1117.html

著名的linux英雄站点的文档打包

#dumper: root ?remove or comment out.<br>
#operator: root ?remove or comment out.<br>
# trap decode to catch security attacks<br>
#decode: root<br>
# Person who should get root's mail<br>
#root: marc<br>
最后更新后不要忘记运行/usr/bin/newaliases，使改变生效。<br>
<br>
9.阻止你的系统响应任何从外部/内部来的ping请求。<br>
既然没有人能ping通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次启动后自动运行。<br>
<br>
echo 1 &gt; /proc/sys/net/ipv4/icmp_echo_ignore_all<br>
<br>
10. 不要显示出操作系统和版本信息。<br>
如果你希望某个人远程登录到你的服务器时不要显示操作系统和版本信息，你能改变<br>
/etc/inetd.conf中的一行象下面这样：<br>
<br>
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h<br>
<br>
加-h标志在最后使得telnet后台不要显示系统信息，而仅仅显示login:<br>
<br>
11.The /etc/host.conf file<br>
编辑host.conf文件(vi /etc/host.conf)且加下面的行：<br>
<br>
# Lookup names via DNS first then fall back to /etc/hosts.<br>
order bind,hosts<br>
# We don't have machines with multiple IP addresses on the same card<br>
(like virtual server,IP Aliasing).<br>
multi off<br>
# Check for IP address spoofing.<br>
nospoof on<br>
IP Spoofing: IP-Spoofing is a security exploit that works by tricking<br>
computers in a trust relationship that you are someone that you really aren't.<br>
<br>
12. The /etc/securetty file<br>
该文件指定了允许root登录的tty设备，/etc/securetty被/bin/login程序读取,它的<br>
格式是一行一个被允许的名字列表，如你可以编辑/etc/securetty且注释出下面的行。<br>
tty1<br>
#tty2<br>
#tty3<br>
#tty4<br>
#tty5<br>
#tty6<br>
#tty7<br>
#tty8<br>
-意味着root仅仅被允许在tty1终端登录。<br>
<br>
13. 特别的帐号<br>
禁止所有默认的被操作系统本身启动的且不需要的帐号，当你第一次装上系统时就应该做此检查，Linux提供了各种帐号，你可能不需要，如果你不需要这个帐号，就移走它，你有的帐号越多，就越容易受到攻击。<br>
为删除你系统上的用户，用下面的命令：<br>
[root@deep]# userdel username<br>
为删除你系统上的组用户帐号，用下面的命令：<br>
[root@deep]# groupdel username<br>
在终端上打入下面的命令删掉下面的用户。<br>
[root@deep]# userdel adm<br>
[root@deep]# userdel lp<br>
[root@deep]# userdel sync<br>
[root@deep]# userdel shutdown<br>
[root@deep]# userdel halt<br>
[root@deep]# userdel mail<br>
如果你不用sendmail服务器，procmail.mailx,就删除这个帐号。<br>
[root@deep]# userdel news<br>
[root@deep]# userdel uucp<br>
[root@deep]# userdel operator<br>
[root@deep]# userdel games<br>
如果你不用X windows 服务器，就删掉这个帐号。<br>
[root@deep]# userdel gopher<br>
[root@deep]# userdel ftp<br>
如果你不允许匿名FTP，就删掉这个用户帐号。<br>
===<br>
打入下面的命令删除组帐号<br>
[root@deep]# groupdel adm<br>
[root@deep]# groupdel lp<br>
[root@deep]# groupdel mail<br>
如不用Sendmail服务器，删除这个组帐号<br>
[root@deep]# groupdel news<br>
[root@deep]# groupdel uucp<br>
[root@deep]# groupdel games<br>
如你不用X Windows，删除这个组帐号<br>
[root@deep]# groupdel dip<br>
[root@deep]# groupdel pppusers<br>
[root@deep]# groupdel popusers<br>
如果你不用POP服务器，删除这个组帐号<br>
[root@deep]# groupdel slipusers<br>
====<br>
用下面的命令加需要的用户帐号<br>
[root@deep]# useradd username<br>
用下面的命令改变用户口令<br>
[root@deep]# passwd username<br>
<br>
用chattr命令给下面的文件加上不可更改属性。<br>
[root@deep]# chattr +i /etc/passwd<br>
[root@deep]# chattr +i /etc/shadow<br>
[root@deep]# chattr +i /etc/group<br>
[root@deep]# chattr +i /etc/gshadow<br>
<br>
14. 阻止任何人su作为root.<br>
如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行：<br>
<br>
auth sufficient /lib/security/pam_rootok.so debug<br>
auth required /lib/security/pam_wheel.so group=isd<br>
<br>
意味着仅仅isd组的用户可以su作为root.<br>
然后，如果你希望用户admin能su作为root.就运行下面的命令。<br>
<br>
[root@deep]# usermod -G10 admin<br>
<br>
16. 资源限制<br>
对你的系统上所有的用户设置资源限制可以防止DoS类型攻击（denial of service attacks）<br>
如最大进程数，内存数量等。例如，对所有用户的限制象下面这样：<br>
编辑/etc/security/limits.con加：<br>
<br>
* hard core 0<br>
* hard rss 5000<br>
* hard nproc 20<br>
你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。<br>
<br>
session required /lib/security/pam_limits.so<br>
<br>
上面的命令禁止core files“core 0”，限制进程数为“nproc 50“，且限制内存使用<br>
为5M“rss 5000”。<br>
<br>
17. The /etc/lilo.conf file<br>
<br>
a) Add: restricted<br>
加这一行到每一个引导映像下面，就这表明如果你引导时用(linux single),则需要一个password.<br>
<br>
b) Add: password=some_password<br>
当与restricted联合用，且正常引导时，需要用户输入密码，你也要确保lilo.conf<br>
文件不能被不属于root的用户可读，也免看到密码明文。下面是例子：<br>
编辑/etc/lilo.conf加：<br>
====<br>
boot=/dev/sda<br>
map=/boot/map<br>
install=/boot/boot.b<br>
prompt<br>
timeout=50<br>
Default=linux<br>
restricted ?add this line.<br>
password=some_password ?add this line.<br>
image=/boot/vmlinuz-2.2.12-20<br>
label=linux<br>
initrd=/boot/initrd-2.2.12-10.img<br>
root=/dev/sda6<br>
read-only<br>
[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读).<br>
[root@deep]# /sbin/lilo -v (更新lilo配置).<br>
[root@deep]# chattr +i /etc/lilo.conf（阻止该文件被修改）<br>
<br>
18. 禁止 Control-Alt-Delete 重启动机器命令<br>
<br>
[root@deep]# vi /etc/inittab<br>
ca::ctrlaltdel:/sbin/shutdown -t3 -r now<br>
To<br>
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now<br>
[root@deep]# /sbin/init q<br>
<br>
19. 重新设置/etc/rc.d/init.d/目录下所有文件的许可权限<br>
[root@deep]# chmod -R 700 /etc/rc.d/init.d/*<br>
仅仅root可以读，写，执行上述所有script file.<br>
<br>
20. The /etc/rc.d/rc.local file<br>
默认地，当你login到linux server时，它告诉你linux版本名，内核版本名和服务器<br>
主机名。它给了你太多的信息，如果你就希望得到提示login: ,编辑<br>
/etc/rc.d/rc.local放#在下面的行前面：<br>
-- <br>
# This will overwrite /etc/issue at every boot. So, make any changes you<br>
# want to make to /etc/issue here or you will lose them when you reboot.<br>
#echo "" &gt; /etc/issue<br>
#echo "$R" &gt;&gt; /etc/issue<br>