00000030.htm

一份很好的linux入门资料

&nbsp;<BR>
#&nbsp;touch&nbsp;/boot.config&nbsp;<BR>
#&nbsp;chflags&nbsp;schg&nbsp;/boot.config&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;你可以看看系统预设还有那些执行档是有&nbsp;schg&nbsp;flag&nbsp;的。&nbsp;<BR>
&nbsp;<BR>
#&nbsp;ls&nbsp;-lo&nbsp;/sbin&nbsp;|&nbsp;grep&nbsp;schg&nbsp;<BR>
-r-x------&nbsp;&nbsp;1&nbsp;bin&nbsp;&nbsp;&nbsp;bin&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;schg&nbsp;204800&nbsp;Jul&nbsp;19&nbsp;20:38&nbsp;init&nbsp;<BR>
#&nbsp;ls&nbsp;-lo&nbsp;/bin&nbsp;|&nbsp;grep&nbsp;schg&nbsp;<BR>
-r-sr-xr-x&nbsp;&nbsp;1&nbsp;root&nbsp;&nbsp;bin&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;schg&nbsp;192512&nbsp;Jul&nbsp;19&nbsp;20:36&nbsp;rcp&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;再回过头来谈谈锁定系统这件事吧!&nbsp;既然刚刚谈到了&nbsp;immutable&nbsp;flags,&nbsp;何不试着把整&nbsp;<BR>
&nbsp;&nbsp;个&nbsp;/sbin&nbsp;和&nbsp;/bin&nbsp;都设成&nbsp;schg&nbsp;flag&nbsp;呢&nbsp;!?&nbsp;这会给想&nbsp;crack你系统的人一点小挫折。&nbsp;<BR>
&nbsp;&nbsp;(假设你的系统也正以适当的&nbsp;securelevel&nbsp;运作中)&nbsp;<BR>
&nbsp;<BR>
#&nbsp;chflags&nbsp;schg&nbsp;/bin/*&nbsp;<BR>
#&nbsp;chflags&nbsp;schg&nbsp;/sbin/*&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;不过&nbsp;/sbin&nbsp;可能被改成别的名字,再重新创造一份新的&nbsp;/sbin&nbsp;,所以改变&nbsp;/sbin&nbsp;与&nbsp;<BR>
&nbsp;&nbsp;/bin&nbsp;的&nbsp;schg&nbsp;flag&nbsp;是很合理的想法,我们可以依照以下的方式改变&nbsp;/sbin&nbsp;和&nbsp;/bin&nbsp;&nbsp;<BR>
&nbsp;&nbsp;的&nbsp;schg&nbsp;flag:&nbsp;<BR>
&nbsp;<BR>
#&nbsp;chflags&nbsp;schg&nbsp;/bin/*&nbsp;<BR>
#&nbsp;chflags&nbsp;schg&nbsp;/sbin/*&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;这些&nbsp;schg&nbsp;flag&nbsp;的档案会让你在&nbsp;&quot;make&nbsp;world&quot;&nbsp;时有问题。&nbsp;<BR>
&nbsp;&nbsp;(&quot;make&nbsp;installworld&quot;&nbsp;也是)&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;无论如何&nbsp;,最好是以&nbsp;single&nbsp;user&nbsp;模式来&nbsp;&quot;make&nbsp;world&quot;。有关&nbsp;&quot;makr&nbsp;world&quot;&nbsp;的相&nbsp;<BR>
&nbsp;&nbsp;资讯,&nbsp;还有为什麽要这麽做,&nbsp;到下面这个网页来看看:&nbsp;<BR>
&nbsp;<BR>
<A HREF="http://www.nothing-going-on.demon.co.uk/FreeBSD/make-world/make-world.html">http://www.nothing-going-on.demon.co.uk/FreeBSD/make-world/make-world.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;现在你已经适当的锁定你的系统,&nbsp;也以只跑必要的的&nbsp;service,&nbsp;而档案系统也适当的&nbsp;<BR>
&nbsp;&nbsp;mount&nbsp;上来,&nbsp;且也以适合的&nbsp;kernel&nbsp;securelevel&nbsp;运作中。&nbsp;<BR>
&nbsp;&nbsp;与以上所述的相关&nbsp;man&nbsp;pages&nbsp;有:&nbsp;init(8),&nbsp;chflags(1),&nbsp;sysctl(8)。&nbsp;<BR>
&nbsp;<BR>
o&nbsp;Logging&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;系统纪录是很重要的。如果你的统被人攻击,&nbsp;透过它你可以找到一些蛛丝马迹。Unix的&nbsp;<BR>
&nbsp;&nbsp;标准&nbsp;log&nbsp;动作是透过&nbsp;syslogd(8)&nbsp;来达成的。它从&nbsp;/etc/rc&nbsp;中被启动,&nbsp;一直执行到系&nbsp;<BR>
&nbsp;&nbsp;统关机为止。你可以用以下的方式确定你的系统上是否正在执行&nbsp;syslogd:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;$&nbsp;ps&nbsp;-axu&nbsp;|&nbsp;grep&nbsp;syslogd&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;Syslogd&nbsp;会在启动时读取&nbsp;/etc/syslogd.conf。这个档案很重要,&nbsp;因为它告诉&nbsp;syslogd&nbsp;<BR>
&nbsp;&nbsp;要纪录那些东西,&nbsp;而这些东西又该放在那里。你也许想看看&nbsp;&nbsp;syslod&nbsp;和&nbsp;&nbsp;syslod.conf&nbsp;<BR>
&nbsp;&nbsp;的&nbsp;man&nbsp;pages:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;$&nbsp;man&nbsp;syslogd&nbsp;;&nbsp;man&nbsp;5&nbsp;syslog.conf&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;既然&nbsp;Unix&nbsp;当初就是设计作为网路作业系统,&nbsp;syslogd&nbsp;可以而且预设值也接受其它系统&nbsp;<BR>
&nbsp;&nbsp;的纪录。它自己也是可以把纪录透过网路送到其它的电脑去。想当然耳,&nbsp;它可以纪录下&nbsp;<BR>
&nbsp;&nbsp;自己系统发生的每件事&nbsp;-&nbsp;而这也正是预设值。因为&nbsp;syslogd&nbsp;使用&nbsp;&nbsp;UDP&nbsp;-&nbsp;所以资料是&nbsp;<BR>
&nbsp;&nbsp;可以被伪造的。你至少可以作一件事:&nbsp;不要让你的&nbsp;&nbsp;syslogd&nbsp;接受来自其它电脑的纪录&nbsp;<BR>
&nbsp;&nbsp;讯息。在&nbsp;/etc/rc.conf&nbsp;加个&nbsp;&quot;-s&quot;&nbsp;就可以了:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;syslogd_flags=&quot;-s&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;Flags&nbsp;to&nbsp;syslogd&nbsp;(if&nbsp;enabled).&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;如果你有接受特定机器之纪录的必要&nbsp;(像是你的&nbsp;&nbsp;router,&nbsp;或是&nbsp;&nbsp;web&nbsp;&nbsp;server),&nbsp;使用&nbsp;<BR>
&nbsp;&nbsp;&quot;-a&quot;&nbsp;来指定特定的&nbsp;hosts,&nbsp;domains,&nbsp;或&nbsp;subnets。&nbsp;<BR>
&nbsp;&nbsp;下次你重新启动你的系统时,&nbsp;syslogd便会拒绝来自其它地方的纪录讯息。如果有人尝&nbsp;<BR>
&nbsp;&nbsp;试送资料进来,&nbsp;syslogd&nbsp;将会加以纪录。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;如果你不想重新启动你的系统,&nbsp;那麽只要把&nbsp;syslogd&nbsp;kill&nbsp;-9,&nbsp;然後再以&nbsp;root&nbsp;的身份&nbsp;<BR>
&nbsp;&nbsp;启动&nbsp;syslogd&nbsp;便可以了。记得加上&nbsp;&quot;-s&quot;这个叁数。&nbsp;<BR>
&nbsp;&nbsp;如果有人尝试攻击你的系统而且失败了,&nbsp;你的系统纪录便不会被伪造。但如果你的系统&nbsp;<BR>
&nbsp;&nbsp;己经被攻陷了,&nbsp;而且&nbsp;/var/log&nbsp;整个被干掉了呢&nbsp;!?还是有方法可以防止的。&nbsp;其一便是&nbsp;<BR>
&nbsp;&nbsp;在你的网路系统中再架一台机器拿来纪录整个网路中发生的事,&nbsp;而且也不要再干其它的&nbsp;<BR>
&nbsp;&nbsp;事了。除了&nbsp;UDP&nbsp;port&nbsp;514&nbsp;之外,&nbsp;其它的也都不用再开了。这样子一来你便可以纪录下&nbsp;<BR>
&nbsp;&nbsp;所有机器&nbsp;(routers,&nbsp;firewalls,&nbsp;serves,&nbsp;workstations)&nbsp;发生的所有事。你可以只送&nbsp;<BR>
&nbsp;&nbsp;敏感的讯息给它,&nbsp;或者任何你觉得重要的。这台机器可以是老旧&nbsp;486,&nbsp;但有颗大大的硬&nbsp;<BR>
&nbsp;&nbsp;碟。记得要设定好正确的&nbsp;&quot;-a&quot;&nbsp;选项,&nbsp;免得搞出没收到纪录的乌龙事。你也可以接台老&nbsp;<BR>
&nbsp;&nbsp;旧的点阵印表机给它,&nbsp;以印出敏感的事件(像是失败的登入尝试)。如果你把系统纪录印&nbsp;<BR>
&nbsp;&nbsp;到纸上,&nbsp;一位攻击者要清除它是很困难的(除非有内奸,&nbsp;哈哈!)。还有其它的方法,例如&nbsp;<BR>
