Linux服務器安全需要注意到幾點事項小結
發布時間：2025-09-17 點擊：9
①首先要保證自己的服務器的絕對安全，root密碼我一般設置為28位以上，而且某些重要的服務器必須只有幾個人知道root密碼，這個根據公司權限來設置，如果有公司的系統管理員離職，root密碼一定要更改;玩linux久了的人都應該知道，更改root密碼不會影響linux的crontab計劃任務，而windows2003就不一樣了，如果隨意更改administrator密碼，會直接影響其計劃任務運行。
②我的nagios外網監控服務器，剛開始測試時取的密碼是redhat，放進公網一天就被人改了，郁悶死了;后來環境部署成熟以后發現仍然有不少外網ip在掃描和試探，看來不用點工具不行啊;呵呵，denyhosts是用python2.3寫的一個程序，它會分析/var/log/secure等日志文件，當發現同一ip在進行多次ssh密碼嘗試時就會記錄ip到/etc/hosts.deny文件，從而達到自動屏蔽該ip的目的。
denyhosts官方網站為：http://denyhosts.sourceforge.net
一、檢查安裝條件
1、首先判斷系統安裝的sshd是否支持tcp_wrappers(默認都支持)
# ldd /usr/sbin/sshdlibwrap.so.0 => /usr/lib/libwrap.so.0 (0x0046e000)
2、判斷默認安裝的python版本
# python -vpython 2.3.4
二、已安裝python2.3以上版本的情況
1、安裝denyhosts
# cd /usr/local/src# wget http://jaist.dl.sourceforge.net/sourceforge/denyhosts/denyhosts-2.6.tar.gz# tar zxf denyhosts-2.6.tar.gz# cd denyhosts-2.6# python setup.py install
程序腳本自動安裝到/usr/share/denyhosts
庫文件自動安裝到/usr/lib/python2.3/site-packages/denyhosts
denyhosts.py自動安裝到/usr/bin
2、設置啟動腳本
# cd /usr/share/denyhosts/# cp daemon-control-dist daemon-control# chown root daemon-control# chmod 700 daemon-control# grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg# vi denyhosts.cfg
根據自己需要進行相應的修改
----------------denyhosts.cfg------------------------secure_log = /var/log/secure#redhat/fedora core分析該日志文件#其它版本linux根據denyhosts.cfg-dist內提示選擇。purge_deny = 30m#過多久后清除deny_threshold_invalid = 1#允許無效用戶(/etc/passwd未列出)登錄失敗的次數deny_threshold_valid = 5#允許有效(普通)用戶登錄失敗的次數deny_threshold_root = 3#允許root登錄失敗的次數hostname_lookup=no#是否做域名反解----------------denyhosts.cfg------------------------
如果需要denyhosts隨系統重啟而自動啟動，還需做如下設置：
# vi /etc/rc.local
加入下面這條命令
/usr/share/denyhosts/daemon-control start
3、啟動
# /usr/share/denyhosts/daemon-control start
如果要使denyhosts每次重起后自動啟動還需做如下設置：
# cd /etc/init.d# ln -s /usr/share/denyhosts/daemon-control denyhosts# chkconfig --add denyhosts# chkconfig --level 345 denyhosts on
然后就可以啟動了：
service denyhosts start
denyhosts配置文件：
vi /etc/denyhosts.cfg
secure_log = /var/log/secure #ssh 日志文件，它是根據這個文件來判斷的。
hosts_deny = /etc/hosts.deny #控制用戶登陸的文件
purge_deny = 5m#過多久后清除已經禁止的
block_service = sshd#禁止的服務名
deny_threshold_invalid = 1#允許無效用戶失敗的次數
deny_threshold_valid = 10#允許普通用戶登陸失敗的次數
deny_threshold_root = 5#允許root登陸失敗的次數
hostname_lookup=no#是否做域名反解
daemon_log = /var/log/denyhosts#自己的日志文件
admin_email = yuhongchun027@163.com#管理員郵件地址,它會給管理員發郵件
③服務器上除root外，linux用戶越少越好;如果非要添加授權用戶，請給他的登陸shell為nologin;終止未授權用戶，定期檢查系統有無多余的用戶都是很必要的工作。
④分析系統的日志文件，尋找入侵者曾經試圖入侵系統的蛛絲馬跡。last命令是另外一個可以用來查找非授權用戶登錄事件的工具
