（九）Linux系统安全隐患及加固措施

姓名：黄婷    学号：19020100410  学院：电子工程学院

转自： https://blog.csdn.net/daqiang012/article/details/103947313?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522162848234916780357255732%2522%252C%2522scm%2522%253A%252220140713.130102334..%2522%257D&request_id=162848234916780357255732&biz_id=0&utm_medium=distribute.pc_search_result.none-task-blog-2~all~top_click~default-2-103947313.first_rank_v2_pc_rank_v29&utm_term=Linux%E7%B3%BB%E7%BB%9F&spm=1018.2226.3001.4449#t8

【嵌牛导读】Linux系统安全隐患及加固措施

【嵌牛鼻子】Linux系统   安全隐患及加固措施

【嵌牛提问】Linux系统如何保护？

【嵌牛正文】

用户账户以及登录安全

删除多余用户和用户组。Linux是多用户 *** 作系统，存在很多种不一样的角色系统账号，当安装完成 *** 作系统之后，系统会默认为未添加许用户组及用户，若是部分用户或是用户组不需要，应当立即删除它们，否则黑客很有可能利用这些账号，对服务器实施攻击。具体保留哪些账号，可以依据服务器的用途来决定。

关闭不需要的系统服务。 *** 作系统安装完成之后，其会在安装的过程当中，会自主的启动各种类型的服务程序内容，对于长时间运行的服务器而言，其运行的服务程序越多，则系统的安全性就越低。所以，用户或是用户组就需要将一些应用不到的服务程序进行关闭，这对提升系统的安全性能，有着极大的帮助。

密码安全策略。在Linux之下，远程的登录系统具备两种认证的形式：即 密钥 与密码认证。其中，密钥认证的形式，主要是将 公钥 储存在远程的服务器之上， 私钥 存储在本地。当进行系统登陆的时候，再通过本地的私钥，以及远程的服务器公钥，进行配对认证的 *** 作，若是认证的匹配度一致，则用户便能够畅通无阻的登录系统。此类认证的方式，并不会受到暴力破解的威胁。与此同时，只需要确保本地私钥的安全，使其不会被黑客所盗取即可，攻击者便不能够通过此类认证方式登陆到系统中。所以，推荐使用密钥方式进行系统登陆。

有效应用su、 sudo 命令。su命令的作用的是对用户进行切换。当管理员登录到系统之后，使用su命令切换到超级用户角色来执行一些需要超级权限的命令。但是由于超级用户的权限过大，同时，需要管理人员知道超级用户密码，因此su命令具有很严重的管理风险。

sudo命令允许系统赋予普通用户一些超级权限，并且不需普通用户切换到超级用户。因此，在管理上应当细化权限分配机制，使用sudo命令为每一位管理员服务其特定的管理权限。

远程访问及登陆认证安全

远程登录应用 SSH 登陆方式。telnet是一类存在安全隐患的登录认证服务，其在网络之上利用明文传输内容，黑客很容易通过结果telnet数据包，获得用户的登陆口令。并且telnet服务程序的安全验证方式存在较大的安全隐患，使其成为黑客攻击的目标。SSH服务则会将数据进行加密传输，能够防止 DNS 欺骗以及IP欺骗，并且传输的数据是经过压缩，在一定程度上保证了服务器远程连接的安全。

文件系统的安全

加固系统重要文件。在Linux系统中，如果黑客取得超级权限，那么他在 *** 作系统里面就不会再有任何的限制地做任何事情。在这种情况下，一个加固的文件系统将会是保护系统安全的最后一道防线。管理员可通过 chattr 命令锁定系统一些重要文件或目录。

文件权限检查与修改。如果 *** 作系统当中的重要文件的权限设置不合理，则会对 *** 作系统的安全性，产生最为直接的影响。所以，系统的运行维护人员需要及时的察觉到权限配置不合理的文件和目录，并及时修正，以防安全事件发生。

安全设定/tmp、/var/tmp、/dev/shm。在该 *** 作系统当中，其用于存放临时文件的目录，主要有两个，分别为/tmp与/var/tmp。它们有个共同特点，就是所有的用户可读可写和执行，这样就对系统产生了安全隐患。针对这两个目录进行设置，不允许这两个目录下执行应用程序。

系统软件安全

绝大多数的服务器遭受攻击是因为系统软件或者应用程序有重大漏洞。黑客通过这些漏洞，可以轻松地侵入服务器。管理员应定期检查并修复漏洞。最常见的做法是升级软件，将软件保持在最新版本状态。这样就可以在一定程度上降低系统被入侵的可能性。

虽然Linux病毒屈指可数，但是基于缓冲区溢出(BufferOverflow)漏洞的攻击还是让众多Linux用户大吃一惊。所谓“世界上第一个Linux病毒”??reman，严格地说并不是真正的病毒，它实质上是一个古老的、在Linux/Unix(也包括Windows等系统)世界中早已存在的“缓冲区溢出”攻击程序。reman只是一个非常普通的、自动化了的缓冲区溢出程序，但即便如此，也已经在Linux界引起很大的恐慌。

