系統安全及應用（命令）

目錄

一、賬號安全控制

1.1?系統賬號清理

1.2 密碼安全控制

1.3 歷史記錄控制

1.4 終端自動注銷

二、系統引導和登陸控制

2.1?限制su命令用戶

2.2?PAM安全認證

示例一：通過pam 模塊來防止暴力破解ssh

2.3?sudo機制提升權限

2.3.1 sudo命令（root授權其他用戶的命令權限）

2.3.2 配置sudo授權

示例一：基礎的普通用戶的用戶創建

示例二：普通用戶的建立網卡

示例三：alias用戶別名***

示例四：啟用sudo操作日志

2.4 開關機安全控制

2.4.1?調整BIOS引導設置

2.4.2?GRUB限制

方法一：

方法二：

2.4.3 終端登陸安全控制

三、弱口令檢測

3.1?John the Ripper

示例一：無字典

示例二：有字典

四、端口掃描——NMAP

4.1?NMAP

4.2 NMAP掃描

示例一

?編輯

一、賬號安全控制

1.1?系統賬號清理

①將非登錄用戶的Shell設為/sbin/nologin

恢復

②鎖定長期不使用的賬號

③刪除無用的賬號

④鎖定賬號文件passwd、shadow

恢復

1.2 密碼安全控制

①設置密碼有效期

  • 新用戶：

第一個：30天之后要修改密碼

第二個：距離上一次修改密碼時間0天之內不可修改

第三個：密碼最小長度不小于5位

第四個：密碼到期前七天會提醒

  • 老用戶：

②要求用戶下次登陸時修改密碼

chage -d 0 用戶名

1.3 歷史記錄控制

①減少記錄的命令條數

在vi? /etc/profile中

②注銷時自動清理歷史命令

1.4 終端自動注銷

二、系統引導和登陸控制

2.1?限制su命令用戶

注意：對這兩行添加注釋，表示是否啟用

第一行：root用戶是否有使用su命令的權限

第五行：wheel組中的用戶是否有使用su命令的權限

（啟用pam_wheel 認證以后，未加入到 wheel 組內的其他用戶將無法使用 su 命令）

例：

2.2?PAM安全認證

  • 定義：Linux-PAM，是linux可插拔認證模塊，是一套可定制、 可動態加載的共享庫，使本地系統管理員可以隨意選擇程序的認證方式
  • 原理：

? ? ? ?①PAM認證一般遵循的順序: Service (服務) --> PAM (配置文件) --> pam_ *.so
? ? ? ?②PAM認證首先要確定哪一項應用服務，然后加載相應的PAM的配置文件(位于/etc/pam.d? ? ? ? ? ? ? ? ? ?下)，最后調用認證模塊(位于/lib64/security/下)進行安全認證
? ? ? ?③用戶訪問服務器的時候，服務器的某一個服務程序把用戶的請求發送到PAM模塊進行認? ? ? ? ? ? ? ? ? ?證。不同的應用程序所對應的PAM模塊也是不同的

注：ls /etc/pam.d：查看某個程序是否支持PAM 認證

第一列代表PAM認證模塊類型

auth：? ? ? ? ? ?對用戶身份進行識別，如提示輸入密碼，判斷是否為root
account:：? ? 對賬號各項屬性進行檢查，如是否允許登錄系統，帳號是否已經過期，是否達到最? ? ? ? ? ? ? ? ? ? ? ? ?大用戶數等
password：? 使用用戶信息來更新數據，如修改用戶密碼。
session：? ? ? 定義登錄前以及退出后所要進行的會話操作管理，如登錄連接信息，用戶數據的打? ? ? ? ? ? ? ? ? ? ? ? ? 開和關閉，掛載文件系統。

第二列代表PAM控制標記

required：表示需要返回一個成功值，如果返回失敗，不會立刻將失敗結果返回，而是繼續進行? ? ? ? ? ? ? ? ? ? ? 同類型的下一驗證，所有此類型的模塊都執行完成后，再返回失敗

requisite：與required類似，但如果此模塊返回失敗，則立刻返回失敗并表示此類型失敗

sufficient：如果此模塊返回成功，則直接向程序返回成功，表示此類成功，如果失敗，也不影響? ? ? ? ? ? ? ? ? ? ? 這類型的返回值

optional:：不進行成功與否的返回，一般不用于驗證，只是顯示信息(通常用于session類型),
include：? ?表示在驗證過程中調用其他的PAM配置文件

