web服务器中实现个人用户主页功能需要设置的selinux域_CMS教程

一、 *** 作系统中的用户管理相关配置文件解读

Linux用户在 *** 作系统可以进行日常管理和维护，涉及到的相关配置文件如下：

/etc/passwd 保存 *** 作系统中的所有用户信息

root : x : 0 : 0 : root : /root : /bin/bash

name:password:UID:GID:GECOS:directory:shell

用户名：密码占位符：uid ：基本组的gid ：用户信息记录字段：用户的家目录：用户登录系统后使用的命令解析器

————————————————

字段1：用户名

字段2：密码占位符

字段3：用户的UID 0 表示超级用户， 500-60000 普通用户， 1-499 程序用户

字段4：基本组的GID 先有组才有用户

字段5：用户信息记录字段

字段6：用户的家目录

字段7：用户登录系统后使用的命令解释器

————————————————

UID：0表示超级用户，程序用户（1-499），普通用户（500以上60000以下），根据uid将用户分为以上三类用户。

/etc/shdaow 保存用户密码（以加密形式保存）

[root@xing /]# cat /etc/shadow

root : $Jw5XsDvvNBH5Xoq : 19180 : 0 : 99999 : 7 : : :

用户名：密码（加密后的字符串）：最近一次的修改时间距离1970年1月1日的距离：密码的最短有效期：密码的最长有效期：密码过期前7天警告：密码的不活跃期：用户的失效时间：保留字段

————————————————

字段1：用户名

字段2：用户的密码加密后的字符串（sha）

字段3：距离1970/1/1密码最近一次修改的时间

字段4：密码的最短有效期

字段5：密码的最长有效期（建议时间 90）

字段6：密码过期前7天警告

字段7：密码的不活跃期

字段8：用户的失效时间

字段9：保留字段

这个字段目前没有使用，等待新功能的加入。

————————————————

/etc/group 保存组信息

————————————————

root:x:0:

bin:x:1:bin,daemon

组名：组的密码占位符：gid：附加组成员

————————————————

/etc/logindefs 用户属性限制,密码过期时间,密码最大长度等限制

/etc/default/useradd 显示或更改默认的useradd配置文件

二、文件及目录权限

文件与权限： 即文件或者目录属于哪个用户，属于哪个组，不同的用户能对该文件进行何种 *** 作。

————————————————

注：

查看文件权限： ls -l 文件

查看目录权限： ls -ld 目录

————————————————

[root@xing Desktop]# ls -l /root/Desktop/

total 70584

lrwxrwxrwx 1 root root 18 Jul 14 14:32 123txt -> /root/Desktop/ming

-rw-r--r-- （文件属性） 1 （链接个数：表示指向它的链接文件的个数） root （所属者） root （所属组） 0（文件大小：单位byte） Jul 14 14:14（最后一次修改时间） 2txt（文件名）

drwx------（文件属性） 7 （目录中的子目录数：此处看到的值要减2才等于该目录下的子目录的实际个数。） root （所属者） root （所属组） 4096 （文件大小：单位byte）Jul 13 16:56（最后一次修改时间） vmware-tools-distrib（目录名）

[root@xing Desktop]# ls -ld /root/Desktop/

drwxr-xr-x 3 root root 4096 Jul 14 14:44 /root/Desktop/

————————————————

文件属性解释：

- rw- r-- r--

d rwx r-x r-x

字段1：文件类型 - 普通文件 d目录 l符号链接 b块设备

字段2：文件所有者对该文件的权限

字段3：文件所属组的权限

字段4：其他用户的权限（既不是文件所有者也不是文件所属组的用户）

字段5：表示文件受 selinux 的程序管理

8进制赋权法： r 1004； w0102； x0011

————————————————

三、用户以及权限管理命令汇总：

————————————————

用户增删改命令

useradd

userdel

usermod

————————————————

用户组增删改命令

groupadd

groupdel

groupmod

————————————————

passwd

change

————————————————

文件权限修改: chmod命令

chmod 对象算数运算符权限文件

[root@xing tmp]# ls -ld ming

drwxr-xr-x 2 root root 4096 Jul 16 10:27 ming

[root@xing tmp]# chmod o-x ming

[root@xing tmp]# ls -ld ming

drwxr-xr-- 2 root root 4096 Jul 16 10:27 ming

————————————————

文件所属者修改：

chown 用户文件

[root@xing tmp]# chown ming ming

[root@xing tmp]# ls -ld ming

drwxr-xr-- 2 ming root 4096 Jul 16 10:27 ming

————————————————

文件所属组修改：

chgrp 组文件

[root@xing tmp]# chgrp ming ming

[root@xing tmp]# ls -ld ming

drwxr-xr-- 2 ming ming 4096 Jul 16 10:27 ming

————————————————

8进制赋权法

[root@xing ~]# chmod 644 /tmp/ming

[root@xing ~]# ls -ld /tmp/ming

drw-r--r-- 2 ming ming 4096 Jul 16 10:27 /tmp/ming

————————————————

linux下命令“ll”是“ls -l"的别名。

————————————————

粘滞位：赋权后的文件只有建立者可以删除

chmod o+t 文件

[root@xing ~]# chmod o+t /tmp/ming

[root@xing ~]# ll -d /tmp/ming

drw-r--r-T 2 ming ming 4096 Jul 16 10:27 /tmp/ming

————————————————

sgid ：赋权后的目录，新建立的文件或者子目录的所属组继承父目录的所属组

chmod g+s 目录

[root@xing ming]# chmod g+s /tmp/ming

[root@xing tmp]# ll

drw-r-Sr-T 2 ming ming 4096 Jul 16 11:29 ming

[root@xing ming]# touch 20txt

[root@xing ming]# ll

-rw-r--r-- 1 root ming 0 Jul 16 11:33 20txt

[root@xing ming]# mkdir 60

[root@xing ming]# ll

drwxr-sr-x 2 root ming 4096 Jul 16 11:34 60

————————————————

suid ：允许谁运行该文件具有该文件所属者的权限

chmod u+s 文件

[root@xing Desktop]# ll /usr/bin/vim

-rwxr-xr-x 1 root root 2324712 Dec 22 2016 /usr/bin/vim

[root@xing Desktop]# chmod u+s /usr/bin/vim

[root@xing Desktop]# ll /usr/bin/vim

-rwsr-xr-x 1 root root 2324712 Dec 22 2016 /usr/bin/vim

备注：linux 红底白字代表警告！

————————————————

[root@xing Desktop]# echo $PATH

/usr/lib64/qt-33/bin:/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin:/root/bin

suid：4 sgid：2 粘滞位：1

[root@xing Desktop]# find /usr/bin -perm 4 755

/usr/bin/at

/usr/bin/chage

/usr/bin/pkexec

/usr/bin/Xorg

/usr/bin/crontab

/usr/bin/newgrp

/usr/bin/vim

/usr/bin/gpasswd

/usr/bin/passwd

/usr/bin/ksu

————————————————

1、不再允许添加新用户的请求

chattr命令 ：用于改变文件属性

chattr +i 文件

lsttr命令 ：查看文件属性

lsattr 文件

[root@xing Desktop]# lsattr /etc/passwd /etc/shadow

-------------e- /etc/passwd

-------------e- /etc/shadow

[root@xing Desktop]# chattr +i /etc/passwd /etc/shadow

[root@xing Desktop]# lsattr /etc/passwd /etc/shadow

----i--------e- /etc/passwd

----i--------e- /etc/shadow

[root@xing Desktop]# useradd kk

useradd: cannot open /etc/passwd

2、umask

root用户的umask默认值是0022，一般用户默认是0002

目录的最高权限 0777-0022=0755

文件的最高权限 0666-0022=644

一般服务器配置umask的值配置为027最好；需要去修改两处文件中的umask值。

/etc/profile

/etc/bashrc

3、修改默认的密码最长有效期：修改以下配置文件

/etc/logindefs

安全问题对于it管理员来说是需要长期关注的。主管们需要一套框架来对 *** 作系统的安全性进行合理的评估，包括：基本安全、网络安全和协议，应用协议、发布与 *** 作、确信度、可信计算、开放标准。在本文中，我们将按照这七个类别比较微软windows和linux的安全性。最终的定性结论是：目前为止，linux提供了相对于windows更好的安全性能，只有一个方面例外（确信度）。无论按照什么标准对windows和linux进行评估，都存在一定的问题：每个 *** 作系统都不止一个版本。微软的 *** 作系统有windows98、windows nt、 windows 2000、 windows 2003 server和windows ce，而linux的发行版由于内核（基于22、24、26）的不同和软件包的不同也有较大的差异。我们本文所使用的 *** 作系统，都是目前的技术而不是那些"古老"的解决方案。

