一、基本安全措施

1.系统账号清理

(1)将非登录用户的 shell 设为/sbin/nologin

• 方法一：usermod -s
• 方法二：chsh 命令，交互式修改
• 方法三：chsh -s

示例：

除了上述三种方法，也可以直接 vi 编辑 /etc/passwd 文件进行修改

2.锁定那个长期不使用的账号

• 方法一：passwd -l （将在密文前增加 2 个 “！”）解锁 passwd -u 查看 passwd -S
• 方法二：usermod -L （将在密文前增加 1 个 “！”）解锁 usermod -U

示例：

解锁：

除了上述方法，也可以直接 vi 编辑 /etc/shadow 文件进行修改。

(3)删除无用的账号

userdel [-r] 用户名 （此处不过多解释，详见 Linux 系统管理03）

(4)锁定账号文件 /etc/passwd、/etc/shadow

1> 锁定：chattr +i /etc/passwd /etc/shadow

2> 解锁：chattr -i /etc/passwd /etc/shadow

3> 查看：lsattr /etc/passwd /etc/shadow

4> 示例：

注意：锁定后即使是超户，也不能修改该文件，即不能创建、删除、修改用户信息。

1.密码安全控制

(1)设置密码有效期

1> 修改某个已存在用户的密码有效期

chage -M 天数 用户名

passwd -x 天数 用户名

2> 示例：

3> 设置今后添加用户时的默认密码有效期：

方法：vi 编辑 /etc/login.defs 文件，修改 “PASS_MAX_DAY” 后面的数值

[root@huyouba1 ~]# vim /etc/login.defs

(2)要求用户下次登录时修改密码

1>方法:chage -d 0 用户名

2>示例:

[root@www ~]# chage -d 0 user1

3.命令历史限制

(1)减少历史的命令条数

1> 方法一：vi 编辑 /etc/profile 文件，修改 “HISTSIZE=” 后面的数值

2> 方法二：export HISTSIZE=数值

3> 示例：

• 方法一：vi 编辑 /etc/profile 文件，修改 “HISTSIZE=100”

[root@huyouba1 ~]# vim /etc/profile

[root@huyouba1 ~]# source /etc/profile    //使 /etc/profile 配置文件生效，此时全局生效

• 方法二：export HISTSIZE=100

[root@huyouba1 ~]# export HISTSIZE=100    //仅当前用户环境下生效，重启即失效

(2)注销时自动情况历史命令

1> 方法：vi 编辑宿主目录下的 “.bash_logou” 文件，添加 “history -c”

2> 示例：设置 user1 用户注销时自动清空历史命令

[root@huyouba1 ~]# vim ~user1/.bash_logout 

4.终端自动注销

(1)方法一：

vi 编辑 /etc/profile 文件，添加 “TMOUT=数值”

(2)方法二：

export TMOUT=数值

(3)示例：限制 600 秒后自动注销

• 方法一：vi 编辑/etc/profile文件，添加 “TMOUT=600”

[root@huyouba1 ~]# vim /etc/profile

[root@huyouba1 ~]# source /etc/profile    //使 /etc/profile 配置文件生效，此时全局生效

• 方法二：export TMOUT=600

[root@huyouba1 ~]# export TMOUT=600    //仅当前用户环境下生效

二、切换用户 su 命令

1.作用：

切换用户（Substiute User）

2.格式：

su [-] 目标用户 （有 “-” 初始化环境变量，无 “-” 环境变量不改变）

3.查看 su 操作记录

安全日志文件：/var/log/secure |less

[root@huyouba1 ~]# tac /var/log/secure |less 

三、提升权限 sudo 命令

1.su 命令的缺点：

在使用 su 命令时，不指定用户名默认切换至 root 用户，需要输入 root 密码，但实际生产中 root 密码是不可以被广泛告知的。如果需要执行 root 用户才有权限的命令，需要通过 sudo 命令或 wheel 组的设置来实现

2.sudo 命令

(1)作用：

以其他用户身份（默认root身份）执行授权的命令

(2)用法：

sudo 授权命令

默认设置为首次执行时，需输入当前用户的登录密码，5 分钟内再次执行 sudo 命令时则无需再输入密码。

(3)配置 sudo 授权

1> 方法一：添加单个用户的 sudo 授权

• visudo 或者 vi /etc/sudoers（效果相同），添加配置内容
• 格式：用户 主机名列表=命令程序列表，命令前加 “!” 表示 “除了” 此命令

[root@huyouba1 ~]# vim /etc/sudoers

(4)查看 sudo 操作记录

• 方法： 第一步： visudo 或者 vi /etc/sudoers 添加 “Defaults logfile=/var/log/sudo”

第二步： cat /var/log/sudo

• 示例：启用 Defaults logfile 配置，给 huyouba1 用户所有 /sbin/ 以及 /usr/sbin 下的命令执行权限，除了关机以及重启。

