linux系統(tǒng)管理員安全指南(編輯修改稿)
2024-08-26 16:55 本頁面
【文章內(nèi)容簡介】 些程序并不總是具有 SUID 許可 ,因為其不少程序僅由 root 運行 ,系統(tǒng)管理員需要清楚這些程序做什么 ,以及這些程序還將運行其它什么程序 .(1)啟動系統(tǒng)當(dāng)某些 UNIX 系統(tǒng) (如 SCO UNIX/XENIX)啟動時 ,是以被稱為單用戶的方式運行 ,在這種方式中普通用戶不能登錄 ,唯有的進(jìn)程是init,swapper,以及一些由系統(tǒng)管理員從控制臺運行的進(jìn)程 .UNIX 系統(tǒng)的單用戶方式啟動 ,使系統(tǒng)管理員能在允許普通用戶登錄以前 ,先檢查系統(tǒng)操作 ,確保系統(tǒng)一切正常 ,當(dāng)系統(tǒng)處于單用戶方式時 ,控制臺作為超級用戶 ,命令揭示是 ,有些UNIX 系統(tǒng)不要確認(rèn)超級用戶 口令就認(rèn)可控制臺是 root,給出 提示符 .這就可能成為一個安全問題 .(2)init 進(jìn)程 UNIX 系統(tǒng)總是以某種方式或稱為某種級運行 ,系統(tǒng)有若干種運行級 ,這些運行級由 init 進(jìn)程控制 .UNIX 系統(tǒng)啟動時以單用戶方式運行 ,也叫 1級或 S級 .對于其他用戶登錄進(jìn)入系統(tǒng) ,UNIX 有一種多用戶運行方式 ,也叫 2級 .init 進(jìn)程控制系統(tǒng)運行級 ,它讀入文件 /etc/inittab,該文件詳細(xì)地規(guī)定了哪些進(jìn)程在哪一級運行 .當(dāng) root 敲入 init n(數(shù)字 ),系統(tǒng)就進(jìn)入 n級 .init 讀該文件以確定終止哪些進(jìn)程 ,啟動哪些進(jìn)程 .有效的運 行級的數(shù)值是從 0 到 6 與 ：由 init 建立的進(jìn)程以 UID 為 0運行 (root)從/etc/inittab 運行的程序也作為 root 運行 ,所以系統(tǒng)管理員要確保自己知道/etc/inittab 中的程序做什么工作 ,確保這些程序以及這些程序所在的目錄直到 /和 /etc/inittab 除 root 外無人可寫 .(3)進(jìn)入多用戶當(dāng) UNIX 系統(tǒng)進(jìn)入多用戶方式時 ,將寢化一系列事件 ,接著開始執(zhí)行 gettys,允許其他用戶登錄進(jìn)入系統(tǒng) .如果再看看 /etc/inittab 文件 ,會看到 gettys 定義在運行級 2,至少三個shell 程序 /etc/brc,/etc/bcheckrc,/etc/rc*也定義在運行級 gettys 啟動前運行 .這些 shell 程序作為 root 運行 ,也不能僅對 root 可寫還應(yīng)當(dāng)檢查 shell 程序運行的命令 ,因為這些命令也將作為 root 運行 .(4)shutdown命令用 shutdown 命令關(guān)系統(tǒng) ,shutdown shell 程序發(fā)送警告通知所有用戶離開系統(tǒng) ,在 給定的期限時間 到了后 ,就終止進(jìn)程 ,拆卸文件系統(tǒng) ,進(jìn)入單用戶方式或關(guān)機(jī)狀態(tài) .一旦進(jìn)入單用戶方式 ,所有的 gettys 停止運行 ,用戶再不能登錄 .進(jìn)入關(guān)機(jī) 狀態(tài)后可將系統(tǒng)關(guān)電 .shutdown 僅能由作為 root 登錄的用戶從系統(tǒng)控制臺上運行 .所以任何的 shutdown 運行的命令僅能對 r oot 可寫 .(5)系統(tǒng) V 的cron 程序 cron 在 UNIX 系統(tǒng)是多用戶方式時運行 ,根據(jù)規(guī)定的時間安排執(zhí)行指定的命令 ,每隔一分鐘檢查一次文件 /usr/lib/crontab,尋找是否有應(yīng)當(dāng)運行的程序 ?如果找到要運行的程序 ,就運行該程序 ,否則睡眠等待一分鐘 .實際的/usr/lib/crontab 用于根據(jù)全天的規(guī)則時間表運行程序 ,也可在夜晚運行白天不愿運行怕降低其他用戶速度的程序 .