亚洲av成人无遮挡网站在线观看,少妇性bbb搡bbb爽爽爽,亚洲av日韩精品久久久久久,兔费看少妇性l交大片免费,无码少妇一区二区三区

Chinaunix

標(biāo)題: UNIX的安全問(wèn)題（轉(zhuǎn)貼） [打印本頁(yè)]

作者: scyibin 時(shí)間: 2004-05-31 16:58
標(biāo)題: UNIX的安全問(wèn)題（轉(zhuǎn)貼）
UNIX系統(tǒng)安全,闡述口令,文件保護(hù),目錄保護(hù),與用戶程序有關(guān)的某些特殊特性
和使用crypt命令加密,并給出一些重要的安全忠告,以幫助用戶保護(hù)自己的戶頭安
全.

1.口令安全

  UNIX系統(tǒng)中的/etc/passwd文件含有全部系統(tǒng)需要知道的關(guān)于每個(gè)用戶的信息(
加密后的口令也可能存于/etc/shadow文件中)./etc/passwd中包含有用戶的登錄
名,經(jīng)過(guò)加密的口令,用戶號(hào),用戶組號(hào),用戶注釋,用戶主目錄和用戶所用的shell
程序.其中用戶號(hào)(UID)和用戶組號(hào)(GID)用于UNIX系統(tǒng)唯一地標(biāo)識(shí)用戶和同組用戶
及用戶的訪問(wèn)權(quán)限.

  /etc/passwd中存放的加密的口令用于用戶登錄時(shí)輸入的口令經(jīng)計(jì)算后相比較,
符合則允許登錄,否則拒絕用戶登錄.用戶可用passwd命令修改自己的口令,不能直
接修改/etc/passwd中的口令部份.

  一個(gè)好的口令應(yīng)當(dāng)至少有6個(gè)字符長(zhǎng),不要取用個(gè)人信息(如生日,名字,反向拼寫(xiě)
的登錄名,房間中可見(jiàn)的東西),普通的英語(yǔ)單詞也不好(因?yàn)榭捎米值涔舴?,口
令中最好有一些非字母(如數(shù)字,標(biāo)點(diǎn)符號(hào),控制字符等),還要好記一些,不能寫(xiě)在
紙上或計(jì)算機(jī)中的文件中,選擇口令的一個(gè)好方法是將兩個(gè)不相關(guān)的詞用一個(gè)數(shù)字
或控制字符相連,并截?cái)酁?個(gè)字符.當(dāng)然,如果你能記住8位亂碼自然更好.

  不應(yīng)使用同一個(gè)口令在不同機(jī)器中使用,特別是在不同級(jí)別的用戶上使用同一口
令,會(huì)引起全盤崩潰.用戶應(yīng)定期改變口令,至少6個(gè)月要改變一次,系統(tǒng)管理員可以
強(qiáng)制用戶定期做口令修改.

  為防止眼明手快的人竊取口令,在輸入口令時(shí)應(yīng)確認(rèn)無(wú)人在身邊.

2.文件許可權(quán)

  文件屬性決定了文件的被訪問(wèn)權(quán)限,即誰(shuí)能存取或執(zhí)行該文件.用ls-l可以列出
詳細(xì)的文件信息,如:
-rwxrwxrwx1patcs44070Jul2821:12zombin
包括了文件許可,文件聯(lián)結(jié)數(shù),文件所有者名,文件相關(guān)組名,文件長(zhǎng)度,上次存取日
期和文件名.其中文件許可分為四部分:

-:表示文件類型.

第一個(gè)rwx:表示文件屬主的訪問(wèn)權(quán)限.
第二個(gè)rwx:表示文件同組用戶的訪問(wèn)權(quán)限.
第三個(gè)rwx:表示其他用戶的訪問(wèn)權(quán)限.

  若某種許可被限制則相應(yīng)的字母換為-.在許可權(quán)限的執(zhí)行許可位置上,可能是其
它字母,s,S,t,T.s和S可出現(xiàn)在所有者和同組用戶許可模式位置上,與特殊的許可
有關(guān),后面將要討論,t和T可出現(xiàn)在其他用戶的許可模式位置上,與“粘貼位”有關(guān)
而與安全無(wú)關(guān).小寫(xiě)字母(x,s,t)表示執(zhí)行許可為允許,負(fù)號(hào)或大寫(xiě)字母(-,S或T)表
示執(zhí)行許可為不允許.改變?cè)S可方式可使用chmod命令,并以新許可方式和該文件名
為參數(shù).新許可方式以3位8進(jìn)制數(shù)給出,r為4,w為2,x為1.如rwxr-xr--為754.

  chmod也有其它方式的參數(shù)可直接對(duì)某組參數(shù)修改,在此不再多說(shuō),詳見(jiàn)UNIX系統(tǒng)
的聯(lián)機(jī)手冊(cè).文件許可權(quán)可用于防止偶然性地重寫(xiě)或刪除一個(gè)重要文件(即使是屬
主自己)!

  改變文件的屬主和組名可用chown和chgrp,但修改后原屬主和組員就無(wú)法修改回
來(lái)了.

