00000030.htm

一份很好的linux入门资料

&nbsp;<BR>
portmap_enable=&quot;YES&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;Run&nbsp;the&nbsp;portmapper&nbsp;service&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;改成&nbsp;<BR>
&nbsp;<BR>
portmap_enable=&quot;NO&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;Run&nbsp;the&nbsp;portmapper&nbsp;service&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Sendmail&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;出厂的预设值也会执行&nbsp;sendmail&nbsp;的功能。从很久以前&nbsp;sendmail&nbsp;就以不安全&nbsp;<BR>
&nbsp;&nbsp;且漏洞百出闻名。最近人们努力的将&nbsp;sendmail&nbsp;中的错误清除,但是由於&nbsp;sendmail是一&nbsp;<BR>
&nbsp;&nbsp;个很肥大的程式,要将所有的错误都抓出来相当的困难。换句话说:如果你不需要它的话&nbsp;<BR>
&nbsp;&nbsp;,最好把它关掉。如果你真的需要它的话,最好到&nbsp;sendmail&nbsp;的网站去看看有没有新的&nbsp;<BR>
&nbsp;&nbsp;patches&nbsp;或是&nbsp;hacks,&nbsp;sendmail&nbsp;的网站在&nbsp;<A HREF="http://www.sendmail.org">http://www.sendmail.org</A>&nbsp;。&nbsp;<BR>
&nbsp;&nbsp;此外,如果你的&nbsp;sendmail&nbsp;版本是&nbsp;8.8&nbsp;以後的版本,请设定好你的系统,以防止&nbsp;spammer&nbsp;<BR>
&nbsp;&nbsp;利用你的系统去干坏事。设定&nbsp;anti-spam&nbsp;的资讯可以在&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.sendmail.org/antispam.html">http://www.sendmail.org/antispam.html</A>&nbsp;下找到。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;如果你决定要把&nbsp;sendmail&nbsp;关掉的话,只要去修改&nbsp;/etc/rc.conf&nbsp;(没错,又是它)中的:&nbsp;<BR>
&nbsp;<BR>
sendmail_enable=&quot;YES&quot;&nbsp;&nbsp;&nbsp;#&nbsp;Run&nbsp;the&nbsp;sendmail&nbsp;daemon&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;改成&nbsp;<BR>
&nbsp;<BR>
sendmail_enable=&quot;NO&quot;&nbsp;&nbsp;&nbsp;#&nbsp;Run&nbsp;the&nbsp;sendmail&nbsp;daemon&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Ports&nbsp;and&nbsp;Packages&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;在一台高安全性的系统上,&nbsp;最好不要使用&nbsp;ports&nbsp;或&nbsp;packakges。&nbsp;你不会真正知道是不&nbsp;<BR>
&nbsp;&nbsp;是安装&nbsp;suid&nbsp;的程式进你的系统&nbsp;--&nbsp;而且你不会想再多这些&nbsp;suid&nbsp;的东西了,&nbsp;相信我。&nbsp;<BR>
&nbsp;&nbsp;尽管你在&nbsp;pkg_add&nbsp;时可以使用不同的选项(如&nbsp;&quot;-v&quot;&nbsp;或&nbsp;&quot;-n&quot;),&nbsp;最好还是自己来:&nbsp;抓回&nbsp;<BR>
&nbsp;&nbsp;它的&nbsp;source&nbsp;code,&nbsp;自己&nbsp;compile,&nbsp;再手动安装完成。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Filesystem&nbsp;quota&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;如果你的系统是&nbsp;&quot;shell&quot;&nbsp;type&nbsp;server,你可能希望设定使用者的&nbsp;quota&nbsp;(可用空间)。&nbsp;<BR>
&nbsp;&nbsp;如此一来可以保护你的系统免受&nbsp;Denial&nbsp;of&nbsp;Service&nbsp;攻击方式的侵扰(不论是有意或&nbsp;<BR>
&nbsp;&nbsp;是无意的)。在未设定&nbsp;quota&nbsp;的系统上使用者可以随意的灌爆你的硬碟。要把&nbsp;quota&nbsp;<BR>
&nbsp;&nbsp;这项功能打开,你可以修改&nbsp;/etc/rc.conf&nbsp;中的这项设定:&nbsp;<BR>
&nbsp;<BR>
check_quotas=&quot;NO&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;Check&nbsp;quotas&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;改成&nbsp;<BR>
&nbsp;<BR>
check_quotas=&quot;YES&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#&nbsp;Check&nbsp;quotas&nbsp;(or&nbsp;NO).&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;请先看看以下的&nbsp;man&nbsp;page,这些文件说明如何使用&nbsp;quota&nbsp;的各项设定,并且有一些设定&nbsp;<BR>