lyychee pts/2 54.107.130.61.di mon may 22 14:14 still logged inlyychee pts/2 51.107.130.61.di thu may 18 18:36 - 18:42 (00:05)lyychee pts/2 61.130.107.51 tue may 16 14:21 - 14:39 (00:18)root pts/2 61.130.107.58 sat may 13 15:40 - 15:43 (00:02)lyychee pts/2 210.32.178.253 fri may 12 00:53 - 01:16 (00:23)root pts/2 58.107.130.61.di wed may 10 15:33 - 15:35 (00:01)root pts/2 61.130.107.58 tue may 9 14:58 - 15:07 (00:08)root pts/2 59.78.34.62 sun may 7 07:40 - 07:45 (00:05)lyychee pts/2 59.78.34.62 sat may 6 23:50 - 00:27 (00:37)lyychee pts/2 222.64.24.144 sat may 6 10:56 - 10:56 (00:00)root pts/2 192.168.0.111 sat may 6 00:01 - 00:02 (00:01)lyychee pts/2 222.64.22.144 thu may 4 12:41 - 12:43 (00:0root pts/2 59.78.34.62 tue may 2 06:59 - 07:00 (00:00)
以下是一臺機器上的演示圖：
last命令輸入的信息來自/var/log/wtmp。這個文件詳細地記錄著每個系統用戶的訪問活動。但是有經驗的入侵者往往會刪掉/var/log/wtmp以清除自己非法行為的證據，但是這種清除行為還是會露出蛛絲馬跡：在日志文件里留下一個沒有退出操作與之對應的登錄操作(因為在你刪除wtmp的時候，你的登錄記錄就沒有了，但是你待會兒登出，系統還是會把你記下來)，不過再高明一點就用at或者cron等自己登出之后再刪文件。(但是這種方法也還是可以查，總之linux沒有一種操作是最強的，強到沒有紕漏。就像古龍的小說一樣，沒有一個人是天下第一。這樣看起來才有勁)
⑤另外，可以用命令 grep error /var/log/messages檢查自己的服務器是否存在著硬件損壞的情況。
⑥嘗試使用chkrootkit應用程序對rootkit的蹤跡和特進行查找，從它的報告中分析你的服務器否已經感染木馬。
⑦嘗試使用aide來檢查文件系統的完整性。
⑧推薦使用snort自動檢測入侵，它集成了同類軟件中先進行技術，并且是開放源碼的。
⑨以自己的郵件服務器舉例說明，由于這是一個獨立的服務器，所以前端并沒放置硬件防火墻及web防火墻，所以一定要開啟iptables來防護，其/root/firewall.sh內容如下:
#/bin/bashiptables -fiptables -f -t natiptables -xiptables -p input dropiptables -p output acceptiptables -p forward accep#load connection-tracking modulesmodeprobe ip_conntrackmodprobe iptable_natmodprobe ip_conntrack_ftpmodprobe ip_nat_ftpiptables -a input -i lo -j acceptiptables -a input -m state --state established,related -j acceptiptables -a input -p tcp -m multiport --dport80,443,25,465,110,995,143,993,587,465,22 -j accept
在另一臺機器上用掃描之王nmap進行掃描
[root@mail postfix]# nmap -p0 -ss 211.143.6.xstarting nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2009-03-29 16:21 cstinteresting ports on 211.143.6.x:not shown: 1668 closed portsport state service22/tcp open ssh25/tcp open smtp80/tcp open http110/tcp open pop3111/tcp open rpcbind143/tcp open imap443/tcp open https465/tcp open smtps587/tcp open submission993/tcp open imaps995/tcp open pop3s1014/tcp open unknown
lsof -i:1014,發現又是rpc.statd，這東東，每次用的端口都不一樣啊;它不能正確處理sigpid信號，遠程攻擊者可利用這個漏洞關閉進程，進行拒絕服務攻擊;發現rpc.statd是由服務nfslock開啟，關閉它即可
service nfslock stopchkconfig nfslock off
⑩停掉一些系統不必要的服務，強化內核;多關注下服務器的內核漏洞，現在linux很多攻擊都是針對內核的，保證內核版本為2.6.9以上(不含2.6.9)。
【SEO優化】網站SEO優化應該進行站外優化?有哪些方法和技巧?
網站建設必須為用戶提供便利
服務器租用服務的基礎知識是什么
模板網站：建站之后要按時做網站維護
企業網站建設對中小企業有多重要?
【網站建設】高端網站設計的注重點有哪些?
一個好的網站設計是怎么樣的？
XTHML+CSS排版的優勢和存在的問題
②我的nagios外網監控服務器，剛開始測試時取的密碼是redhat，放進公網一天就被人改了，郁悶死了;后來環境部署成熟以后發現仍然有不少外網ip在掃描和試探，看來不用點工具不行啊;呵呵，denyhosts是用python2.3寫的一個程序，它會分析/var/log/secure等日志文件，當發現同一ip在進行多次ssh密碼嘗試時就會記錄ip到/etc/hosts.deny文件，從而達到自動屏蔽該ip的目的。
denyhosts官方網站為：http://denyhosts.sourceforge.net
一、檢查安裝條件
1、首先判斷系統安裝的sshd是否支持tcp_wrappers(默認都支持)
# ldd /usr/sbin/sshdlibwrap.so.0 => /usr/lib/libwrap.so.0 (0x0046e000)
2、判斷默認安裝的python版本
# python -vpython 2.3.4
二、已安裝python2.3以上版本的情況
1、安裝denyhosts
# cd /usr/local/src# wget http://jaist.dl.sourceforge.net/sourceforge/denyhosts/denyhosts-2.6.tar.gz# tar zxf denyhosts-2.6.tar.gz# cd denyhosts-2.6# python setup.py install
程序腳本自動安裝到/usr/share/denyhosts
庫文件自動安裝到/usr/lib/python2.3/site-packages/denyhosts
denyhosts.py自動安裝到/usr/bin
2、設置啟動腳本
# cd /usr/share/denyhosts/# cp daemon-control-dist daemon-control# chown root daemon-control# chmod 700 daemon-control# grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg# vi denyhosts.cfg
根據自己需要進行相應的修改
----------------denyhosts.cfg------------------------secure_log = /var/log/secure#redhat/fedora core分析該日志文件#其它版本linux根據denyhosts.cfg-dist內提示選擇。purge_deny = 30m#過多久后清除deny_threshold_invalid = 1#允許無效用戶(/etc/passwd未列出)登錄失敗的次數deny_threshold_valid = 5#允許有效(普通)用戶登錄失敗的次數deny_threshold_root = 3#允許root登錄失敗的次數hostname_lookup=no#是否做域名反解----------------denyhosts.cfg------------------------
如果需要denyhosts隨系統重啟而自動啟動，還需做如下設置：
# vi /etc/rc.local
加入下面這條命令
/usr/share/denyhosts/daemon-control start
3、啟動
# /usr/share/denyhosts/daemon-control start
如果要使denyhosts每次重起后自動啟動還需做如下設置：
# cd /etc/init.d# ln -s /usr/share/denyhosts/daemon-control denyhosts# chkconfig --add denyhosts# chkconfig --level 345 denyhosts on
然后就可以啟動了：
service denyhosts start
denyhosts配置文件：
vi /etc/denyhosts.cfg
secure_log = /var/log/secure #ssh 日志文件，它是根據這個文件來判斷的。
hosts_deny = /etc/hosts.deny #控制用戶登陸的文件
purge_deny = 5m#過多久后清除已經禁止的
block_service = sshd#禁止的服務名
deny_threshold_invalid = 1#允許無效用戶失敗的次數
deny_threshold_valid = 10#允許普通用戶登陸失敗的次數
deny_threshold_root = 5#允許root登陸失敗的次數
hostname_lookup=no#是否做域名反解
daemon_log = /var/log/denyhosts#自己的日志文件
admin_email = yuhongchun027@163.com#管理員郵件地址,它會給管理員發郵件
③服務器上除root外，linux用戶越少越好;如果非要添加授權用戶，請給他的登陸shell為nologin;終止未授權用戶，定期檢查系統有無多余的用戶都是很必要的工作。
④分析系統的日志文件，尋找入侵者曾經試圖入侵系統的蛛絲馬跡。last命令是另外一個可以用來查找非授權用戶登錄事件的工具
lyychee pts/2 54.107.130.61.di mon may 22 14:14 still logged inlyychee pts/2 51.107.130.61.di thu may 18 18:36 - 18:42 (00:05)lyychee pts/2 61.130.107.51 tue may 16 14:21 - 14:39 (00:18)root pts/2 61.130.107.58 sat may 13 15:40 - 15:43 (00:02)lyychee pts/2 210.32.178.253 fri may 12 00:53 - 01:16 (00:23)root pts/2 58.107.130.61.di wed may 10 15:33 - 15:35 (00:01)root pts/2 61.130.107.58 tue may 9 14:58 - 15:07 (00:08)root pts/2 59.78.34.62 sun may 7 07:40 - 07:45 (00:05)lyychee pts/2 59.78.34.62 sat may 6 23:50 - 00:27 (00:37)lyychee pts/2 222.64.24.144 sat may 6 10:56 - 10:56 (00:00)root pts/2 192.168.0.111 sat may 6 00:01 - 00:02 (00:01)lyychee pts/2 222.64.22.144 thu may 4 12:41 - 12:43 (00:0root pts/2 59.78.34.62 tue may 2 06:59 - 07:00 (00:00)
以下是一臺機器上的演示圖：
last命令輸入的信息來自/var/log/wtmp。這個文件詳細地記錄著每個系統用戶的訪問活動。但是有經驗的入侵者往往會刪掉/var/log/wtmp以清除自己非法行為的證據，但是這種清除行為還是會露出蛛絲馬跡：在日志文件里留下一個沒有退出操作與之對應的登錄操作(因為在你刪除wtmp的時候，你的登錄記錄就沒有了，但是你待會兒登出，系統還是會把你記下來)，不過再高明一點就用at或者cron等自己登出之后再刪文件。(但是這種方法也還是可以查，總之linux沒有一種操作是最強的，強到沒有紕漏。就像古龍的小說一樣，沒有一個人是天下第一。這樣看起來才有勁)
⑤另外，可以用命令 grep error /var/log/messages檢查自己的服務器是否存在著硬件損壞的情況。
⑥嘗試使用chkrootkit應用程序對rootkit的蹤跡和特進行查找，從它的報告中分析你的服務器否已經感染木馬。
⑦嘗試使用aide來檢查文件系統的完整性。
⑧推薦使用snort自動檢測入侵，它集成了同類軟件中先進行技術，并且是開放源碼的。
⑨以自己的郵件服務器舉例說明，由于這是一個獨立的服務器，所以前端并沒放置硬件防火墻及web防火墻，所以一定要開啟iptables來防護，其/root/firewall.sh內容如下:
#/bin/bashiptables -fiptables -f -t natiptables -xiptables -p input dropiptables -p output acceptiptables -p forward accep#load connection-tracking modulesmodeprobe ip_conntrackmodprobe iptable_natmodprobe ip_conntrack_ftpmodprobe ip_nat_ftpiptables -a input -i lo -j acceptiptables -a input -m state --state established,related -j acceptiptables -a input -p tcp -m multiport --dport80,443,25,465,110,995,143,993,587,465,22 -j accept
在另一臺機器上用掃描之王nmap進行掃描
[root@mail postfix]# nmap -p0 -ss 211.143.6.xstarting nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2009-03-29 16:21 cstinteresting ports on 211.143.6.x:not shown: 1668 closed portsport state service22/tcp open ssh25/tcp open smtp80/tcp open http110/tcp open pop3111/tcp open rpcbind143/tcp open imap443/tcp open https465/tcp open smtps587/tcp open submission993/tcp open imaps995/tcp open pop3s1014/tcp open unknown
lsof -i:1014,發現又是rpc.statd，這東東，每次用的端口都不一樣啊;它不能正確處理sigpid信號，遠程攻擊者可利用這個漏洞關閉進程，進行拒絕服務攻擊;發現rpc.statd是由服務nfslock開啟，關閉它即可
service nfslock stopchkconfig nfslock off
⑩停掉一些系統不必要的服務，強化內核;多關注下服務器的內核漏洞，現在linux很多攻擊都是針對內核的，保證內核版本為2.6.9以上(不含2.6.9)。
【SEO優化】網站SEO優化應該進行站外優化?有哪些方法和技巧?
網站建設必須為用戶提供便利
服務器租用服務的基礎知識是什么
模板網站：建站之后要按時做網站維護
企業網站建設對中小企業有多重要?
【網站建設】高端網站設計的注重點有哪些?
一個好的網站設計是怎么樣的？
XTHML+CSS排版的優勢和存在的問題