3.目錄許可

  在UNIX系統(tǒng)中,目錄也是一個(gè)文件,用ls-l列出時(shí),目錄文件的屬性前面帶一個(gè)d
,目錄許可也類似于文件許可,用ls列目錄要有讀許可,在目錄中增刪文件要有寫(xiě)許
可,進(jìn)入目錄或?qū)⒃撃夸涀髀窂椒至繒r(shí)要有執(zhí)行許可,故要使用任一個(gè)文件,必須有
該文件及找到該文件的路徑上所有目錄分量的相應(yīng)許可.僅當(dāng)要打開(kāi)一個(gè)文件時(shí),
文件的許可才開(kāi)始起作用,而rm,mv只要有目錄的搜索和寫(xiě)許可,不需文件的許可,
這一點(diǎn)應(yīng)注意.

4.umask命令

  umask設(shè)置用戶文件和目錄的文件創(chuàng)建缺省屏蔽值,若將此命令放入.profile文
件,就可控制該用戶后續(xù)所建文件的存取許可.umask命令與chmod命令的作用正好
相反,它告訴系統(tǒng)在創(chuàng)建文件時(shí)不給予什么存取許可.

5.設(shè)置用戶ID和同組用戶ID許可

  用戶ID許可(SUID)設(shè)置和同組用戶ID許可(SGID)可給予可執(zhí)行的目標(biāo)文件(只有
可執(zhí)行文件才有意義)當(dāng)一個(gè)進(jìn)程執(zhí)行時(shí)就被賦于4個(gè)編號(hào),以標(biāo)識(shí)該進(jìn)程隸屬于誰(shuí)
,分別為實(shí)際和有效的UID,實(shí)際和有效的GID.有效的UID和GID一般和實(shí)際的UID和
GID相同,有效的UID和GID用于系統(tǒng)確定該進(jìn)程對(duì)于文件的存取許可.而設(shè)置可執(zhí)行
文件的SUID許可將改變上述情況,當(dāng)設(shè)置了SUID時(shí),進(jìn)程的有效UID為該可執(zhí)行文件
的所有者的有效UID,而不是執(zhí)行該程序的用戶的有效UID,因此,由該程序創(chuàng)建的都
有與該程序所有者相同的存取許可.這樣,程序的所有者將可通過(guò)程序的控制在有
限的范圍內(nèi)向用戶發(fā)表不允許被公眾訪問(wèn)的信息.
  同樣,SGID是設(shè)置有效GID.

  用chmodu+s文件名和chmodu-s文件名來(lái)設(shè)置和取消SUID設(shè)置.用chmodg+s文件名
和chmodg-s文件名來(lái)設(shè)置和取消SGID設(shè)置.

  當(dāng)文件設(shè)置了SUID和SGID后,chown和chgrp命令將全部取消這些許可.

6.cpmvln和cpio命令

  cp拷貝文件時(shí),若目的文件不存在則將同時(shí)拷貝源文件的存取許可,包括SUID和
SGID許可.新拷貝的文件屬拷貝的用戶所有,故拷貝另人的文件時(shí)應(yīng)小心,不要被其
他用戶的SUID程序破壞自己的文件安全.

  mv移文件時(shí),新移的文件存取許可與原文件相同,mv僅改變文件名.只要用戶有目
錄的寫(xiě)和搜索許可,就可移走該目錄中某人的SUID程序且不改變其存取許可.若目
錄許可設(shè)置不正確,則用戶的SUID程序可被移到一個(gè)他不能修改和刪除的目錄中,
將出現(xiàn)安全漏洞.

  ln為現(xiàn)有文件建立一個(gè)鏈,即建立一個(gè)引用同一文件的新名字.如目的文件已經(jīng)
存在,則該文件被刪除而代之以新的鏈,或存在的目的文件不允許用戶寫(xiě)它,則請(qǐng)求
用戶確認(rèn)是否刪除該文件,只允許在同一文件系統(tǒng)內(nèi)建鏈.若要?jiǎng)h除一個(gè)SUID文件
,就要確認(rèn)文件的鏈接數(shù),只有一個(gè)鏈才能確保該文件被刪除.若SUID文件已有多個(gè)
鏈,一種方法是改變其存取許可方式,將同時(shí)修改所有鏈的存取許可,也可以chmod
000文件名,不僅取消了文件的SUID和SGID許可,而且也取消了文件的全部鏈.要想
找到誰(shuí)與自己的SUID程序建立了鏈,不要立刻刪除該程序,系統(tǒng)管理員可用ncheck
命令找到該程序的其它鏈.

  cpio命令用于將目錄結(jié)構(gòu)拷貝到一個(gè)普通文件中,而后可再用cpio命令將該普通
文件轉(zhuǎn)成目錄結(jié)構(gòu).用-i選項(xiàng)時(shí),cpio從標(biāo)準(zhǔn)輸入設(shè)備讀文件和目錄名表,并將其內(nèi)
容按檔案格式拷貝到標(biāo)準(zhǔn)輸出設(shè)備,使用-o選項(xiàng)時(shí),cpio從標(biāo)準(zhǔn)輸入設(shè)備讀取先已
建好的檔案,重建目錄結(jié)構(gòu).cpio命令常用以下命令做一完整的目錄系統(tǒng)檔案:
findfromdir-print|cpio-o>;archive
根據(jù)檔案文件重建一個(gè)目錄結(jié)構(gòu)命令為:
cpio-id<archive

  cpio的安全約定如下:

(1)檔案文件存放每個(gè)文件的信息,包括文件所有者,小組用戶,最后修改時(shí)間,最后
存取時(shí)間,文件存取許可方式.