&nbsp;&nbsp;透过&nbsp;serial&nbsp;port&nbsp;(cuaaN)&nbsp;或是&nbsp;parallel&nbsp;port&nbsp;(lpN)&nbsp;送出纪录到别台机器上。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;每个人都有不同的记录需求。但是有一件事我通常会做的是在&nbsp;/etc/syslog.conf&nbsp;加入&nbsp;<BR>
&nbsp;&nbsp;这一行:&nbsp;<BR>
&nbsp;<BR>
auth.*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;/var/log/authlog&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;出厂时便包含了&nbsp;newsyslog。这玩意会定时压缩纪录档并清除掉旧的纪录。设&nbsp;<BR>
&nbsp;&nbsp;定档位於&nbsp;/etc/newsyslog.conf&nbsp;-&nbsp;请看一下&nbsp;man&nbsp;page&nbsp;以得到更多的资讯:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;%&nbsp;man&nbsp;newsyslog&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;不像&nbsp;syslogd,&nbsp;newsyslog&nbsp;不是一直都在执行的。它是从&nbsp;crontab&nbsp;启动的:&nbsp;<BR>
&nbsp;<BR>
%&nbsp;grep&nbsp;newsyslog&nbsp;/etc/crontab&nbsp;<BR>
0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;root&nbsp;&nbsp;&nbsp;&nbsp;/usr/sbin/newsyslog&nbsp;<BR>
%&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;你可以修改&nbsp;/etc/newsyslog.conf&nbsp;以符合你的需求。我通常会改变它预设的档案模式,&nbsp;<BR>
&nbsp;&nbsp;从&nbsp;664&nbsp;改成&nbsp;660&nbsp;-&nbsp;因为没有必要让一般的使用者去查看你的系统纪录。你应该这麽&nbsp;<BR>
&nbsp;&nbsp;做:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;#&nbsp;cd&nbsp;/var/log&nbsp;<BR>
&nbsp;&nbsp;#&nbsp;chmod&nbsp;g-w,o-r&nbsp;*&nbsp;;&nbsp;chmod&nbsp;a+r&nbsp;wtmp&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;这会防止一般使用者读取纪录档,&nbsp;除非它们在适当的&nbsp;group&nbsp;(wheel&nbsp;或之类的)。还有,&nbsp;<BR>
&nbsp;&nbsp;记得把记录档的&nbsp;group&nbsp;都改成&nbsp;wheel&nbsp;--&nbsp;这纯粹只是为了方便:&nbsp;如果你是在&nbsp;wheel&nbsp;这&nbsp;<BR>
&nbsp;&nbsp;个&nbsp;group;&nbsp;你当然是可以&nbsp;su(1)&nbsp;到&nbsp;root&nbsp;&nbsp;然後读记录档。但是这麽做以後你便可以直&nbsp;<BR>
&nbsp;&nbsp;接读记录档了,&nbsp;岂不方便乎!?&nbsp;<BR>
&nbsp;&nbsp;你还要在&nbsp;/etc&nbsp;/newsyslog.conf&nbsp;中加入&nbsp;&quot;root.wheel&quot;:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;/var/log/maillog&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;root.wheel&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;640&nbsp;&nbsp;7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;100&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Z&nbsp;<BR>
&nbsp;&nbsp;/var/log/authlog&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;root.wheel&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;640&nbsp;&nbsp;7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;100&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Z&nbsp;<BR>
