文章內(nèi)容

Linux安全配置步驟大全 (4)

發(fā)布時(shí)間: 2012/8/10 18:07:44

root 5576 Apr 17 12:57 /usr/bin/newgrp
    *-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write
    -rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger
    -rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter
    *-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl
    *-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute
    -rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail
    -rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown
    -rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su
    *-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/mount
    *-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount
    *-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping
    -rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login
    *-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport
    -r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd
    [root@deep]# chmod a-s /usr/bin/chage
    [root@deep]# chmod a-s /usr/bin/gpasswd
    [root@deep]# chmod a-s /usr/bin/wall
    [root@deep]# chmod a-s /usr/bin/chfn
    [root@deep]# chmod a-s /usr/bin/chsh
    [root@deep]# chmod a-s /usr/bin/newgrp
    [root@deep]# chmod a-s /usr/bin/write
    [root@deep]# chmod a-s /usr/sbin/usernetctl
    [root@deep]# chmod a-s /usr/sbin/traceroute
    [root@deep]# chmod a-s /bin/mount
    [root@deep]# chmod a-s /bin/umount
    [root@deep]# chmod a-s /bin/ping
    [root@deep]# chmod a-s /sbin/netreport

    你可以用下面的命令查找所有帶s位標(biāo)志的程序：

    [root@deep]# find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls -lg {} \;

    >; suid-sgid-results

    把結(jié)果輸出到文件suid-sgid-results中。

    為了查找所有可寫的文件和目錄，用下面的命令：

    [root@deep]# find / -type f \( -perm -2 -o -perm -20 \) -exec ls -lg {} \; >; ww-files-results

    [root@deep]# find / -type d \( -perm -2 -o -perm -20 \) -exec ls -ldg {} \; >; ww-directories-results

    用下面的命令查找沒有擁有者的文件：

    [root@deep]# find / -nouser -o -nogroup >; unowed-results

    用下面的命令查找所有的.rhosts文件：

    [root@deep]# find /home -name .rhosts >; rhost-results

    建議替換的常見網(wǎng)絡(luò)服務(wù)應(yīng)用程序

    WuFTPD

    WuFTD從1994年就開始就不斷地出現(xiàn)安全漏洞，黑客很容易就可以獲得遠(yuǎn)程root訪問（Remote Root Access）的權(quán)限，而且很多安全漏洞甚至不需要在FTP服務(wù)器上有一個(gè)有效的帳號。最近，WuFTP也是頻頻出現(xiàn)安全漏洞。

    它的最好的替代程序是ProFTPD。ProFTPD很容易配置，在多數(shù)情況下速度也比較快，而且它的源代碼也比較干凈（緩沖溢出的錯(cuò)誤比較少）。有許多重要的站點(diǎn)使用ProFTPD。sourceforge.net就是一個(gè)很好的例子（這個(gè)站點(diǎn)共有3,000個(gè)開放源代碼的項(xiàng)目，其負(fù)荷并不小啊！）。一些Linux的發(fā)行商在它們的主FTP站點(diǎn)上使用的也是ProFTPD，只有兩個(gè)主要Linux的發(fā)行商（SuSE和Caldera）使用WuFTPD。

    ProFTPD的另一個(gè)優(yōu)點(diǎn)就是既可以從inetd運(yùn)行又可以作為單獨(dú)的daemon運(yùn)行。這樣就可以很容易解決inetd帶來的一些問題，如：拒絕服務(wù)的攻擊（denial of service attack），等等。系統(tǒng)越簡單，就越容易保證系統(tǒng)的安全。WuFTPD要么重新審核一遍全部的源代碼（非常困難），要么完全重寫一遍代碼，否則 WuFTPD必然要被ProFTPD代替。

    Telnet

    Telnet是非常非常不安全的，它用明文來傳送密碼。它的安全的替代程序是OpenSSH。

    OpenSSH在Linux上已經(jīng)非常成熟和穩(wěn)定了，而且在Windows平臺(tái)上也有很多免費(fèi)的客戶端軟件。Linux的發(fā)行商應(yīng)該采用OpenBSD的策略：安裝OpenSSH并把它設(shè)置為默認(rèn)的，安裝Telnet但是不把它設(shè)置成默認(rèn)的。對于不在美國的Linux發(fā)行商，很容易就可以在Linux的發(fā)行版中加上OpenSSH。美國的Linux發(fā)行商就要想一些別的辦法了（例如：Red Hat在德國的FTP服務(wù)器上（ftp.redhat.de）就有最新的OpenSSH的rpm軟件包）。

    Telnet是無可救藥的程序。要保證系統(tǒng)的安全必須用OpenSSH這樣的軟件來替代它。

    Sendmail

    最近這些年，Sendmail的安全性已經(jīng)提高很多了（以前它通常是黑客重點(diǎn)攻擊的程序）。然而，Sendmail還是有一個(gè)很嚴(yán)重的問題。一旦出現(xiàn)了安全漏洞（例如：最近出現(xiàn)的Linux內(nèi)核錯(cuò)誤），Sendmail就是被黑客重點(diǎn)攻擊的程序，因?yàn)镾endmail是以root權(quán)限運(yùn)行而且代碼很龐大容易出問題。

    幾乎所有的Linux發(fā)行商都把Sendmail作為默認(rèn)的配置，只有少數(shù)幾個(gè)把Postfix或Qmail作為可選的軟件包。但是，很少有Linux的發(fā)行商在自己的郵件服務(wù)器上使用Sendmail。SuSE和Red Hat都使用基于Qmail的系統(tǒng)。

    Sendmail并不一定會(huì)被別的程序完全替代。但是它的兩個(gè)替代程序Qmail和Postfix都比它安全、速度快，而且特別是Postfix比它容易配置和維護(hù)。

    su

    su是用來改變當(dāng)前用戶的ID，轉(zhuǎn)換成別的用戶。你可以以普通用戶登錄，當(dāng)需要以root身份做一些事的時(shí)候，只要執(zhí)行“su”命令，然后輸入root的密碼。su本身是沒有問題的，但是它會(huì)讓人養(yǎng)成不好的習(xí)慣。如果一個(gè)系統(tǒng)有多個(gè)管理員，必須都