比如很多應用通過完整調用/etc/pam.d/system-auth(主要負責用戶登錄系統的認證工作)

來實現認證而不需要重新逐一去寫配置項。

第三列代表PAM模塊

（默認是在/lib64/security/目錄下，如果不在此默認路徑下，要填寫絕對路徑）
同一個模塊，可以出現在不同的模塊類型中，它在不同的類型中所執行的操作都不相同，這是由于每個模塊針對不同的模塊類型編制了不同的執行函數。

第四列代表PAM模塊的參數

這個需要根據所使用的模塊來添加。傳遞給模塊的參數。參數可以有多個，之間用空格分隔開
?

示例圖演示：

用戶1用戶2用戶3用戶4
authrequired模塊1passfailpasspass
authsufficient模塊2passpassfailpass
authrequired模塊3passpasspassfail
結果pass????????failpasspass

示例一：通過pam 模塊來防止暴力破解ssh

auth ?required ?pam_tally2.so ? deny=3 ? ?unlock_time=600 even_deny_root root_unlock_time=1200

說明：嘗試登陸失敗超過3次，普通用戶600秒解鎖，root用戶1200秒解鎖

注解：

  • deny：指定最大幾次認證錯誤，如果超出此錯誤，將執行后面的策略。如鎖定N秒，如果后面沒有其他策略指定時，默認永遠鎖定，除非手動解鎖。
  • lock_time：鎖定多長時間，按秒為單位；
  • unlock_time：指定認證被鎖后，多長時間自動解鎖用戶；
  • even_deny_root root：用戶在認證出錯時，一樣被鎖定
  • root_unlock_time root：用戶在登錄失敗時，鎖定多長時間。該選項一般是配合even_deny_root 一起使用的

失敗三次自動鎖定

[root@fzx?~l# pam tally2 --user=root

Login? ? ? ? ? ? ? ? ? ?Failures? ??Latest ? ? ? ? ??failure? ? ? ? ? ? ? ? ? ? ??From

root? ? ? ? ? ? ? ? ? ? ??6? ? ? ? ? ? ? ?07/01/24 ? ? ? ?18:46:39? ? ? ? ? ? ? ? ? 192.17.20.66? ? ? ? ? ? ?

[root@benet22 ~l# pam tally2 --user=root --reset

Login? ? ? ? ? ? ? ? ? ?Failures? ??Latest? ? ? ? ? ??failure? ? ? ? ? ? ? ? ? ? ? From

root? ? ? ? ? ? ? ? ? ? ??6? ? ? ? ? ? ? ?07/01/24 ? ? ? ?18:46:39? ? ? ? ? ? ? ? ? 192.17.20.66

2.3?sudo機制提升權限

2.3.1 sudo命令（root授權其他用戶的命令權限）

sudo? ? ?[參數選項]? ? ?命令

  • -l：列出用戶在主機上可用的和被禁止的命令；一般配置好/etc/sudoers后，要用這個命令來? ? ? ? ? 查看和測試是不是配置正確的
  • -v：驗證用戶的時間戳；如果用戶運行sudo 后，輸入用戶的密碼后，在短時間內可以不用輸? ? ? ? ? ?入口令來直接進行sudo 操作；用-v 可以跟蹤最新的時間戳；
  • -u：指定以以某個用戶執行特定操作；
  • -k：刪除時間戳，下一個sudo 命令要求用求提供密碼

2.3.2 配置sudo授權

示例一：基礎的普通用戶的用戶創建

操作方法：直接在最后一行添加

注意：在其它用戶用root用戶通過sudo命令給的權限時

命令形式為：sudo 絕對路徑 命令 參數 目標

示例二：普通用戶的建立網卡

示例三：alias用戶別名***

用處：當使用相同授權的用戶較多，或者授權的命令較多時，可以采用集中定義的別名

示例四：啟用sudo操作日志

最后用tail -f 加路徑 進行動態觀察

或者直接

2.4 開關機安全控制

2.4.1?調整BIOS引導設置

  • 將第一引導設備設為當前系統所在硬盤
  • 禁止從其他設備(光盤、U盤、網絡)引導系統
  • 將安全級別設為setup，并設置管理員密碼

2.4.2?GRUB限制

  • 使用grub2-mkpasswd-pbkdf2生成密鑰
  • 修改/etc/grub.d/00 header文件中，添加密碼記錄
  • 生成新的grub.cfg配置文件
方法一：