用户需要记住：linux和windows在设计上就存在哲学性的区别。windows *** 作系统倾向于将更多的功能集成到 *** 作系统内部，并将程序与内核相结合；而linux不同于windows，它的内核空间与用户空间有明显的界限。根据设计架构的不同，两者都可以使 *** 作系统更加安全。

linux和windows安全性的基本改变

对于用户来说，linux和windows的不断更新引发了两者之间的竞争。用户可以有自己喜欢的系统，同时也在关注竞争的发展。微软的主动性似乎更高一些――这是由于业界"冷嘲热讽"的"激励"与linux的不断发展。微软将在下几个月对windows安全进行改观，届时微软会发布windows　xp的service　pack2。这一服务包增强了windows的安全性，关闭了原先默认开放的许多服务，也提供了新的补丁管理工具，例如：为了避免受到过多无用的信息，警告服务和信使服务都被关闭。大多数情况下，关闭这些特性对于增强系统安全性是有好处的，不过很难在安全性与软件的功能性、灵活性之间作出折衷。

最显著的表现是：微软更加关注改进可用性的同时增强系统的安全性。比如：2003年许多针对微软的漏洞攻击程序都使用可执行文件作为电子邮件的附件（例如mydoom）。service pack2包括一个附件执行服务，为outlook/exchange、 windows messenger和internet　explorer提供了统一的环境。这样就能降低用户运行可执行文件时感染病毒或者蠕虫的威胁性。另外，禁止数据页的可执行性也会限制潜在的缓冲区溢出的威胁。不过，微软在service　pack2中并没有修改windows有问题的架构以及安全传输的部分，而是将这部分重担交给了用户。

微软的重点显然是支持应用程序的安全性。service pack2中增强的许多方面都是以outlook/exchange和internet explorer作为对象的。例如：internet　explorer中有一个智能的mime类型检查，会对目标的内容类型进行检查，用户可以获悉该内容中是否存在潜在的有害程序。不过这一软件是不是能将病毒与同事的电子数据表区分开来呢？

service　pack2的另一个新特性是能够卸载浏览器的多余插件，这需要终端用户检查并判断需要卸载哪些插件。outlook/exchange可以预览电子邮件消息，因此用户可以在打开之前就将电子邮件删除。另一个应用安全的增强，防火墙在网络协议栈之前启动。对于软件开发者来说，远方过程调用中权限的改变，使得安全性差的代码难以工作正常。

service　pack2也为windows用户提供了许多华丽的新特性，但是问题仍然存在：这些特性会不会对管理员甚至是终端用户造成负担？是不是在增加了windows *** 作系统代码安全性的同时让系统变得更加复杂？

开放源代码、共享源代码

微软的共享源代码计划政策属于"可看但不可修改"，例外的情况是windows　ce共享源代码许可证计划。对于公司来说，可以将基于windows　ce的设备和解决方案推向市场。这是微软共享源代码计划下，源设备制造商（oem）、半导体提供商、系统集成商可以完全访问windows　ce源代码的唯一项目。所有许可证持有者都有对源代码的完全访问权，当然可以修改代码，但只有oem才能发布对基于wince设备的修改。所有其他的共享源代码许可证持有者，如果要访问该项目不允许的源代码，需要向redmondwash的微软总部请示。

某些用户认为共享源代码计划对于调试程序会有帮助，微软要求编译的时候必须在微软总部，这不得不说是一个很大的限制。尽管微软想尽力增加透明，如果无法编译，就很难确定源代码在真实的it环境中是否能正常工作。限制用户修改并编译windows的源代码，降低了人们访问windows共享源代码并寻找安全漏洞的热情。

数据中心和桌面下linux的安全收益

在未来的12个月里，linux将加强在数据中心的份额，并试图冲击微软在桌面上的垄断。这很大程度上是受益于linux26版内核的新特性与新功能。有了linux　v26，安全框架现在已经模块化了。在这种模型下，linux内核的所有方面都提供了细粒度的用户访问控制，而以前的版本的内核允许超级用户完全控制。现在的实现仍然支持root完全访问系统，但完全可以创建一个不遵循该模型的liinux系统。

linux　v26内核的一个主要变化，就是新增的linux安全模块（lsm），用户不需要打内核补丁就能为linux增加更多的安全机制。新版内核，在lsm上建立了多个访问控制机制，其中包括美国国安局（nsa）的securiy　enhanced　linux（selinux）。由于国安局对 *** 作系统安全与强制访问控制的兴趣，产生了selinux。国安局的研究人员正在开发linux的安全模块，可以支持26内核的类型加强、基于脚色的访问控制、多层次安全。selinux使用了命为"域类型强制"的安全模型，可以将应用程序互相隔离，同时也与基本的 *** 作系统隔离，从而限制入侵后程序或者网络服务造成的影响。

linux的26内核中已经加入了对selinux的细粒度布尔值标签的支持，其他的厂商也开始利用国安局的selinux。例如，immunix提供了一些列产品，包括stackguard和子域stackguard模块，可以配置进程只使用某些系统调用。redhat声称selinux将在redhat企业服务器40的安全架构上起重要的作用。

