf中的一行象下面這樣：
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h
加-h標(biāo)志在最后使得telnet后臺(tái)不要顯示系統(tǒng)信息，而僅僅顯示login。
關(guān)于特權(quán)賬號(hào)
禁止所有默認(rèn)的被操作系統(tǒng)本身啟動(dòng)的且不需要的帳號(hào)，當(dāng)你第一次裝上系統(tǒng)時(shí)就應(yīng)該做此檢查，Linux提供了各種帳號(hào)，你可能不需要，如果你不需要這個(gè)帳號(hào)，就移走它，你有的帳號(hào)越多，就越容易受到攻擊。
為刪除你系統(tǒng)上的用戶，用下面的命令：userdel username
為刪除你系統(tǒng)上的組用戶帳號(hào)，用下面的命令：groupdel username
在終端上打入下面的命令刪掉下面的特權(quán)用賬號(hào)：
userdel adm
userdel lp
userdel sync
userdel shutdown
userdel halt
userdel mail
如果你不用sendmail服務(wù)器，就刪除這幾個(gè)帳號(hào)：
userdel news
userdel uucp
userdel operator
userdel games
如果你不用X windows 服務(wù)器，就刪掉這個(gè)帳號(hào)。
userdel gopher
如果你不允許匿名FTP，就刪掉這個(gè)用戶帳號(hào)：
userdel ftp
關(guān)于su命令
如果你不想任何人能夠su為root的話，你應(yīng)該編輯/etc/pam.d/su文件，加下面幾行：
auth sufficient /lib-
http://security.chinaitlab.com/pam_rootok-
.so debug
auth required /lib-
http://security.chinaitlab.com/pam_wheel-
.so group=isd
這意味著僅僅isd組的用戶可以su作為root。如果你希望用戶admin能su作為root.就運(yùn)行下面的命令：
usermod -G10 admin
suid程序也是非常危險(xiǎn)的，這些程序被普通用戶以euid=0（即root）的身份執(zhí)行，只能有少量程序被設(shè)置為suid。用這個(gè)命令列出系統(tǒng)的suid二進(jìn)制程序：
suneagle# find / -perm -4000 -print
你可以用chmod -s去掉一些不需要程序的suid位。
關(guān)于賬戶注銷
如果系統(tǒng)管理員在離開系統(tǒng)時(shí)忘了從root注銷，系統(tǒng)應(yīng)該能夠自動(dòng)從shell中注銷。那么，你就需要設(shè)置一個(gè)特殊的 Linux 變量"tmout"，用以設(shè)定時(shí)間。 同樣，如果用戶離開機(jī)器時(shí)忘記了注銷賬戶，則可能給系統(tǒng)安全帶來隱患。你可以修改/etc/profile文件，保證賬戶在一段時(shí)間沒有操作后，自動(dòng)從系統(tǒng)注銷。 編輯文件/etc/profile，在"histfilesize="行的下一行增加如下一行：
tmout=600
則所有用戶將在10分鐘無操作后自動(dòng)注銷。注意：修改了該參數(shù)后，必須退出并重新登錄root，更改才能生效。
關(guān)于系統(tǒng)文件
對(duì)于系統(tǒng)中的某些關(guān)鍵性文件如passwd、passwd.old、passwd._、shadow、shadown._、inetd.conf、services和lilo.conf等可修改其屬性，防止意外修改和被普通用戶查看。 如將inetd文件屬性改為600：
# chmod 600 /etc/inetd.conf
這樣就保證文件的屬主為root，然后還可以將其設(shè)置為不能改變：
# chattr +i /etc/inetd.conf
這樣，對(duì)該文件的任何改變都將被禁止。 你可能要問：那我自己不是也不能修改了？當(dāng)然，我們可以設(shè)置成只有root重新設(shè)置復(fù)位標(biāo)志后才能進(jìn)行修改：
# chattr -i /etc/inetd.conf
關(guān)于用戶資源
對(duì)你的系統(tǒng)上所有的用戶設(shè)置資源限制可以防止DoS類型攻擊，如最大進(jìn)程數(shù)，內(nèi)存數(shù)量等。例如，對(duì)所有用戶的限制， 編輯/etchttp://security.chinaitlab.com/limits.con加入以下幾行：
* hard core 0
* hard rss 5000
* hard nproc 20
你也必須編輯/etc/pam.d/login文件，檢查這一行的存在：
session required /libhttp://security.chinaitlab.com/pam_limits.so
上面的命令禁止core files"core 0"，限制進(jìn)程數(shù)為"nproc 50"，且限制內(nèi)存使用為5M"rss 5000"。
關(guān)于NFS服務(wù)器
由于NFS服務(wù)器漏洞比較多，你一定要小心。如果要使用NFS網(wǎng)絡(luò)文件系統(tǒng)服務(wù)，那么確保你的/etc/exports具有最嚴(yán)格的存取權(quán)限設(shè)置，不意味著不要使用任何通配符，不允許root寫權(quán)限，mount成只讀文件系統(tǒng)。你可以編輯文件/etc/exports并且加：
/dir/to/export host1.mydomain.com（ro，root_squash）
/dir/to/export host2.mydomain.com（ro，root_squash）
其中/dir/to/export 是你想輸出的目錄，host.mydomain.com是登錄這個(gè)目錄的機(jī)器名，ro意味著mount成只讀系統(tǒng)，root_squash禁止root寫入該目錄。最后為了讓上面的改變生效，還要運(yùn)行/usr/sbin/exportfs -a
關(guān)鍵詞標(biāo)簽：Linux,網(wǎng)絡(luò)安全
相關(guān)閱讀
熱門文章
安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程
Tomcat9.0如何安裝_Tomcat9.0環(huán)境變量配置方法
多種操作系統(tǒng)NTP客戶端配置
Linux操作系統(tǒng)修改IP
人氣排行 Linux下獲取CPUID、硬盤序列號(hào)與MAC地址 dmidecode命令查看內(nèi)存型號(hào) linux tc實(shí)現(xiàn)ip流量限制 安裝紅帽子RedHat Linux9.0操作系統(tǒng)教程 linux下解壓rar文件 lcx.exe、nc.exe、sc.exe入侵中的使用方法 Ubuntu linux 關(guān)機(jī)、重啟、注銷 命令 查看linux服務(wù)器硬盤IO讀寫負(fù)載