&nbsp;&nbsp;的范例:&nbsp;quotaon,&nbsp;edquota,&nbsp;repquota,&nbsp;quota&nbsp;<BR>
&nbsp;&nbsp;请确定在&nbsp;/etc/fstab&nbsp;中有加入&nbsp;&quot;userquota&quot;&nbsp;,&nbsp;详见&nbsp;man&nbsp;5&nbsp;fstab。&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Crontab&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;如果你使用了&nbsp;/etc/crontab&nbsp;的话,这项功能有可能提供入侵者一些额外的资讯。&nbsp;<BR>
&nbsp;&nbsp;请确定你做过&nbsp;&quot;chmod&nbsp;640&nbsp;/etc/crontab&quot;&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;BPF&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;BPF&nbsp;是&nbsp;berkeley&nbsp;packet&nbsp;filter&nbsp;的缩写,要使用这项功能前你必须修改&nbsp;kernel,以达&nbsp;<BR>
&nbsp;&nbsp;成监听网路的目的。像&nbsp;tcpdump&nbsp;和&nbsp;NFR&nbsp;这些程式都使用&nbsp;BPF。然而&nbsp;BSD的监听程式&nbsp;<BR>
&nbsp;&nbsp;也都透过&nbsp;BPF&nbsp;来达成,如果有人拿到你系统的&nbsp;root&nbsp;权限的话,在系统上设定&nbsp;BPF&nbsp;功&nbsp;<BR>
&nbsp;&nbsp;能反而帮助他们更容易的监听你的网路。如果没有必要的话,不要设定&nbsp;kernel&nbsp;中&nbsp;BPF&nbsp;<BR>
&nbsp;&nbsp;的功能。&nbsp;FreeBSD&nbsp;出厂的设定值是将这个功能关闭起来的。&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;CVSup,&nbsp;CVS,&nbsp;等等&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;如果你是使用&nbsp;CD-ROM&nbsp;安装你的系统的话,很有可能当你拿到你的&nbsp;CD-ROM时,已经发现&nbsp;<BR>
&nbsp;&nbsp;某些程式有错误存在了。在大部份的情况下(我们希望如此),这些错误与系统安全无关&nbsp;<BR>
&nbsp;&nbsp;。然而,我建议你将你的系统升级到最新的&nbsp;-current&nbsp;(或是&nbsp;-stable,视你的喜好而定)&nbsp;&nbsp;<BR>
&nbsp;&nbsp;版本。如此你可以确定你系统上的的是最新版本的系统原始码。&nbsp;<BR>
&nbsp;&nbsp;你需要的资讯在这边可以找到:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.freebsd.org/handbook/handbook264.html#508">http://www.freebsd.org/handbook/handbook264.html#508</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;在更新你作业系统的原始码後你必须去&nbsp;&quot;make&nbsp;world&quot;,详细的文件在:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.nothing-going-on.demon.co.uk/FreeBSD/make-world/make-world.html">http://www.nothing-going-on.demon.co.uk/FreeBSD/make-world/make-world.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;SSH&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;使用&nbsp;ssh&nbsp;以代替&nbsp;telnet,&nbsp;ftp,&nbsp;rlogin,&nbsp;rsh&nbsp;&nbsp;等的重要性,&nbsp;再怎麽强调都是不够的。&nbsp;<BR>
&nbsp;&nbsp;对於使用慢速线路的人&nbsp;(dial-up,&nbsp;56K&nbsp;frame),&nbsp;ssh&nbsp;有&nbsp;-C&nbsp;选项:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;-C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Requests&nbsp;compression&nbsp;of&nbsp;all&nbsp;data&nbsp;(including&nbsp;&nbsp;stdin,&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;stdout,&nbsp;&nbsp;stderr,&nbsp;&nbsp;and&nbsp;&nbsp;data&nbsp;&nbsp;for&nbsp;&nbsp;forwarded&nbsp;X11&nbsp;and&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;TCP/IP&nbsp;connections).&nbsp;&nbsp;The&nbsp;compression&nbsp;algorithm&nbsp;&nbsp;is&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;the&nbsp;&nbsp;same&nbsp;used&nbsp;by&nbsp;gzip,&nbsp;and&nbsp;the&nbsp;&quot;level&quot;&nbsp;can&nbsp;be&nbsp;con-&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;trolled&nbsp;by&nbsp;the&nbsp;CompressionLevel&nbsp;option&nbsp;(see&nbsp;below).