方法二：

2.4.3 終端登陸安全控制

  • 限制root只在安全終端登錄

? ? ? ?安全終端配置：/etc/securetty

  • 禁止普通用戶登錄

? ? ? ?建立/etc/nologin文件

? ? ? ?刪除nologin文件或重啟后即恢復正常

三、弱口令檢測

3.1?John the Ripper

  • 簡稱為 JR一款密碼分析工具
  • 支持字典式的暴力破解通過對shadow文件的口令分析，可以檢測密碼強度
  • 官方雙站:http://www.openwall.com/john/

示例一：無字典

  • 首先先上傳壓縮包

示例二：有字典

四、端口掃描——NMAP

4.1?NMAP

  • 一款強大的網絡掃描、安全檢測工具
  • 官方網站:http://nmap.org
  • CentOS 7.7光盤中安裝包 nmap-6.40-7.el7.x86 64.rpm

4.2 NMAP掃描

nmap? ? [掃描類型]? ? ?[選項]

  • -p：指定掃描的端口
  • -n：禁用反向 DNS 解析（以加快掃描速度）
  • -sS：TCP的SYN掃描（半開掃描），只向目標發出SYN數據包，如果收到SYN/ACK響應包? ? ? ? ? ? ? 就認為目標端口正在監聽，并立即斷開連接；否則認為目標端口并未開放
  • -sT：TCP連接掃描，這是完整的TCP掃描方式（默認掃描類型），用來建立一個TCP連接，? ? ? ? ? ? 如果成功則認為目標端口正在監聽服務，否則認為目標端口并未開放
  • -sF：TCP的FIN掃描，開放的端口會忽略這種數據包，關閉的端口會回應RST數據包。許多? ? ? ? ? ? ? ?防火墻只對SYN數據包進行簡單過濾，而忽略了其他形式的 TCP 攻擊包。這種類型的? ? ? ? ? ? ?掃描可間接檢測防火墻的健壯性
  • -sU：UDP 掃描，探測目標主機提供哪些 UDP 服務，UDP 掃描的速度會比較慢
  • -sP：ICMP 掃描，類似于 ping 檢測，快速判斷目標主機是否存活，不做其他掃描
  • -P0：跳過ping檢測，這種方式認為所有的目標主機是存活的，當對方不響應ICMP請求時，? ? ? ? ? ? ? 使用這種方式可以避免因無法 ping 通而放棄掃描


nmap -p 139,445 192.168.4.100-200 ?

//檢測 IP 地址位于 192.168.4.100～200 的主機是否開啟文件共享服務

注：

SYN(synchronous建立聯機)?

ACK(acknowledgement 確認)?

PSH(push傳送)?

FIN(finish結束)?

RST(reset重置)?

URG(urgent緊急)

Sequence number(順序號碼)?

Acknowledge number(確認號碼)

端口的取值范圍是：0-65535

示例一

補充：

永久禁PING：vim /etc/sysctl.conf

禁止：net.ipv4.icmp_echo_ignore_all = 1

啟用：net.ipv4.icmp_echo_ignore_all = 0

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/diannao/39036.shtml
繁體地址，請注明出處：http://hk.pswp.cn/diannao/39036.shtml
英文地址，請注明出處：http://en.pswp.cn/diannao/39036.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

Java的日期類常用方法

Java的日期類常用方法

Java_Date 第一代日期類 獲取當前時間 Date date new Date(); System.out.printf("當前時間" date); 格式化時間信息 SimpleDateFormat simpleDateFormat new SimpleDateFormat("yyyy-mm-dd hh:mm:ss E); System.out.printf("格式化后時間" si…
閱讀更多...
【windows|012】光貓、路由器、交換機詳解

【windows|012】光貓、路由器、交換機詳解

🍁博主簡介： 🏅云計算領域優質創作者 🏅2022年CSDN新星計劃python賽道第一名 🏅2022年CSDN原力計劃優質作者 ? 🏅阿里云ACE認證高級工程師 ? 🏅阿里云開發者社區專家博主 💊交流社…
閱讀更多...
windows USB 驅動開發-URB結構

windows USB 驅動開發-URB結構

通用串行總線 (USB) 客戶端驅動程序無法直接與其設備通信。 相反，客戶端驅動程序會創建請求并將其提交到 USB 驅動程序堆棧進行處理。 在每個請求中，客戶端驅動程序提供一個可變長度的數據結構，稱為 USB 請求塊 (URB) ，URB 結構描…
閱讀更多...
ctfshow-web入門-命令執行（web75-web77）

ctfshow-web入門-命令執行（web75-web77）

目錄 1、web75 2、web76 3、web77 1、web75 使用 glob 協議繞過 open_basedir&#xff0c;讀取根目錄下的文件&#xff0c;payload&#xff1a; c?><?php $anew DirectoryIterator("glob:///*"); foreach($a as $f) {echo($f->__toString(). ); } ex…
閱讀更多...
讀書筆記-Java并發編程的藝術-第3章(Java內存模型)-第9節(Java內存模型綜述)

讀書筆記-Java并發編程的藝術-第3章(Java內存模型)-第9節(Java內存模型綜述)

3.9 Java內存模型綜述 前面對Java內存模型的基礎知識和內存模型的具體實現進行了說明。下面對Java內存模型的相關知識做一個總結。 3.9.1 處理器的內存模型 順序一致性內存模型是一個理論參考模型&#xff0c;JMM和處理器內存模型在設計時通常會以順序一致性內存模型為參照。…
閱讀更多...
ORB-SLAM2 安裝編譯運行（非 ROS）

ORB-SLAM2 安裝編譯運行（非 ROS）

安裝編譯 必備安裝工具 主要包括 cmake 、 git 、 gcc 、 g gcc 的全稱是 GNU Compiler Collection&#xff0c;它是由 GNU 推出的一款功能強大的、性能優越的 多平臺編譯器&#xff0c;是一個能夠編譯多種語言的編譯器。最開始 gcc 是作為 C 語言的編譯器&#xff08;GNU …
閱讀更多...
如何將等保2.0的要求融入日常安全運維實踐中？

如何將等保2.0的要求融入日常安全運維實踐中？

等保2.0的基本要求 等保2.0是中國網絡安全領域的基本國策和基本制度&#xff0c;它要求網絡運營商按照網絡安全等級保護制度的要求&#xff0c;履行相關的安全保護義務。等保2.0的實施得到了《中華人民共和國網絡安全法》等法律法規的支持&#xff0c;要求相關行業和單位必須按…
閱讀更多...
C#/WPF 自制白板工具

C#/WPF 自制白板工具

隨著電子屏幕技術的發展&#xff0c;普通的黑板已不再適用現在的教學和演示環境&#xff0c;電子白板應運而生。本篇使用WPF開發了一個電子白板工具&#xff0c;功能豐富&#xff0c;非常使用日常免費使用&#xff0c;或者進行再次開發。 示例代碼如下&#xff1a; Stack<St…
閱讀更多...
拓撲排序[講課留檔]

拓撲排序[講課留檔]

拓撲排序 拓撲排序要解決的問題是給一個有向無環圖的所有節點排序。 即在 A O E AOE AOE網中找關鍵路徑。 前置芝士&#xff01; 有向圖&#xff1a;有向圖中的每一個邊都是有向邊&#xff0c;即其中的每一個元素都是有序二元組。在一條有向邊 ( u , v ) (u,v) (u,v)中&…
閱讀更多...
JavaScript 動態網頁實例 —— 廣告效果

JavaScript 動態網頁實例 —— 廣告效果

廣告是現代網頁設計中不可或缺的內容。廣告可以有很多種形式，但最終目的都是要吸引觀眾的注意力。盡管廣告少不了畫面、音效和廣告語等效果，但其實現主要還是應用JavaScript 代碼，只要很好掌握了JavaScript程序設計，剩下的就是創意和美工了。本章介紹幾種廣告效果，包括對聯…
閱讀更多...
ChatGPT 官方發布桌面端，向所有用戶免費開放

ChatGPT 官方發布桌面端，向所有用戶免費開放

Open AI 官方已經發布了適用于 macOS 的 ChatGPT 桌面端應用。 此前&#xff0c;該應用一直處于測試階段&#xff0c;僅 Plus 付費訂閱用戶可以使用。 目前已面向所有用戶開放&#xff0c;所有 Mac 用戶均可免費下載使用。 我們可以訪問官網下載安裝包&#xff1a;https://op…
閱讀更多...
Java利用poi實現word,excel,ppt,pdf等各類型文檔密碼檢測

