Linux系统安全及应用加固———最适合新手学，新手都能看懂！

作为一种开放源代码的操作系统, Linux服务器以其安全、高效和稳定的显著优势而得以广泛应用。本章主要从账号安全控制、系统引导和登录控制的角度,学习Linux系统安全优化的点点滴滴;还将学习基于Linux环境的弱口令检测,网络扫描等安全工具的构建和使用,帮助管理员查找安全隐患，及时采取有针对性的防护措施。

用户切换

大多数Linux服务器并不建议用户直接以root用户进行登录.一方面可以大大减少因误操作而导
致的破坏，另一方面也降低了特权密码在不安全的网络中被泄露的风险。鉴于这些原因，需要为普
通用户提供一种身份切换或权限提升机制，以便在必要的时候执行管理任务。
Linux系统为我们提供了su，sudo两种命令，其中su命令主要用来切换用户，而sudo命令用来
提升执行权限，下面分别进行介绍。

用户提权

通过su命令可以非常方便地切换为另一个用户，但前提条件是必须知道目标用户的登录密码,
例如，若要从jerry用户切换为root用户，必须知道root用户的密码。对于生产环境中的Linux服务
器，每多—个人知道特权密码，其安全风险也就增加一分。
那么，有没有一种折中的办法，既可以让普通用户拥有一部分管理权限，又不需要将root用户
的密码告诉他呢?答案是肯定的，使用sudo命令就可以提升执行权限。不过，需要由管理员预先进
行授权，指定允许哪些用户以超级用户(或其他普通用户）的身份来执行哪些命令。
系统引导和登录控制

在互联网环境中，大部分服务器是通过远程登录的方式来进行管理的，而本地引导和终端登录
过程往往容易被忽视，从而留下安全隐患。特别是当服务器所在的机房环境缺乏严格．安全的管控
制度时，如何防止其他用户的非授权介入就成为必须重视的问题。

NMAP

NMAP是一个强大的端口扫描类安全评测工具，官方站点是http;/ /rmap .org/。NMAP被设计为
检测众多主机数量的巨大网络，支持ping扫描．多端口检测.OS识别等多种技术。使用NMAP定期
扫描内部网络，可以找出网络中不可控的应用服务，及时关闭不安全的服务，减小安全风险.

一.账户安全控制

禁止用户登录系统

锁定用户，使用usermod和passwd

解锁用户

锁定用户文件和密码文件

因为文件是锁定的，所以是无法创建用户的

解锁用户文件和密码文件

删除用户和文件

设置用户密码10天后过期

设置用户下次登录时修改密码

设置命令历史记录10条
[[email protected] ~]# vim .bash_profile

设置自动清空历史命令
[[email protected] ~]# vim .bash_logout

设置终端空闲秒后自动注销
[[email protected] ~]# source .bash_profile

二．用户切换和提取

修改qpm身份验证，允许wheel组用户使用su
[[email protected] ~]# vim /etc/pam.d/su
auth sufficient pam_rootok.so
auth required pam_wheel.so use_uid

修改配置文件wheel组使用su
[[email protected] ~]# vim /etc/login.defs
SU_WHEEL_ONLY yes

将用户zhangaho添加到wheel组

从下图可以看到zhanghao用户是可以使用su命令的，而zhangsan用户是不可以的

可以看到现在zhanghao用户是没有reboot命令权限的

我们将使用root用户赋予他力量
[[email protected] ~]# vim /etc/sudoers

让我们再来测试一下，他变的大一点了=_=!!!

禁用快捷键Carl Alt Delete

重新启动服务

3.Linux系统开关机控制

配置grub引导菜单密码

备份引导菜单

（将生成的密码先寄存到记事本上，在配置文件里要用到）

添加grub引导菜单密码
[[email protected] ~]# vim /etc/grub.d/00_header

重新生成引导菜单

进入grub引导菜单

可以看到修改grub菜单需要密码

限制终端只在安全终端登录
只允许4个终端登录
[[email protected] ~]# vim /etc/securetty

防止其他用户进入BIOS,修改配置，所以给BIOS设置密码

因为我之前设置过密码，所以是修改密码，没有设置过得直接设置就好了

弱命令检测jr工具使用
将用户密码文件备份到1.txt
[[email protected] ~]# cp /etc/shadow ./1.txt
JR**密码文件

创建用户bob,密码为123

开始**文件

NMAP扫描工具

NMAP常见选项
-sS:扫描的关闭服务
-sT:扫描TCP协议
-sU扫描UDP协议
-sp扫描icmp协议
-s0:跳过ping
安装NMAP扫描工具

扫描指定ip端口的信息

扫描特定端口

扫描多个接口

扫描192.168.100.0 100段的网络

今天的知识点就到此结束了，如果您有什么更好的建议，请联系你浩弟

随时恭候着，嘻嘻嘻☺

联系方式！！！

: