尚观内部学员笔记 - 【 Linux/Unix 】 - 我是网管论坛

oodabc

学徒网管

UID 477125
精华 0
积分 0
帖子 54
MST币 57 点
BST币 0 点赚取
阅读权限 60
注册 2007-1-1
状态离线

大中小

[ 使用道具 ]

发表于 2008-8-23 15:53 [ 资料 ] [ 博客 ] [ 短消息 ] [ 加为好友 ]

爱琴思邮件系统iGENUS V5.0

尚观内部学员笔记

本帖发表在我是网管论坛，帖子地址：http://bbs.54master.com/268032,1,1

尚观的教材做的真是不咋地，只要是在尚培训过的学员都知道。最主要的还是靠自己做笔记，认真地听讲。最终，才能真正收获点东西。ULE部分的内容比较简单一点，这里就再上传了，只上传ULA部分的课堂笔记。

ULA 架构

2008年6月10日星期二
一、主机安全：
1、基本权限我是网管论坛:Q3l I!Q g3n2D
(ugo+-rwx、suid sgid sticky 、acl 、chattr 、mount –o ro……、quota)
2、密码安全：①经常修改系统密码 ②注意密码的长度和复杂度我是网管论坛(X2G6@;d!D+E2Z+T
3、信息完整性检测：
8f5}#U$}3^&K6I'l
rpm –V httpd
#检查 httpd这个rpm包安装后的文件有哪些变化www.54master.com o!g'C*U4H+Z0x

S.5....T c /etc/httpd/conf/httpd.conf网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术5x,a7t,h8K;K$e%P5])}&s
#这S.5....T为8段，每段有不同意思，如下：我是网管论坛(|3k9K7S2n.b5S ?+[3T/u%g

S：大小不一样我是网管论坛:n7N H+J"e-v

M：权限或文件类型我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;?9Y;r0x8q"q6c0L:F

5：MD5sum求和值的变化- 畅通网络因为有我6?,t$L:Y"L"x,L
我是网管论坛.H'\/V/R([4D8|6S
D：主设备号和从设备号有变化

L：软连接有变化

U：用户有变

G：组有变
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！2P8V%d'\(n7O)m4S%i
T：最后更改时间有变
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术+@+r9i:A#p'|4\,_;c
rpm -Va网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术 a9F9O7A%P"X7k

#检查所有包
'T'p0M4O.@
rpm -Vf /etc/passwd

#检查passwd所对应的包安装的文件的变化

rpm --import keyfile
#b!k;?7~5E
#将keyfile导入数据库(keyfile为光盘上的md5校验文件)网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术9P,],y'd)o4{(k
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术!T9\,\&W5\5s P-Z!q
rpm -K httpd-2.2.3-11.el5www.54master.com"p8@/F+h4{'Q5A0u$I
检查httpd-2.2.3-11.el5的数据完整性我是网管论坛'^$B&e0S.U#P6f-|$^3o%o
grub加密：
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！3L!z!y)r6h!R$G/X
我是网管论坛*c1c.D/V#F7S-q,j
grub-md5-crypt <<EOF
www.54master.com1t4D L0d,A0w+F2U

>1234561S'z'n3q0I)j.{

>123456- 畅通网络因为有我7R7}7z5D6?,J7o)d4s-Q

- 畅通网络因为有我4m+@,V3t3v3S
>EOF

会得到加密后的123456的md5密文：$1$AfSyX$AUMBflc4NJNT7qpcqnktz/9G'I*Y0i.l,Z6I
我是网管论坛,~'l!I-W9Q
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！ |7c%p$[+]"L0e
在/boot/grub/grub.conf里的title上方添加一行：
"H5n9h6T+C#o+c!_
我是网管论坛4e0N.c4H#v7@!R6X z
password --md5 $1$AfSyX$AUMBflc4NJNT7qpcqnktz/www.54master.com'_9@/|1a/q;@3r/S!Y
4、pam可插入式身份验证

vim /etc/pam.d/login
- 畅通网络因为有我/}.}.?3q'B
#%PAM-1.0
   类型    条件-@%W%V)z-m!m&q5K
pam模式             参数我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！+o.C5](j%k/e9L#b#g
auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
auth
include
system-auth-~2S"|&g(m/I-w'?+@2o
account
required
pam_nologin.so.y&[,Y7X&w4j$a/q$_
account
include我是网管论坛%G.Z-@(s#?"\.N$Y'?
system-auth我是网管论坛.Q7f9a$y:R/l8?#z
password
include
system-auth#G!I)t5^8? b"E
session我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！5S"@0l(a ~
required
pam_selinux.so close我是网管论坛1T/p"N8_1i4t

pam文件内容一般有4段：类型、控制标志（条件）、pam模块、参数
①类型：我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！7|3@#}3?,a7e9d){6\1V*t
auth- 畅通网络因为有我9h)h/q:V:e#z1q
检查用户名和密码
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！7])o9M%I(_;_
account- 畅通网络因为有我&@;S$b"Z#h$\ ];v @:I&k
非用户名和密码的检查网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术%B+g$Z&q3t+P9C
www.54master.com&U)k$i4I6_6L/[&a1Q
password;W5z f2j&]"t8O8H8i
更新密码时用
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术&E4r#T7N(G$p+j4w:j
session
会话，用来作限制，如打开的进程数、文件数、空间等网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术6D!l)N!l&R9\
②条件：我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！(a'M7Z6t _
required
必要条件（本条必须通过，才向下检查）www.54master.com+W!Q+Y:U#Q"K7}
sufficientwww.54master.com0t't6s(|(_.a8x
充分条件（如果本条通过，则验证一定成功，不向下检查；如果没有通过，则一定不通过，且向下检查：输出信息）我是网管论坛.a7|"P)w;Z-f$n;E
requisite
检查不过，则不向下检查；和sufficient相反www.54master.com+t#r6h/L3u9e(@+T/{
include我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！7K(i-B T#z9`3U1V'i
包含一个文件中相对应的类型我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！7u6d-M)Q;W/r-g5?9D9n
optional我是网管论坛7u1Z e!J.j)`
非必要条件，可要可不要网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术2b.V9u;@6l5S
自定义条件：[user_unknown=ignore success=ok ignore=ignore default=bad]- 畅通网络因为有我5_.?1G(P2]3d4m
www.54master.com*J$|1N-`+r.i'v
- 畅通网络因为有我3~+{&V,Y"U1g)j
③模块：所有pam模块都放在：/lib/security/ 目录下- 畅通网络因为有我4v&V-O"o0G'L)B4n)|+X
                        相应文档在：/usr/share/doc/pam-0.99.6.2/ 目录下
3k${)j6c9e:G
pam_env.so我是网管论坛#T&z9u.a P8r%X3k){
/etc/security/pam_env.conf
环境变量（没多少用）我是网管论坛(Y6z(o&g3U b
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术0E)o.X7R-C(r!N0M(M
pam_securetty.so
/etc/securetty网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术-d'M(q6V-\.\
对root用户限制的终端
- 畅通网络因为有我"m.|3Z4R&I5v"G/]
pam_deny.so
显示登陆失败信息
pam_nologin
/etc/nologin
默认没有这个配置文件，如果创建了，则不允许非root用户登陆，root在登陆时则显示其中的信息

④参数： W!f8W)c5r-R
pam_cracklib.so
参数：retry=3，更新密码允许重复的次数

pam_unix.so
参数：nullok:m-n;U2\-x'S%j)^
表示允许密码为空用户登陆

>> 限制shrek用户只能在tty5上登陆：（pam_access.so的应用）
            在vim /etc/pam.d/login
中加上一行（尽量写在上方）

account
required网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术0x-T:Z9Q-P0s.]3G q)x4W
pam_access.so

            然后修改：vim /etc/security/access.conf我是网管论坛;g#t$y%^8i&?-q)k+Z(o3t
内容为：

-：shrek：ALL EXCPT tty5
# “-” 号表示拒绝；”+”表示允许我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！3g+f&R.P3?:t/q&h0s
            注：也可以参数上写：accessfile=/etc/access.conf（自己创建）

>> 限制所有用户只在指定终端上登陆，其他终端登陆不上去，包括root用户www.54master.com1]6X*l"@#Z%r H!{,m3X
            在vim /etc/pam.d/login- 畅通网络因为有我8J Y9Z/}!k8e
中加上一行我是网管论坛+[(H0|,\2k(H9I4V0Z
)E5h/x3z-U:M#G B
account www.54master.com(e-] ?,v:Q j.?
required- 畅通网络因为有我2p:k*w/w&S7P&x&a:z
pam_listfile item=tty sense=allow file=/etc/tty.conf
                  在/etc/tty.conf中写上：tty5 即可 _9n-f*Q!S!m/U;J6K
我是网管论坛9_*K:t9Q*m0X-`6T3r(o
account
required网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术3W(t7R4o'c2]2l*Z
pam_listfile item=user sense=allow file=/etc/user.confwww.54master.com&u+u4S"i-Y%c5Z
                        限制用户：在/etc/user.conf中写：root
                  （注：item 的类型：tty、user、rhost、ruser、group、shell）
            在其中查看：file:///usr/share/doc/pam-0.99.6.2/html/sag-pam_listfile.html

5、Selinux- 畅通网络因为有我 n${%X9K,[;l,i
安全加强的linux我是网管论坛0a:f.J5t(e#D5Y
由NSA开发- 畅通网络因为有我;s'W9{!l3X&E6@.C
            包括： ①DAC>(ugo+-rwx、suid sgid sticky 、acl 、chattr 、mount –o ro……、quota)网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术8J*r#]2A7Z6d
                        ②MAC>Selinux
            打开或关闭Selinux ：vim /etc/selinux/config我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！3L,a-]&a2p.m1w8S(H
（打开或关闭时需要重启才能生效）
（注：也可在grub引导内核时加上：selinux=0或1；如果已打开可用enforce=0或1来permisive或enforce）
> ls –Z我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！4i/^3P)n2F*}#M+X
查看selinux标记网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术"I0K0c3I;T6n's.[
system_u：object_r：user_home_t：s0
system_u：执行时的身份

object_r：可以访问的用户角色%d0x&?,H/F6W-[/s1R

user_home_t：确定进程在执行时的类型www.54master.com5M&}$p/p4i,a:`:a5o*v
- 畅通网络因为有我(h9A*u1u3a!X/]/T;|.F7C
> fixfiles我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！-U;W*V&N0e
对文件重标记
- 畅通网络因为有我0\*q!Z5T1o
fixfiles relabel /root网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术2D6O$^7S:D+q
（relabel：将指定目录重新按策略集来标记）www.54master.com1j'Z1W+k'd0^-i W
                  策略集存放位置：vim /etc/selinux/targeted/policy/policy.21我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！/K&K/U8?9K3b1k)X

> chcon -t user_home_t index.html
修改index.html的类型
- 畅通网络因为有我2^2L5b*o+Z0m.g7H/U(b5q&g
chcon –u system_u index.htmlwww.54master.com'}%k7p.m0U9Z8b:^
修改index.html的执行时的身份
> setfiles /etc/passwd /etc/shadow

将/etc/passwd的selinux属性复制到/etc/shadow
文件中
我是网管论坛&A&L/w.g0w.K2q'p:r4h9C

我是网管论坛9r9O"k/F"b0l3`&c8^ B
2008年6月11日星期三我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！$Q5`(D"B%C(v%`!?2R&T,E
二、服务安全
用chkconfig --list0g&J8c+e+l9x$K!_-S%r
可查看当前环境下已开启或关闭的所有服务。
我是网管论坛 M k.g&S$a4|
chkconfig --del httpd
删除httpd服务我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！'? l9m*L.`$R*u,|
www.54master.com"V0i3`+p4Z5V/n&d*u
chkconfig --add httpd我是网管论坛;b;x S)\,]/e!x2f&|
添加httpd服务我是网管论坛1^$D(e0x-X$h K
1、
tcp_wrappers
服务安全访问控制工具
用chkconfig --list我是网管论坛*L9b%O,Q;n*_-?3}3H$m3m
查看已有服务（如sshd服务）我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！(F%[9f4H(Y6y
which sshd 查看路径
ldd sshd 查看sshd调用了哪些库文件
如果这库列表中有libwrap.so.0 => /usr/lib/libwrap.so.0 则可用tcp_wrappers来作限制。
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术(f/\'s$l1Z9`6y&L.z
tcp_wrappers的配置文件：/etc/hosts.allow 和/etc/hosts.deny
                  相关格式在man 5 hosts_access里查看，如：
www.54master.com&?;P,T6Q(o)k&]
/etc/hosts.deny:

ALL：ALL 拒绝所有

sshd：ALL EXCPT 192.168.0.我是网管论坛*},L ?&Y2w;F"E
拒绝除了0网段的所有登陆ssh- 畅通网络因为有我 k2y3N)b+u(F%I

sshd：192.168.0.：spawn echo “%a want access %d!” >>/tmp/sshd.log
                           拒绝0网段，且将其IP记录到/tmp/sshd.log日志中。
可通过tail /var/log/message 来查看

man 5 hosts_options"P5J(v)s2@)v!s5g*g!m1I
查看tcp_wrappers的扩展功能。如：
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术3_)z,i%h2`9e9q
severity mail.info网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术"X*a.y9c3F&^3M n;x3[
记录日志
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术2z%k)y a-L.j!_
nice -20
调整优先级我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;q%Z#x:]-x
- 畅通网络因为有我:N6?1E.L8c
spawn 和twist
后可接一条shell命令网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术)X*Z;I7y"j
我是网管论坛0|4E1k0T+M4t*s0W.\0Y
allow 和deny网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术;a V3Z+A:J*S'@5_
允许或拒绝
(o;~+|8B+{;[0k
sshd：ALL EXCPT 192.168.0.：nice -20：spawn echo “wellcome”： severity mail.info
      我是网管论坛 C2T4w/M"A'O
（注：/etc/hosts.allow 和/etc/hosts.deny其中hosts.allow优先级更高，也就是在hosts.allow里允许的用户不受hosts.deny的限制；多个功能之间用“：”分隔；另外，twist命令用于代替前面的服务sshd，即一个服务蜜罐，在试图ssh时实际在运行twist指定的命令。）

2、基于xinetd服务的访问控制- 畅通网络因为有我'?$V+t5V3L
            所有xinetd服务及对应配置文件都在/etc/xinetd.d/目录下如：krb5-telnet
            可用man 5 xinetd.conf 来查看其中的服务有哪些可用的字段来作限制!q.q6i)U5L:p

service telnet
{www.54master.com!j(B!f*Z"e!F8y8h

www.54master.com7w(t*M5@+R2L4E

flags网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术+J*K&s(\:T3K4\3i
= REUSE SENSOR7]5d g7K#n7t8v
一个标记我是网管论坛!j5e1@(q+^8D*g

socket_type
= stream
类型为：流www.54master.com;v"r:Q-} e:Z ^3Q
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术*W:V0~1j ];m$O9f

wait
= nowww.54master.com3_+m/j)]1e'E9P-E:},w%D$l7l
等待=不我是网管论坛-W.C6R:}+L$n)q"z,K

user我是网管论坛,h$m#`.u)Q!T2`8d7@7F)W
= root我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！9p5{3k:G5D8_3n'g
允许的用户：root- 畅通网络因为有我-A:\4m;v4U2u)m8L)]*F1A

9g/q7K2m5e'o(S!E9z
server- 畅通网络因为有我*_8@0|.S&L3o&~1b6i4t

= /usr/kerberos/sbin/telnetd网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术"^5L8Z&S W @&Z*R
相关服务

- 畅通网络因为有我3p0e:J8z$B,H3i
log_on_failure
= USERIDwww.54master.com/S'Q%D7^1y/B,A

disable
= yeswww.54master.com/^#h8F#Q&E N5q)\
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！$K4Q0Q&Q,X5o0_
#以下是常用字段：- 畅通网络因为有我4c0k-^(t"w%Z
- 畅通网络因为有我-`-H2U4q,N/S!h
no_access我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！4f,[.a!G%{:o#e
=192.168.0.10%a-?)t1S0X7T-O'I8}(l
拒绝.10主机访问

only_from我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！2B$Z*b3~9^5l9H3{:l
=192.168.0.05S1^4U:M(q0b
允许0.网段访问www.54master.com!u6d%B"b5B0f
                                             （如果no_access和only_form冲突，no_access优先）我是网管论坛!m W1B.\6b(T
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！6u:J0n.K3V'k5v'h%Q!C
instanceswww.54master.com&n5h7}9Q%Z)a
=107o1s'B)t/a2h4w
可连接数

nice
= -20- 畅通网络因为有我)W:I%L'~;I1O's
访问时的优先级www.54master.com4c,['U4G.B5r4c
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;q'Y'S3y+|&E-E"?
access_times我是网管论坛+~!~1s4e*h$v!\'|'L8I#u
= 09:00-18:008X/I,J,J!U,~&M9G8`
允许访问的时间段我是网管论坛 D(t&n2i0j&\&[6S
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术5y*^#q-m)@1^%]
log_type- 畅通网络因为有我'm:m1s.j8l.`
= SYSLOG
日志类型

per_source4@(e:R!T4b
= 10
每个客户端可连接的最大数我是网管论坛,l4y.V!v.d$r:X

cpswww.54master.com4c,Y/_-x&P#p:?2{9r;|
= 50 10,Y*V4~){4z8u
每秒最多连接50，超过后断开，10秒后重新开启网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术(i*K)B#d$h-l8r
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！%f"I;D*|!t @;X9y/Z
rlimit_as
= 100M 限制地址数，相当于限制占用内存数- 畅通网络因为有我.B!@!j-j5d$X:d$p ]
我是网管论坛-A"o q)j3e m+R:@3j
rlimit_cpu网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术/k+s!R(Z(o9a8k
= 20www.54master.com w;O%`&Q'S*u3z-Y%N7b
占用cpu时间 20秒网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术;p6l!q9k%G;K8V)C0z

deny_time 网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术/n#l%S)u1T.~:A3}.w7H
=2 我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！-J(])]#p6n*P6[0V

2分拒绝后重开需要flags = SENSOR我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！%x6~-]1v5`+M.q$d#d:p-}
}- 畅通网络因为有我2g0t;m;x+d(L4k*X:N

3、用PAM系统对服务控制访问
            同样可以用ldd ssh 看ssh有没有调用libpam.so.0 => /lib/libpam.so.0www.54master.com F%r,c-l-`9]#~ D6b*r/c
                  如果有的话，则可用pam来限制相关服务
                  一般都在："/etc/pam.d/sshd" 目录下- 畅通网络因为有我%Q x#u,k B5F6m

vim /etc/pam.d/sshd

account
include我是网管论坛0U'N6a3o(z2R(y
system-auth我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;v!L;Q,|7]+Q$p
#在system-auth可作限制我是网管论坛4W&l,c"X)K
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！$a$q-T#X+g3D;{,Z
- 畅通网络因为有我3B1d+C+H.U5^
>0N*@!\!k!Y+D*R
account
required我是网管论坛,q:D;[5`8g3[4F
pam_access.so
accessfile=/etc/sshdaccess.conf- 畅通网络因为有我+g.P)s)l&A5l,K

我是网管论坛/P,G*U#|#s%g6\2G
>www.54master.com9f2R5k6].z!x6h
－：ALL：ALL EXCPT 192.168.0.www.54master.com3t"g;^0D$y2m3t
拒绝除了0网段的所有登陆ssh网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术:P&i4Y8~;q#~#T.C4P
（注：可直接在/etc/pam.d/sshd中添加，不同的是：在sshd中作限制，只是针对sshd服务，其他不受影响；如果在system-auth中限制，则调用system-auth的所有服务都受限制）

也可用 pam_listfile.so 模块来控制我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！/|:d6t1l8H/I9W"]%t

account
required
pam_listfile item=rhost sense=allow file=/etc/user.conf我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！!^7H(T4R0y2t0p8c
www.54master.com$w,_.d6s-q-K
/etc/user.conf
> 192.168.0.

我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！.{3l0i9v0n U;D-b$b1Y-K
pam_time.sowww.54master.com V&K j:b'X%M8z)r
时间访问控制我是网管论坛2G-K2@/_'[1E(K,|,J
/etc/security/time.confwww.54master.com-Z'N8P)v9t

vim /etc/pam.d/sshd
#限制root在周末和周一登陆网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术$T'Q m6t#x-Y"p+l
- 畅通网络因为有我&F)a6L'x'[9M*L d+};q
> account
required我是网管论坛#p)R9h+W+H3q7g
pam_time.sowww.54master.com;r2`6V:M b%s!b6H"f!n
                                 然后配置 /etc/security/time.conf
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术.Y,X.e4v#X+H#K&l
> sshd；ttyp*；root；!WdMo0000-2400我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！#G+p!o6@!n'J%{

我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！7z"I:y4P*B,]
pam_limits.so
系统资源限制
/etc/security/limits.conf我是网管论坛7?7l!Z/a!]
（注意是在session中添加）www.54master.com!M+E.A'F8`5p#A
                  格式：<domain>
<type>
<item>www.54master.com d/r1W0l"f.F'D
<value>网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术8]#\'n-}-X
            其中item的值，常用的如：网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术8p&j%W7?*?-S(S+K
我是网管论坛9Z(N.j!m8E"a)C
nofiles

打开文件的总数2b `9q(D/a)p5u;B;d$m7M

cpuwww.54master.com#^9N)~3E'X$z!X0g:z(};W
占用cpu的时间（单位：分钟）
www.54master.com6W'y1b#I*R6u
nproc- 畅通网络因为有我4z4Z(o D o!d-{/d/S'f
进程最大数
+K.z,[ \+a,E
as
占用的内存

maxlogins我是网管论坛8l6P:H'^"L;n
最大同时登陆次数（某一个用户）
我是网管论坛4?!P2z1p.e#^7P9w1P$i-e:Z
maxsyslogins- 畅通网络因为有我%B$x+H0q(z'F
后台最大登陆进程数

nice0E6m*m4g&^)D'S'D
程序优先级

vim /etc/pam.d/sshd我是网管论坛%f/J(`:i-R'y

>session网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术!b+X*r0h3M/X7Y:~+m/^
include我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！"M,K1u-_/]$H/~ X6j
system-auth网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术)i!?-E(D:c6z2O
我是网管论坛8t5`,e1a4?4e,x8t7Y
>session我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！:J4Y)G3Z A7O4P/o2Z
required我是网管论坛:q/I+}#t(\.i
pam_limits.so,V'}5{#j*h'J0^3I

vim /etc/security/limits.conf
- 畅通网络因为有我9N:e,B#v)P,F(E7Q%?.p
>
*我是网管论坛9O(|)B0o9n'X6H5k:I
hard
maxlogins我是网管论坛.r0f6k#Y!m/E3r
40~/R,W.J&V x {
#限制一个用户同时登陆上限数www.54master.com7L7Z(I:q-L3y+? ^0i.P!H
www.54master.com%R(g!r*m!U&u#R
4、查看登陆日志来检测威胁我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！'o;~6g3w4w7l;M.[7w
www.54master.com!r)]&S;E Q2D7l
last$N9V3r.U'f1N;X

lastlog我是网管论坛$A0F,c8q.X7q q7d/o
www.54master.com2o5P q&W9r(J"{
5、auditd我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！:d8H-k/W0|8]0N3A'd&D
记帐系统  （redhat中默认是打开的）
www.54master.com$s5o/[ B)v,?:M
aureport网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术(X#o2L;|0e4V5w.C-R
查看记帐信息报告我是网管论坛.W7_2c*~$Y$j-?%y7E:T-Q
                        具体查看：

aureport7e-x,l%~!x"D%V
--auth
Report about authentication attempts
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术 W7D'[7U&Z6h6i6y
-l
Report about logins
                  可查看：man aureport
或aureport --help 详细参数

6、ssh服务相关及命令

scp 192.168.0.254:/etc/passwd passwd
将.254上的/etc/passwd 拷贝到本地
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术3@!I2J&n;D)T
sftp 192.168.0.254 网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术 M8^&N2S"j7h;n.y6I8V
基于ssh的ftp
get下载
put上传网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术)^:W)V k+Q6E/g-Q2M.s*o
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术%i-[-_/V;q1O
ssh 192.168.0.254 “uname -r”
对远程192.168.0.254操作，显示其内核信息
                  不过每次都要输入密码，可采用下面的方法，在登陆时不需要每次都输密码www.54master.com3o'a(j.j#P4_.[+z9J"B
"u'u3X)z'E5e
> ssh-keygen -t rsa6F5a0S)l8{ F$Z5~
#生成一个私钥和公钥，rsa是一种加密算法

一路回车会在当前用户主目录下生成：

.ssh/id_rsa（私钥）我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;k u2]9W-d+n.x*P
.ssh/id_rsa.pub（公钥）- 畅通网络因为有我5G/\7E2U5i-B-k7@
                  （注：私钥只能是生成它的用户使用）
            将id_rsa.pub 复制到服务端相对应的用户目录下并改名：.ssh/authorized_keys
                        名字规定在vim /etc/ssh/sshd_config 中查看- 畅通网络因为有我%s!e:M9Y'T0P R
（当然，第一次连接时要密码以后就不用了密码了）
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！*o'd2q3u,{;F"C3I
7、apachewww.54master.com'f4O7Q*j/U:G"Y/D3^.m3O;y
网络控制访问
                  在vim /etc/httpd/conf/httpd.conf
                  网络控制：我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！5c"X+W6}"u6h
我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！;k0H'u,Z"C/Z z:i
order allow,deny

allow from all或deny from 192.168.0.0
                  用户控制：在alias里加：在做nas里有介绍
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术%c(\3f)d#a7r
8、DNS访问控制#j/W$P;r,M8n*c
            在options{}里加（全局设置）
+e)v/v7?(s4O0{3p:~&g
allow-query {
192.168.0.0/24；}；允许请求的ip

allow-transfer {
192.168.0.25/24；}；指定哪台主机ip可作为从服务器
            在zone里也可以写上面两行，不过只是针对某个域我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！6A)A-d+E!`"F(P
/O*R(n)u P/[+~%J
9、sendmail 和 postfix
www.54master.com'`(b4]-b"F9l+V
sendmail配置： /etc/mail/sendmail.mc 或/etc/mail/sendmail.cf- 畅通网络因为有我&m%U%\%N'V
网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术:}:H9q)O4[#Y!I!k
postfix配置：postconf命令；/etc/postfix/main.cf

2008年6月12日星期四
三、网络安全www.54master.com,i+G-Q)F1u$_1j%l:e2h'f(k
1、iptables-g0I1F:Y$Y!b$U/O:i*r&]

iptables我是网管论坛9s;Z(M6f:d;A4H'w,n,Z
属于内核机制网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术:L"b2h'@9[6B i)L)R
我是网管论坛*v"c4d0f5]'i&h


   添加规则：不允许0.0网段的所有用户访问0.254的80端口
iptables -A INPUT -s 192.168.0.0/24 -d我是网管论坛'\.Y)k1x D/k
192.168.0.254 -i eth0 -p tcp --dport 80 --sport 1024：65535 -j DROP 我是网管论坛/p7{9~#z0~"R,q

   匹配扩展：网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术)B)C*O7e%d2t&Y#b

> iprange
地址范围限制
1|;f/H!r!c#^!W'{!u
iptables -A INPUT -m iprange --src-range 192.168.0.100-192.168.0.200 -j DROP
www.54master.com!X$r,Z1l"T.e.X7C8t&y9] v
.100-.200的IP 拒绝

> length我是网管论坛#`,Z v7G$k
数据包的大小限制www.54master.com9a"s4J*a2o!V7e:I*k(p9O;X

iptables -A INPUT -s 192.168.0.0/24 -m length --length 100-200 -j DROP'r(V([:Q.N"G0F"s.k&B
                        拒绝0.0/24网段大小为100-200的数据包网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术 r#u s2b#g
www.54master.com3[%b6v%R:T$_*Y1C
> limit我是网管论坛,w!]5k)N1s(V7t l
限制包的速度我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！!R$c)H7I%\#l
iptables -A INPUT -s 192.168.0.254 -p icmp --icmp-type echo-request -m limit --limit 10/minute -j ACCEPT
iptables -A INPUT -s 192.168.0.254 -j DROP
限制到本机（.254）的pint包10/minute我是网管论坛，企业网管的天堂，网吧网管的乐园。网管软件下载、网管教程下载。中国最大的网管交流论坛！0x5m0S3?:Q,H3K%g$P8e

> mac
对mac地址操作（不允许指定的mac地址通过INPUT链）

iptables -A INPUT -m mac --mac-source 00:0c:29:6a:08:39 -j DROP

> markwww.54master.com8T-t;h;c:_.C1f
给包打标记
iptables -t mangle -A OUTPUT -p icmp --icmp-type echo-request -j MARK --set-mark 9www.54master.com!_-F0O8r2~&A,u(v b,[;V
   将OUTPUT链的出去的ping包打个标记 9 （只在本地有效）

> state
状态（基于状态的防火墙）
                                 四种状态：
NEW
新建的连接
RELATED
再次发包的连接网管论坛,网管软件,企业网管论坛,企业网管软件,企业网管教程,网吧网管论坛,网吧网管软件,网吧网管技术!^6x4G*c"G0D
ESTABLISHED
已经建立的连接"?!E.a2u%d%W5l,A
INVALID
无效包

iptables -A INPUT -m state --state ESTABLISHED, RELATED -j ACCEPT

iptables -A INPUT -s 192.168.0.0/24 -j DROPwww.54master.com&[3T;s.t&s1K3Q)O
                                 拒绝所有的包，除了ESTABLISHED, RELATED（ping不通）
                  （cat /proc/net/ip_conntrack- 畅通网络因为有我5G0r'_*@-d
ip追踪）
            目标扩展：

> DNAT www.54master.com4['y"\5R E#@3q,m9k
目标地址转发，只用于nat