(5)查询授权操作 sudo -l

四、开关机安全控制

1.调整 BIOS 引导设置

(1)将第一引导设备设为当前系统所在硬盘（开机按F2，不同主板按键不一）

(2)禁止其他设备（光盘、U盘、网络）引导系统

BIOS 中可以设置，极个别电脑不支持此功能

(3)将安全级别设为 setup，并设置管理员密码

(4)重启验证进入 BIOS 需要输入密码

2.禁用重启热键 Ctrl+Alt+Del

(1)目的：

避免用户误操作

(2)方法：

删除 /usr/lib/systemd/system/ctrl-alt-del.target

恢复 Ctrl+Alt+Del按键重启功能

ln -s /usr/lib/systemd/system/reboot.target /usr/lib/systemd/system/ctrl-alt-del.target

init q 不重启，立即生效配置文件

3.gurb 菜单限制

(1)备份文件以防配置错误可以恢复

[root@huyouba1 ~]# cd /etc/grub.d/

[root@huyouba1 grub.d]# cp 01_users 01_users.bak

(2)以明文方式设置 grub 的密码

在 /etc/grub.d/01_users 文件中指定超级用户，其中 root 为超级用户的用户名，PassRoot + 123 为超级用户 root 的密码，清空该文件并添加以下几行。（用户名和密码按照实际情况设置）

[root@huyouba1 grub.d]# vim 01_users
添加以下内容
cat << EOF

set superusers="root"
password root 123

EOF

(3)重新编译生成 grub.cfg 文件

[root@huyouba1 grub.d]# grub2-mkconfig -o /boot/grub2/grub.cfg 

(4)设置密文密码

使用 grub2-mkpasswd-pbkdf2 命令创建密文

现在我们可以修改 /etc/grub.d/01_users

最后：重新编译生成 grub.cfg 文件

[root@huyouba1 grub.d]# grub2-mkconfig -o /boot/grub2/grub.cfg 

重启验证

五、弱口令检测 JR（Joth the Ripper）

1.JR（Joth the Ripper）简介

• 一款密码分析工具，支持字典式的暴力破解
• 通过对 shadow 文件的口令分析，可以检测密码
• 官方网站 http://www.openwall.com/john

2.安装 JR 工具

(1) tar 包解压

[root@huyouba1 ~]# tar xvf john-1.9.0.tar.xz  

(2)进到解压后的 src 目录下，执行 make clean

[root@huyouba1 ~]# cd john-1.9.0/src/

[root@huyouba1 src]# make clean linux-x86-64

(3)进到解压后的 run 目录下，执行命令

[root@huyouba1 src]# cd ../run/

[root@huyouba1 run]# cp /etc/shadow ./shadow.txt

[root@huyouba1 run]# ./john shadow.txt 

字典式暴力破解，可添加内容至字典：

[root@huyouba1 run]# vim password.lst 

六、端口检测 NMAP

1.NMAP 简介

• 一款强大的网络扫描、安全检测工具
• 官方网站：http://nmap.org/
• 可从光盘中安装 nmap-6.40-16.el7.x86_64

2.NMAP 的扫描语法

nmap [扫描类型] [选项] <扫描目标>

3.常用的扫描类型

-sS TCP SYN 扫描（半开）

-sT TCP 链接扫描（全开）

-sF TCP FIN 扫描

-sU UDP 扫描

-sP ICMP 扫描

-sO 跳过 ping 检测【较少使用】

4.常用选项：

-n 禁止 DNS 反向解析

-p 指定端口号

(1)扫描本机开放了哪些 TCP 端口、UDP 端口

(2)检测当前 192.168.100.0/24 网段有哪些主机提供 FTP 服务

(3)检测 192.168.100.0/24 网段有哪些存活主机

检测 192.168.100.1~254/24 有哪些主机开启了文件共享服务

【知识补充】

• TCP（Transmission Control Protocol 传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层通信协议。

• TCP 三次握手的过程如下：

（1）客户端发送 SYN（SEQ=x）报文给服务器端，进入 SYN_SEND 状态。

（2）服务器端收到 SYN 报文，回应一个 SYN（SEQ=y）ACK（ACK=x+1）报文。进入 SYN_RECV 状态。

（3）客户端收到服务器端的 SYN 报文，回应一个 ACK（ACK=y+1）报文，进入 Established 状态。

（4）三次握手完成，TCP 客户端和服务器端成功地建立连接，可以开始传输数据了。

ACK 表示 Acknowledgment Number 字段有意义

PSH 表示 Push 功能，RST 表示复位 TCP 连接

SYN 表示 SYN 报文（在建立 TCP 连接的时候使用）

FIN 表示没有数据需要发送了（在关闭 TCP 连接的时候使用）

• UDP（User Datagram Protocol）协议全称是用户数据报协议，在网络中它与 TCP 协议一样用于处理数据包，是一种无连接的协议。UDP 有不提供数据包分组、组装和不能对数据包进行排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。根据 OSI（开放系统互连）参考模型，UDP 和 TCP 都属于传输层协议。

• ICMP 是（Internet Control Message Protocol）Internet 控制报文协议。它是 TCP/IP 协议族的一个子协议，用于在 IP 主机、路由器之间传递控制信息。控制信息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用。

• Linux 常用端口：