linux系統(tǒng)管理員安全指南-在線瀏覽
2024-09-16 16:55本頁(yè)面
【正文】 的信息 ,必須首先知道如何用 passwd_esc 計(jì)數(shù) ,計(jì)數(shù)的方法是： .=0/=1 09=211 AZ=1237 az=3863 系統(tǒng)管理員必須將前兩個(gè)字符放進(jìn) /etc/passwd 文件 ,以要求用戶定期的修改口令 ,另外兩個(gè)字符當(dāng)用戶修改口令時(shí) ,由 passwd 命令填入 .注意：若想讓用戶修改口令 ,可在最后一次口令被修改時(shí) ,放兩個(gè) .,則下一次用戶登錄時(shí)將被要求修改自己的口令 .有兩種特殊情況： .最大周數(shù) (第一個(gè)字符 )小于最小周 數(shù) (第二個(gè)字符 ),則不允許用戶修改口令 ,僅超級(jí)用戶可以修改用戶的口令 ..第一個(gè)字符和第二個(gè)字符都是 .,這時(shí)用戶下次登錄時(shí)被要求修改口令 ,修改口令后 ,passwd 命令將 .刪除 ,此后再不會(huì)要求用戶修改口令 .(2)UID 和 GID/etc/passwd 中 UID 信息很重要 ,系統(tǒng)使用 UID 而不是登錄名區(qū)別用戶 .一般來(lái)說(shuō) ,用戶的 UID 應(yīng)當(dāng)是獨(dú)一無(wú)二的 ,其他用戶不應(yīng)當(dāng)有相同的 UID 數(shù)值 .根據(jù)慣例 ,從 0 到 99 的 UID 保留用作系統(tǒng)用戶的UID(root,bin,uucp 等 ).如果在 /etc/passwd 文件中有兩個(gè)不同 的入口項(xiàng)有相同的 UID,則這兩個(gè)用戶對(duì)相互的文件具有相同的存取權(quán)限 .6./etc/group 文件/etc/group 文件含有關(guān)于小組的信息 ,/etc/passwd 中的每個(gè) GID 在本文件中應(yīng)當(dāng)有相應(yīng)的入口項(xiàng) ,入口項(xiàng)中列出了小組名和小組中的用戶 .這樣可方便地了解每個(gè)小組的用戶 ,否則必須根據(jù) GID在 /etc/passwd 文件中從頭至尾地尋找同組用戶 ./etc/group 文件對(duì)小組的許可權(quán)限的控制并不是必要的 ,因?yàn)橄到y(tǒng)用UID,GID(取自 /etc/passwd)決定文件存取權(quán)限 ,即使 /etc/group 文件不存在 于系統(tǒng)中 ,具有相同的 GID 用戶也可以小組的存取許可權(quán)限共享文件 .小組就像登錄用戶一樣可以有口令 .如果 /etc/group 文件入口項(xiàng)的第二個(gè)域?yàn)榉强?,則將被認(rèn)為是加密口令 ,newgrp 命令將要求用戶給出口令 ,然后將口令加密 ,再與該域的加密口令比較 .給小組建立口令一般不是個(gè)好作法 .第一 ,如果小組內(nèi)共享文件 ,若有某人猜著小組口令 ,則該組的所有用戶的文件就可能泄漏；其次 ,管理小組口令很費(fèi)事 ,因?yàn)閷?duì)于小組沒(méi)有類似的 passwd 命令 .可用 /usr/lib/makekey 生成一個(gè)口令寫入 /etc/ 建立新組： (1)可能要增加新用戶 ,該用戶不屬于任何一個(gè)現(xiàn)有的小組 .(2)有的用戶可能時(shí)常需要獨(dú)自為一個(gè)小組 .(3)有的用戶可能有一個(gè) SGID 程序 ,需要獨(dú)自為一個(gè)小組 .(4)有時(shí)可能要安裝運(yùn)行SGID 的軟件系統(tǒng) ,該軟件系統(tǒng)需要建立一個(gè)新組 .要增加一個(gè)新組 ,必須編輯該文件 ,為新組加一個(gè)入口項(xiàng) .由于用戶登錄時(shí) ,系統(tǒng)從 /etc/passwd 文件中取 GID,而不是從 /etc/group 中取 GID,所以 group 文件和口令文件應(yīng)當(dāng)具有一致性 .對(duì)于一個(gè)用戶的小組 ,UID 和 GID 應(yīng)當(dāng)是相同的 .多用戶小組的 GID應(yīng)當(dāng)不同于任何用戶的 UID,一般為 5 位數(shù) ,這樣在查看 /etc/passwd 文件時(shí) ,就可根據(jù) 5 位數(shù)據(jù)的 GID 識(shí)別多用戶小組 ,這將減少增加新組 ,新用戶時(shí)可能產(chǎn)生的混淆 . ,刪除 ,移走用戶 (1)增加用戶增加用戶有三個(gè)過(guò)程： .在 /etc/passwd 文件中寫入新用戶的入口項(xiàng) ..為新登錄用戶建立一個(gè) HOME 目錄 ..在 /etc/group 中為新用戶增加一個(gè)入口項(xiàng) .在 /etc/passwd 文件中寫入新的入口項(xiàng)時(shí) ,口令部分可先設(shè)置為 NOLOGIN,以免有人做為此新用戶登錄 .在修改文件前 ,應(yīng) mkdir/etc/ptmp,以免他人同 時(shí)修改此文件 .新用戶一般獨(dú)立為一個(gè)新組 ,GID 號(hào)與 UID號(hào)相同 (除非他要加入目前已存在的一個(gè)新組 ),UID 號(hào)必須和其他人不同 ,HOME 目錄一般設(shè)置在 /usr 或 /home 目錄下建立一個(gè)以用戶登錄名為名稱的目錄做為其主目錄 .(2)刪除用戶刪除用戶與加用戶的工作正好相反 ,首先在 /etc/passwd 和 /etc/group文件中刪除用戶的入口項(xiàng) ,然后刪除用戶的 HOME 目錄和所有文件 .rmr/usr/loginname 刪除整個(gè)目錄樹 .如果用戶在 /usr/spool/cron/crontabs 中有crontab 文件 ,也應(yīng)當(dāng)刪除 .(3)將用戶移到另一個(gè)系統(tǒng)這是一個(gè)復(fù)雜的問(wèn)題 ,不只是拷貝用戶的文件和用戶在 /etc/passwd 文件中的入口項(xiàng) .首先一個(gè)問(wèn)題是用戶的 UID 和 GID 可能已經(jīng)用于另一個(gè)系統(tǒng) ,若是出現(xiàn)這種情況 ,必須給要移的用戶分配另外的 UID 和 GID,如果改變了用戶的 UID 和 GID,則必須搜索該用戶的全部文件 ,將文件的原 UID 和 GID改成新的 UID和 find 命令可以完成這一修改： olduidexec chown newuid{}\； oldgidexec chgrp newgid{}\；也許還要為用戶移走其它一些文件： /usr/mail/user 和/usr/spool/cron/crontabs/來(lái) ,則應(yīng)對(duì)該用戶的目錄結(jié)構(gòu)運(yùn)行程序來(lái)檢查 .一個(gè)不安全系統(tǒng)的用戶 ,可能有與該用戶其它文件存在一起的 SUID/SGID 程序 ,而這個(gè) SUID/SGID 程序?qū)儆诹硪粋€(gè)用戶 .在這種情況下 ,如果用 cpio 或 tar命令將用戶的目錄結(jié)構(gòu)拷貝到本系統(tǒng) ,SUID/SGID 程序也將會(huì)拷貝到本系統(tǒng)而沒(méi)有任何警告信息 .應(yīng)當(dāng)在允許用戶使用新系統(tǒng)以前先 刪除這種文件的 SUID/SGID 許可 .總之 ,始終堅(jiān)持檢查所移用戶的文件總是更安全些 .也可以用 su 命令進(jìn)入用戶的戶頭 ,再拷貝用戶文件 ,這樣文件的所有者就是該用戶 ,而不是 find 和 secure 這樣的程序稱為檢查程序 ,它們搜索文件系統(tǒng) ,尋找出 SUID/SGID 文件 ,設(shè)備文件 ,任何人可寫的系統(tǒng)文件 ,設(shè)有口令的登錄用戶 ,具有相同 UID/GID 的用戶等等 .(1)記帳 UNIX 記帳軟件包可用作安全檢查工具 ,除最后登錄時(shí)間的記錄外 ,記帳系統(tǒng)還能保存全天運(yùn)行的所有進(jìn)程的完整記錄 ,對(duì)于一個(gè)進(jìn)程所存貯的信息 包括 UID,命令名 ,進(jìn)程開始執(zhí)行與結(jié)束的時(shí)間 ,CPU 時(shí)間和實(shí)際消耗的時(shí)間 ,該進(jìn)程是否是root 進(jìn)程 ,這將有助于系統(tǒng)管理員了解系統(tǒng)中的用戶在干什么 .acct 命令可以列出一天的帳目表 .有明 ,系統(tǒng)中有多個(gè)記帳數(shù)據(jù)文件 ,記帳信息保存在文件/usr/adm/pacct*中 ,/usr/adm/pacct 是當(dāng)前記錄文件 ,/usr/adm/pacctn 是以前的記帳文件 (n 為整型數(shù) ).若有若干個(gè)記帳文件要查看 ,可在 acct 命令中指定文件名： acct/usr/adm/pacct?/usr/adm/pacct 要 檢查的問(wèn)題的其中之一是：在 acct 的輸出中查找一個(gè)用戶過(guò)多的登錄過(guò)程 ,若有 ,則說(shuō)明可能有人一遍遍地嘗試登錄 ,猜測(cè)口令 ,企圖非法進(jìn)入系統(tǒng) .此外 ,還應(yīng)查看 root 進(jìn)程 ,除了系統(tǒng)管理員用 su 命令從終端進(jìn)入 root,系
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1