今天，linux的内核中已经有一个功能强大、灵活的强制访问控制子系统。这个系统强制隔离有机密和完整性要求的数据，因此任何潜在的破坏，即时是由超级用户进程所造成的，都被linux系统限制起来了。

linux　v26还提供了对加密安全的支持，包括了ipsec使用的加密api。这样，在网络和存储加密时就可以使用多种算法（例如：sha-1、des、三重des、md4、hmac、ede、和blowfish）。linux对ipsec　ipv4和ipv6协议的支持是一个很大的进步。由于安全抽象到了协议层，用户程序对潜在攻击程序的脆弱性有所降低。密码加密模块目前还不是linux内核的一部分，如果linux真的实现了这样的特性，就可以阻止未签名的模块被内核访问。

现在仍然困扰windows用户的一个问题就是缓冲区溢出。linux用户从26内核开始就会收益于exec-shield补丁。exec-shield可以阻止许多漏洞攻击程序覆盖数据结构并向这些结构中插入代码的企图。由于不需要重新编译应用程序就能使exec-shield补丁奏效，实现起来很方便。

另外，26内核中的抢占式内核，也减少了延迟，使得linux不但可以应用到数据中心，甚至可以在有软实时要求的应用程序使用。许多linux用户使用的是硬件厂商和系统提供商的不开源的驱动程序（二进制模块）。问题在于：虽然添加这些驱动和模块有用，对于linux系统并不一定有益。例如，一个未开源的驱动模块有可能控制系统调用并修改系统调用表。26的内核提供了特殊的保护措施，可以对限制未开源驱动或者模块对内核的访问。这一特性增加了稳定性，但从安全角度并没有增加新的限制，也不能阻止黑客编写恶意模块。

许多linux用户来说，最有创造性的特性就是用户模式linux了（uml），uml是linux内核的一个补丁，可以允许可执行二进制文件在linux宿主主机上编译并运行。使用uml有很多好处，最有用的特性就是虚拟机。由于对uml的 *** 作不会影响宿主主机，可以把它作为测试软件、运行不稳定发行版、检查有威胁活动的平台。uml最终会创建一个安全架构上完全虚拟的环境。

linux与windows安全性能的重要结论

对 *** 作系统的安全性进行定性分析，很容易包含主观意见，得到的结论会由于过去和现在的经验而有很大的不同。本文的目标是给用户提供一个框架，让他们更多的理解windows和linux的安全性能。下面的分析并不全面，只是终端用户进行评估的起点。linux和windows在技术上不断进步，究竟哪个系统更安全的结论也会不断变化。本文分析的结果：linux提供了比windows更好的安全特性。

基本安全

微软和linux都提供了对验证、访问控制、记帐/日至、受控的访问保护实体、加密的支持。不过linux的表现更好一些，因为linux还提供了linux安全模块、selinux和winbind。linux用户不需对内核打补丁就能增加额外的安全机制。

linux在lsm之上构建了多种访问控制机制，例如：为应用程序建立了单独的空间，使它们之间相互分离，也与基本的 *** 作系统隔离，这样即使应用程序出现了安全问题也不会影响 *** 作系统。linux的基本安全也可以通过应用程序增强，比如tripwire（可以定期对系统进行关键文件的完整性检查，如果文件的内容或者属性有变化就通知系统管理员）。

windows的限制在于基本安全是依靠mscapi的，在代码签名时信任多个密钥。微软的模型重点在于可以同时对一个产品使用弱加密或者强加密。尽管模块不是以相同的密钥进行签名，mscapi却信任许多根验证机构，代码签名也信任多个密钥。因此只要有一个密钥被泄露就会使整个系统异常脆弱。密钥泄漏的情况：授权的代码签名者不小心纰漏了自己的私钥，或者签名机构错误的签发了一个证书。这些情况曾经发生，有一次verisign错误的以微软的名义签发了两个证书，并将这些证书的控制权交给了未授权的个人。

网络安全与协议

linux与windows对网络安全和协议的支持都很不错。两者都支持ipsec，这是一个运行于ip层的开放的基于加密的保护方式。ipsec能够识别终端主机，同时能够对网络传输数据和加密数据的过程中的修改作出判断。linux下使用openssh、openssl和openldap，分别对应微软系统下闭合源码的ssh、ssl和ldap。

应用安全

由于微软iis和exchange/outlook不断出现的安全问题，linux显得更胜一筹。apache和postfix都是跨平台的应用程序，比微软的相应产品更加安全。由于linux有内建的防火墙使得其安全性有所增强，snort也是一个优秀的入侵检测系统。关于基于x86系统的linux内核，一个很重要的特性就是ingomolnar的exec-shield，可以保护系统不受缓冲区或者函数指针溢出的攻击，从而对那些通过覆盖数据结果或者插入代码的攻击程序有所防护。exec-shield补丁使攻击者很难实现基于shell-code的攻击程序，因为exec-shield的实现对于应用程序是透明的，因此不需要应用程序的重新编译。

微软正在大刀阔斧的重新设计产品的安全架构，并为已安装的系统提供补丁。不过旧版本的windows产品仍然存在安全问题，这使得任务变得复杂。许多微软用户正面临安全威胁，而补丁在发布之前必须做好文档。另外，微软倾向于将应用程序的数据和程序代码混合在一起，比如activex，这使得系统外的不可信数据也能被使用，甚至是利用不可信数据执行任意代码。某些情况下，windows甚至允许外部系统提供数据签名的代码，这就意味着本地的系统管理员也不能审查代码，不过他仍然知道是谁对代码签的名。

在net框架下，微软应用程序的安全性有所改进。当然，对于那些异构平台，例如linux、windows、unix尤其是建立在java平台下的应用程序，微软的产品是有很大局限性的。

分发和 *** 作

关于分发和 *** 作，linux与微软的侧重点不同，linux下大部分的管理都通过命令行接口。linux的发行商也提供了各种安装和配置工具，例如：up2date、yast2和webmin。bastille linux是一个支持red hat、debian、mandrake、suse和turbolinux的加固工具。相比之下，windows的系统管理员使用简单易用的gui工具，配置的时候也很容易出错误。尽管一些人认为，一个周之内将任何人都可能成为windows的系统管理员，问题是他们到底对管理了解多少？微软的安全问题，绝大多数都是由于发布与 *** 作时的拙劣配置。windows自带安装和配置工具，微软也为加固域控制器、架构服务器、文件服务器、打印服务器、ias服务器、证书服务器和堡垒主机提供了向导，不过加固架构与加固 *** 作系统还是有区别的。

确信度

定义 *** 作系统确信度的标准是公共标准（cc），这是iso标准（iso 15408）。关于确信度的等级有一个层次结构 ―― 从eal1到eal7。只有在特定的软件、硬件和系统配置下，公共标准的评估才是有效的。windows的eal比linux要高，达到了eal4，而linux目前只达到了eal3。suse正计划在年底达到eal4。政府机构大部分都需要cc的确信度。即使只有政府客户（甚至特指美国国防部）才需要确信度，商业产品满足这一要求也是一件好事。不过大部分的用户都不需要达到国防部的标准。

可信计算

可信计算是一种架构，可以避免对应用程序的修改，与厂商的通信也是安全的。许多厂商，比如intel、微软和ibm，都在欢迎这项新兴的技术。目前，这一功能只供展示，现实中并没有可用的系统，因此linux和windows都不能胜任。微软的可信计算与数字权力管理有关，而开源社区目前没有可信计算的项目。

开放标准

linux要优于windows，因为它支持所有的开放标准（尽管windows也支持许多相同的开放便准，如ipsec、ike和ipv6，也乐意扩展标准）。对于使用异构系统并有互 *** 作需求的公司，"标准"如果代有私有代码，就使得对缺陷的检测和错误的修正更困难、耗费的时间也更多。一个例子就是微软对kerberos标准协议的扩展。微软提供了对kerberos票据的授权功能，尽管kerberos一开始也是按照这个目的设计的，这一功能却一直没有使用。微软扩展了kerberos标准，在处理过程中也期望其它程序共享票据的授权数据字段。因此，微软的kerberos版本与标准不能完全交互。it经理会发现：在一个异构的it环境中，使用微软kerberos会使得整个环境难以管理，它们需要完全的windows it架构。

开源

如果安全 *** 作系统的标准就是开源，那么linux显然要优于windows。微软的共享源代码计划就是为了满足用户对源代码的需要。不过，该计划的大部分内容都是"可看但不可修改"的情况。俄罗斯、英国、中国和北约参与了微软的政府安全计划。尽管该计划的目标是增加透明度和加强合作，如果某组织需要访问微软的源代码，需要遵守各种各样的要求。例如：并不是所有的windows源代码都可以在线查看，因此如果用户需要编译并测试应用程序，必须亲自访问微软的总部。

web服务器中实现个人用户主页功能需要设置的selinux域

发表评论

评论列表（0条）