&nbsp;&nbsp;/var/log/messages&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;root.wheel&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;640&nbsp;&nbsp;7&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;100&nbsp;&nbsp;*&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Z&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;这会在记录档达到&nbsp;&nbsp;100K&nbsp;&nbsp;时将它压缩并加以编号,&nbsp;将&nbsp;&nbsp;mode&nbsp;&nbsp;改成&nbsp;640,&nbsp;&nbsp;&nbsp;chown&nbsp;成&nbsp;<BR>
&nbsp;&nbsp;root.wheel,&nbsp;并将旧的记录档干掉&nbsp;-&nbsp;这就是我们要的。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;当然,标准的&nbsp;Unix&nbsp;还有其他不同的&nbsp;syslog&nbsp;程式可供选择,其中之一是&nbsp;CORE&nbsp;EDI&nbsp;的&nbsp;<BR>
&nbsp;&nbsp;ssyslog&nbsp;(secure&nbsp;syslog).&nbsp;可以在以下的地方找到:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.core-sdi.com/ENGLISH/CoreLabs/ssyslog/download.html">http://www.core-sdi.com/ENGLISH/CoreLabs/ssyslog/download.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;另外还有&nbsp;nsyslog&nbsp;(new&nbsp;syslog),这是写&nbsp;bpfilter&nbsp;那一伙人写出来的,你可以在&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://cheops.anu.edu.au/~avalon/nsyslog.html">http://cheops.anu.edu.au/~avalon/nsyslog.html</A>&nbsp;找到这个程式。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;不管你选用那一种程式&nbsp;(标准的&nbsp;syslog&nbsp;,&nbsp;ssyslog&nbsp;,或&nbsp;nsyslog),你应该也去看看&nbsp;<BR>
&nbsp;&nbsp;一些帮你分析系统&nbsp;log&nbsp;的程式,帮你省下去用&nbsp;grep&nbsp;查询&nbsp;log&nbsp;file&nbsp;的麻烦。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;其中之一是&nbsp;logcheck&nbsp;,&nbsp;可以在这个地方下载:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.psionic.com/abacus/abacus_logcheck.html">http://www.psionic.com/abacus/abacus_logcheck.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;另外一个类似的程式叫做&nbsp;logsurfer&nbsp;,&nbsp;你可以从这个网页下载:&nbsp;&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.cert.dfn.de/eng/team/wl/logsurf/">http://www.cert.dfn.de/eng/team/wl/logsurf/</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
o&nbsp;Misc.&nbsp;hints&nbsp;and&nbsp;tips&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;LKM&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;在正式提供服务的系统上,&nbsp;也许该关掉&nbsp;LKM。为什麽?&nbsp;请看:&nbsp;<BR>
&nbsp;&nbsp;Phrack&nbsp;Magazine&nbsp;&nbsp;&nbsp;Volume&nbsp;7,&nbsp;Issue&nbsp;51&nbsp;September&nbsp;01,&nbsp;1997,&nbsp;article&nbsp;09&nbsp;<BR>
&nbsp;&nbsp;要关掉&nbsp;LKMs,&nbsp;在&nbsp;kernel&nbsp;设定档中加入这一行:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;options&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;NOLKM&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Portmap&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;出厂的预设值会将&nbsp;portmap&nbsp;这项功能打开。如果你不需要它的话,把它关掉。&nbsp;<BR>
&nbsp;&nbsp;如果你没有跑任何需要呼叫&nbsp;RPC&nbsp;的程式的话,你就不需要跑这个程式。如果要关掉&nbsp;<BR>
&nbsp;&nbsp;portmap&nbsp;这个程式,你可以去修改&nbsp;/etc/rc.conf&nbsp;,&nbsp;&nbsp;把&nbsp;<BR>