&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Compression&nbsp;&nbsp;is&nbsp;&nbsp;desirable&nbsp;on&nbsp;modem&nbsp;lines&nbsp;and&nbsp;other&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;slow&nbsp;connections,&nbsp;but&nbsp;will&nbsp;only&nbsp;slow&nbsp;down&nbsp;things&nbsp;on&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fast&nbsp;&nbsp;networks.&nbsp;&nbsp;&nbsp;The&nbsp;default&nbsp;value&nbsp;can&nbsp;be&nbsp;set&nbsp;on&nbsp;a&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;host-by-host&nbsp;basis&nbsp;in&nbsp;the&nbsp;configuration&nbsp;files;&nbsp;&nbsp;see&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;the&nbsp;Compress&nbsp;option&nbsp;below.&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;将资料压缩後再传出去,&nbsp;包括了&nbsp;&nbsp;stdin,&nbsp;stdout,&nbsp;stderr&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;还有透过&nbsp;X11&nbsp;还有&nbsp;TCP/IP。压缩的演算法同&nbsp;gzip,&nbsp;而且&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;可以指定压缩的&nbsp;level。对於&nbsp;moden&nbsp;users&nbsp;和使用慢速线&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;路的人,&nbsp;这功能是不错的。&nbsp;但有高速线路的人,&nbsp;这麽搞只&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;会拖慢速度。在主机对连时可以设预设值,&nbsp;请再叁照文件。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;这会让你用起来快一点&nbsp;:)&nbsp;总之就是用&nbsp;SSH&nbsp;就对了啦!&nbsp;拜托,&nbsp;拜托,&nbsp;使用&nbsp;ssh。&nbsp;如果&nbsp;<BR>
&nbsp;&nbsp;你硬是不信邪,&nbsp;再也没什麽安全措施可以帮助你了&nbsp;!!&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Related&nbsp;URLs&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;Hardening&nbsp;Project:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.watson.org/fbsd-hardening/">http://www.watson.org/fbsd-hardening/</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;ipfw&nbsp;Configuration&nbsp;Page:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.metronet.com/~pgilley/freebsd/ipfw">http://www.metronet.com/~pgilley/freebsd/ipfw</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;Security&nbsp;advisories:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/">ftp://ftp.freebsd.org/pub/FreeBSD/CERT/advisories/</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;FreeBSD&nbsp;Security&nbsp;web&nbsp;page:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.freebsd.org/security/security.html">http://www.freebsd.org/security/security.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;Security&nbsp;tools&nbsp;in&nbsp;FreeBSD:&nbsp;<BR>
&nbsp;&nbsp;<A HREF="http://www.samag.com/archive/0705/feature.html">http://www.samag.com/archive/0705/feature.html</A>&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;o&nbsp;Thanks&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;对於这份仍在赶工的文件我有许多的感谢。你的批评,&nbsp;指教,&nbsp;才让这份文件得以问世。&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
--&nbsp;<BR>
※&nbsp;来源:·BBS&nbsp;水木清华站&nbsp;bbs.net.tsinghua.edu.cn·[FROM:&nbsp;202.114.8.209]&nbsp;<BR>


<CENTER><H1>BBS水木清华站∶精华区</H1></CENTER>



</BODY>

</HTML>