Java利用poi實現word,excel,ppt,pdf等各類型文檔密碼檢測

介紹 最近工作上需要對word,excel,ppt,pdf等各類型文檔密碼檢測&#xff0c;對文件進行分類&#xff0c;有密碼的和沒密碼的做區分。查了一堆資料和GPT都不是很滿意&#xff0c;最后東拼西湊搞了個相對全面的檢測工具代碼類&#xff0c;希望能給需要的人帶來幫助。 說明 這段…
閱讀更多...
PHP 爬蟲之使用 Curl庫抓取淘寶商品列表數據網頁的方法

PHP 爬蟲之使用 Curl庫抓取淘寶商品列表數據網頁的方法

使用 PHP 的 cURL 庫來抓取淘寶商品列表數據網頁需要謹慎&#xff0c;因為淘寶等電商平臺通常會有反爬蟲機制&#xff0c;以防止數據被濫用。然而&#xff0c;如果你只是出于學習目的&#xff0c;并且了解并遵守了淘寶的robots.txt文件和相關的使用條款&#xff0c;你可以嘗試使…
閱讀更多...
2024 年江西省研究生數學建模競賽題目 B題投標中的競爭策略問題--完整思路、代碼結果分享（僅供學習）

2024 年江西省研究生數學建模競賽題目 B題投標中的競爭策略問題--完整思路、代碼結果分享（僅供學習）

招投標問題是企業運營過程中必須面對的基本問題之一。現有的招投標平臺有國家級的&#xff0c;也有地方性的。在招投標過程中&#xff0c;企業需要全面了解招標公告中的相關信息&#xff0c;在遵守招投標各種規范和制度的基礎上&#xff0c;選擇有效的競爭策略和技巧&#xff0…
閱讀更多...
基于JSP技術的校園餐廳管理系統

基于JSP技術的校園餐廳管理系統

開頭語&#xff1a; 你好呀&#xff0c;我是計算機學長貓哥&#xff01;如果您對校園餐廳管理系統感興趣或有相關需求&#xff0c;歡迎隨時聯系我。我的聯系方式在文末&#xff0c;期待與您交流&#xff01; 開發語言&#xff1a;Java 數據庫&#xff1a;MySQL 技術&#x…
閱讀更多...
QT的編譯過程

QT的編譯過程

qmake -project 用于從源代碼生成項目文件&#xff0c;qmake 用于從項目文件生成 Makefile&#xff0c;而 make 用于根據 Makefile 構建項目。 詳細解釋&#xff1a; qmake -project 這個命令用于從源代碼目錄生成一個初始的 Qt 項目文件&#xff08;.pro 文件&#xff09;。它…
閱讀更多...
Keil5中：出現：failed to execute ‘...\ARMCC\bin\ArmCC‘

Keil5中：出現：failed to execute ‘...\ARMCC\bin\ArmCC‘

點三個點&#xff0c;去自己的磁盤找自己的ARM\ARMCC\bin
閱讀更多...
深入解析：計算機系統總線全方位解讀

深入解析：計算機系統總線全方位解讀

在計算機組成原理中&#xff0c;總線系統是連接計算機各個部件的重要通道。本文將詳細介紹系統總線的基本概念、分類、特性及性能指標、結構和控制方式。希望通過本文的講解&#xff0c;能夠幫助基礎小白更好地理解計算機系統總線的工作原理。 系統總線 (System Bus) 系統總線…
閱讀更多...
查看視頻時間基 time_base

查看視頻時間基 time_base

時間基、codec, 分辨率&#xff0c;音頻和視頻的都一樣&#xff0c;才可以直接使用ffmpeg -f concat -i file.txt 方式合并。 On Thu, Dec 03, 2015 at 21:54:53 0200, redneb8888 wrote: I am looking for a way to find the time base of a stream (video or audio), $ ffpr…
閱讀更多...
selenium 簡介以及 selenium 環境配置

selenium 簡介以及 selenium 環境配置

文章目錄 一、初識 selenium1.selenium 簡介2.selenium 三大組件3.selenium工作過程和原理4.selenium自動化測試流程5.selenium優點 二、自動化測試1.UI自動化本質2.UI自動化的前提3.適用場景4.UI自動化的原則5.UI自動化的覆蓋率 三、selenium 環境配置 一、初識 selenium 1.s…
閱讀更多...
最新文章

Copyright @ 2022~2023