通常由 cron 運行的程序是如記帳 ,存文件這樣的程序 .cron 一般在系統(tǒng)進(jìn)入多用戶后由 /etc/rc 啟動 ,當(dāng) shutdown 運行killall 命令時便終止運行 .由 cron 運行的程序作為 root,所以應(yīng)當(dāng)注意放什么程序在 crontab 中 ,還要確保 /usr/lib/crontab 和該表中列出的任何程序?qū)θ魏稳瞬豢蓪?.如果用戶需要由 cron 執(zhí)行一個程序 ,系統(tǒng)管理員可用 su 命令在crontab 表中建立一個入口 ,使用戶的程序不能獲得 root 的權(quán)限 .(6)系統(tǒng) V版本 2 之后的 cron 程序在系統(tǒng) V版本 2中 ,cron 被修改成允許用戶 建立自己的crontab 入口 ,/usr/lib/crontab 文件不再存在 ,由目錄/usr/spool/cron/crontabs 中的文件代替 .這些文件的格式與 crontab 相同 ,但每個文件與系統(tǒng)中的一個用戶對應(yīng) ,并以某用戶的名義由 cron 運行 .如果想限制能建立 crontab 的用戶 ,可在文件 /usr/lib/cron/ 文件中列出允許運行 crontab 命令的用戶 .任何未列于該文件的用戶不能運行 ,若更愿意列出不允許運行 crontab 命令的用戶 ,則可將他們列入/usr/lib/cron/ 文件中 ,未列于該文件的其他用戶將被允許建立：若兩個文件都存在 ,系統(tǒng)將使用 ,忽略 果兩個文件都不存在 ,則只有 root 可運行 ,若要允許系統(tǒng)中的所有用戶都可運行 crontab 命令 ,應(yīng)當(dāng)建立一個空的 文件 ,如果 也存在 ,則刪除該文件 .這個版本的 cron 命令的安全程度比前一個高 ,因為用戶只能看自己的 crontab,系統(tǒng)管理員也不必?fù)?dān)心其他用戶的程序是否會作為 root 運行 ,由 于允許每個系統(tǒng)登錄用戶有自己的 crontab,也簡化了對程序必須由 cron 運行 ,但不必作為 root 運行的系統(tǒng)程序的處理 .必須確保 root的 crontab 文件僅對 root 可寫 ,并且該文件所在的目錄及所有的父目錄也僅對root 可寫 .(7)/etc/profile 每當(dāng)用戶 (包括 root 在內(nèi) )登錄時 ,由 shell 執(zhí)行/etc/profile 文件 ,應(yīng)確保這個文件以及從這個文件運行的程序和命令都僅對root 可寫 .5./etc/passwd 文件 /etc/passwd 文件是 UNIX 安全的關(guān)鍵文件之一 .該文件用于用戶登錄時校 驗用戶的口令 ,當(dāng)然應(yīng)當(dāng)僅對 root 可寫 .文件中每行的一般格式為： LOGNAME： PASSWORD： UID： GID： USERINFO： HOME： SHELL 每行的頭兩項是登錄名和加密后的口令 ,后面的兩個數(shù)是 UID 和 GID,接著的一項是系統(tǒng)管理員想寫入的有關(guān)該用戶的任何信息 ,最后兩項是兩個路徑名：一個是分配給用戶的 HOME 目錄 ,第二個是用戶登錄后將執(zhí)行的 shell(若為空格則缺省為/bin/sh).(1)口令時效 /etc/passwd 文件的格式使系統(tǒng)管理員能要求用戶定期地改變他們的口令 .在口令文件中可以看到 ,有些 加密后的口令有逗號 ,逗號后有幾個字符和一個冒號 .如： steve： xyDfccTrt180x,： 0： 0： admin： /：/bin/sh restrict： pomJk109Jky41,.1： 0： 0： admin： /： /bin/sh pat：xmotTVoyumjls： 0： 0： admin： /： /bin/sh 可以看到 ,steve 的口令逗號后有 4個字符 ,restrict 有 2 個 ,pat 沒有逗號 .逗號后第一個字符是口令有效期的最大周數(shù) ,第二個字符決定了用戶再次修改口信之前 ,原口令應(yīng)使用的最小周數(shù) (這就防止了用戶改了 新口令后立刻又改回成老口令 ).其余字符表明口令最新修改時間 .要能讀懂口令中逗號后
公司管理相關(guān)推薦
鄂ICP備17016276號-1