缓冲区溢出漏洞是一个困扰了安全专家30多年的难题。简单来说，它是由于编程机制而导致的、在软件中出现的内存错误。这样的内存错误使得黑客可以运行一段恶意代码来破坏系统正常地运行，甚至获得整个系统的控制权。

Linux系统特性

利用缓冲区溢出改写相关内存的内容及函数的返回地址，从而改变代码的执行流程，仅能在一定权限范围内有效。因为进程的运行与当前用户的登录权限和身份有关，仅仅能够制造缓冲区溢出是无法突破系统对当前用户的权限设置的。因此尽管可以利用缓冲区溢出使某一程序去执行其它被指定的代码，但被执行的代码只具有特定的权限，还是无法完成超越权限的任务。

但是，Linux(包括Unix)系统本身的一些特性却可以被利用来冲破这种权限的局限性，使得能够利用缓冲区溢出获得更高的、甚至是完全的权限。主要体现在如下两方面：

1.Linux(包括Unix)系统通过设置某可执行文件的属性为SUID或SGID，允许其它用户以该可执行文件拥有者的用户ID或用户组ID来执行它。如果该可执行文件的属性是root，同时文件属性被设置为SUID，则该可执行文件就存在可利用的缓冲区溢出漏洞，可以利用它以root的身份执行特定的、被另外安排的代码。既然能够使得一个具有root权限的代码得以执行，就能够产生一个具有超级用户root权限的Shell，那么掌握整个系统的控制权的危险就产生了。

2.Linux(包括Unix)中的许多守护进程都是以root权限运行。如果这些程序存在可利用的缓冲区溢出，即可直接使它以root身份去执行另外安排的代码，而无须修改该程序的SUID或SGID属性。这样获得系统的控制权将更加容易。

随着现代网络技术的发展和网络应用的深入，计算机网络所提供的远程登录机制、远程调用及执行机制是必须的。这使得一个匿名的Internet用户有机会利用缓冲区溢出漏洞来获得某个系统的部分或全部控制权。实际上，以缓冲区溢出漏洞为攻击手段的攻击占了远程网络攻击中的绝大多数，这给Linux系统带来了极其严重的安全威胁。

途径分析

通常情况下攻击者会先攻击root程序，然后利用缓冲区溢出时发生的内存错误来执行类似“exec(sh)”的代码，从而获得root的一个Shell。为了获得root权限的Shell，攻击者需要完成如下的工作：

1.在程序的地址空间内安排适当的特定代码。一般使用如下两种方法在被攻击的程序地址空间内安排攻击代码。

2.通过适当地初始化寄存器和存储器，使程序在发生缓冲区溢出时不能回到原来的执行处，而是跳转到被安排的地址空间执行。

当攻击者找到一种途径可以变原程序的执行代码和流程时，攻击的危险就产生了。

共2页: 1 [2]

内容导航

第 1 页：Linux系统特性

防范措施

Linux下的缓冲区溢出攻击威胁既来自于软件的编写机制，也来自于Linux(和Unix)系统本身的特性。实际上，缓冲区溢出攻击及各种计算机病毒猖獗的根本原因在于现代计算机系统都是采用冯?诺依曼“存储程序”的工作原理。这一基本原理使得程序和数据都可以在内存中被繁殖、拷贝和执行。因此，要想有效地防范缓冲区溢出攻击就应该从这两个方面双管其下。

确保代码正确安全

缓冲区溢出攻击的根源在于编写程序的机制。因此，防范缓冲区溢出漏洞首先应该确保在Linux系统上运行的程序(包括系统软件和应用软件)代码的正确性，避免程序中有不检查变量、缓冲区大小及边界等情况存在。比如，使用grep工具搜索源代码中容易产生漏洞的库调用，检测变量的大小、数组的边界、对指针变量进行保护，以及使用具有边界、大小检测功能的C编译器等。

基于一定的安全策略设置系统

攻击者攻击某一个Linux系统，必须事先通过某些途径对要攻击的系统做必要的了解，如版本信息等，然后再利用系统的某些设置直接或间接地获取控制权。因此，防范缓冲区溢出攻击的第二个方面就是对系统设置实施有效的安全策略。这些策略种类很多，由于篇幅有限只列举几个典型措施：

(1)在装有Telnet服务的情况下，通过手工改写“/etc/inetd.conf”文件中的Telnet设置，使得远程登录的用户无法看到系统的提示信息。具体方法是将Telnet设置改写为：

telnet stream tcp nowait root /usr/sbin/tcpd/in.telnetd -h

末尾加上“-h”参数可以让守护进程不显示任何系统信息，只显示登录提示。

(2)改写“rc.local”文件。默认情况下，当登录Linux系统时系统运行rc.local文件，显示该Linux发行版本的名字、版本号、内核版本和服务器名称等信息，这使得大量系统信息被泄露。将“rc.local”文件中显示这些信息的代码注释掉，可以使系统不显示这些信息。

一种方法是在显示这-些信息的代码行前加“#”：

……# echo “”>/etc/issue# echo “$R”>>/etc/issue#echo”Kernel $ (uname -r)on $a $(uname -m)”>>/etc/issue##echo>>/etc/issue……

另一种方法是将保存有系统信息的文件/etc/issue.net和issue删除。这两个文件分别用于在远程登录和本地登录时向用户提供相关信息。删除这两个文件的同时，仍需要完成方法一中的注释工作，否则，系统在启动时将会自动重新生成这两个文件。

(3)禁止提供finger服务。在Linux系统中，使用finger命令可以显示本地或远程系统中目前已登录用户的详细信息。禁止提供finger服务的有效方法是，通过修改该文件属性、权限(改为600)使得只有root用户才可以执行该命令。

(4)处理“inetd.conf”文件。Linux系统通过inetd(超级服务器)程序根据网络请求装入网络程序。该程序通过“/etc/inetd.conf”文件获得inetd在监听哪些网络端口，为每个端口启动哪些特定服务等信息。因此，该文件同样会泄露大量的敏感信息。解决问题的方法是，通过将其权限改为600只允许root用户访问，并通过改写“/etc/inetd.conf”文件将不需要的服务程序禁止掉，最后修改该文件的属性使其不能被修改。

总结

缓冲区溢出攻击之所以能成为一种常见的攻击手段，其原因在于缓冲区溢出漏洞太普遍，且易于实现攻击，因此缓冲区溢出问题一直是个难题。

所幸的是，OpenBSD开发组为解决这一安全难题采用了三种新的有效策略。相信不久的将来，Linux用户可以不再为缓冲区溢出攻击而寝食难安了。

RAR文件在Linux下用起来

要在Linux下处理.rar文件，需要安装RARforLinux。该软件可以从网上下载，但要记住，它不是免费的。大家可从http://www.onlinedown.net/sort/125_1.htm下载RARforLinux 3.2.0，然后用下面的命令安装：

# tar -xzpvf rarlinux-3.2.0.tar.gz

# cd rar

# make

安装后就有了rar和unrar这两个程序，rar是压缩程序，unrar是解压程序。它们的参数选项很多，这里只做简单介绍，依旧举例说明一下其用法：

# rar a all *.mp3

这条命令是将所有.mp3的文件压缩成一个rar包，名为all.rar，该程序会将.rar 扩展名将自动附加到包名后。

# unrar e all.rar

这条命令是将all.rar中的所有文件解压出来。

今天来回顾一下过去十五年Linux的病毒史：

1996年：破解组织VLAD发布了Linux第一个病毒Staog，它能利用内核的一个漏洞感染可执行文件，随着该漏洞迅速被修复，这个病毒也就随即消失了；

1997年：Bliss病毒感染可执行文件，阻止其运行，以root权限浏览Bliss病毒会导致系统被感染；

1998年：空白的一年；

1999年：没有重要的Linux病毒爆发，只有Windows上流传一个愚人节笑话，名叫Tuxissa的病毒会在Win机器上悄悄安装Linux；

2000年：一个基本无害的病毒Virus.Linux.Winter.341会把电脑名字改为Wintermute，但不会控制电脑；

2001年：对于Linux来说这是不平常的一年，首先是一个并无多大危害的ZipWorm，它只会攻击zip文件；之后是一个同样没有太大危害的病毒Satyr，它仅针对ELF文件；还有一个名为“拉面”（Ramen）的病毒，它会将Index.html文件替换为自己的版本；此外Linux在当年还遭遇了Cheese等病毒，不过这些病毒的威胁性都不大。

2002年：存在于Apache中的一个漏洞导致的Mighty蠕虫病毒的出现和传播，该病毒会利用Apache SSL接口中的一个漏洞感染计算机，成功后它会创建一个秘密的链接，连接至IRC服务器，并等待指令。

2003年：同样是一个基本无害的病毒Rike，它会隐藏在ELF文件中，然后扩大该文件所需要的空间，并且在空白空间内写入RIKE；

2004年：这一年出现的病毒与上一年基本没有什么区别，名为Binom，它会隐藏在ELF文件中，然后扩大该文件所需要的空间，并且在空白空间内写入[ Cyneox/DCA字符串；

2005年：Lupper蠕虫病毒开始在Web服务器间传播，它会攻击一个寻找特定URL的Web服务器，然而利用PHP/CGI脚本中存在的一个漏洞进行攻击；

2006年：2002年的病毒Mighty的变种Kaiten出现，其攻击方法与Mighty相同；

2007年：BadBunny病毒利用OpenOffice漏洞感染Windows、Mac和Linux；

2008年：空白的一年；

2009年：GNOME屏保网站发现名为WaterFall的屏保会在安装后开启一个后门，控制电脑发动DDOS攻击，攻击的网站是MMOwned.com；

2010年：koobface病毒会收集FTP和社交网站的登录信息和密码，并利用社交网站向朋友发送病毒文件

尽管相比Windows和Mac OS X，Linux很少受到病毒的侵扰，而且很多杀毒软件厂商也为Linux系统提供了免费的安全防护，比如ClamAV、AVG、Avast、F-Prot，Linux历史上也并不是“无毒”的。

linux的病毒单靠杀毒软件是很难防护的，必须从系统上进行配置。这个一两句话说不好，你去文库里搜一下吧

---