  根據(jù)檔案建立的文件保持存放于檔案中的取許可方式.

  從檔案中提取的每個(gè)文件的所有者和小組用戶設(shè)置給運(yùn)行cpio-i命令的用戶,而
不是設(shè)置給檔案中指出的所有者和小組用戶.

  當(dāng)運(yùn)行cpio-i命令的用戶是root時(shí),被建立的文件的所有者和小組用戶是檔案文
件所指出的.

  檔案中的SUID/SGID文件被重建時(shí),保持SUID和SGID許可,如果重建文件的用戶不
是root,SUID/SGID許可是檔案文件指出的用戶/小組的許可.

(2)現(xiàn)存文件與cpio檔案中的文件同名時(shí),若現(xiàn)存文件比檔案中的文件更新,這些文
件將不被重寫(xiě).

(3)如果用修改選項(xiàng)U,則同名的現(xiàn)存的文件將被重寫(xiě).可能會(huì)發(fā)生一件很奇怪的事
: 如被重寫(xiě)的文件原與另一個(gè)文件建了鏈,文件被重寫(xiě)后鏈并不斷開(kāi),換言之,該文件的鏈將
保持,因此,該文件的所有鏈實(shí)際指向從檔案中提取出來(lái)的文件,運(yùn)行cpio無(wú)條件地
重寫(xiě)現(xiàn)存文件以及改變鏈的指向.

(4)cpio檔案中可含的全路徑名或父目錄名給出的文件.

7.su和newgrp命令

(1)su命令:可不必注銷戶頭而將另一用戶又登錄進(jìn)入系統(tǒng),作為另一用戶工作.它
將啟動(dòng)一新的shell并將有效和實(shí)際的UID和GID設(shè)置給另一用戶.因此必須嚴(yán)格將
root口令保密.

(2)newgrp命令:與su相似,用于修改當(dāng)前所處的組名.

8.文件加密

  crypt命令可提供給用戶以加密文件,使用一個(gè)關(guān)鍵詞將標(biāo)準(zhǔn)輸入的信息編碼為
不可讀的雜亂字符串,送到標(biāo)準(zhǔn)輸出設(shè)備.再次使用此命令,用同一關(guān)鍵詞作用于加
密后的文件,可恢復(fù)文件內(nèi)容.一般來(lái)說(shuō),在文件加密后,應(yīng)刪除原始文件,只留下加
密后的版本,且不能忘記加密關(guān)鍵詞.在vi中一般都有加密功能,用vi-x命令可編輯
加密后的文件.關(guān)于加密關(guān)鍵詞的選取規(guī)則與口令的選取規(guī)則相同.由于crypt程序
可能被做成特洛依木馬,故不宜用口令做為關(guān)鍵詞.最好在加密前用pack或compre
ss命令對(duì)文件進(jìn)行壓縮后再加密.

9.其它安全問(wèn)題

(1)用戶的.profile文件

  由于用戶的HOME目錄下的.profile文件在用戶登錄時(shí)就被執(zhí)行.若該文件對(duì)其他
人是可寫(xiě)的則系統(tǒng)的任何用戶都能修改此文件,使其按自己的要求工作.這樣可能
使得其他用戶具有該用戶相同的權(quán)限.

(2)ls-a

  此命令用于列出當(dāng)前目錄中的全部文件,包括文件名以.開(kāi)頭的文件,查看所有文
件的存取許可方式和文件所有者,任何不屬于自己但存在于自己的目錄中的文件都
應(yīng)懷疑和追究.

(3).exrc文件

  為編輯程序的初始化文件,使用編輯文件后,首先查找$HOME/.exrc文件和./.ex
rc文件,若該文件是在$HOME目錄中找到,則可像.profile一樣控制它的存取方式,
若在一個(gè)自己不能控制的目錄中,運(yùn)行編輯程序,則可能運(yùn)行其他人的.exrc文件,
或許該.exrc文件存在那里正是為了損害他人的文件安全.為了保證所編輯文件的
安全,最好不要在不屬于自己或其他人可寫(xiě)的目錄中運(yùn)行任何編輯程序.

(4)暫存文件和目錄

  在UNIX系統(tǒng)中暫存目錄為/tmp和/usr/tmp,對(duì)于程序員和許多系統(tǒng)命令都使用它
們,如果用這些目錄存放暫存文件,別的用戶可能會(huì)破壞這些文件.使用暫存文件最
好將文件屏蔽值定義為007,但最保險(xiǎn)的方法是建立自己的暫存文件和目錄

HOME
/tmp,不要將重要文件存放于公共的暫存目錄.

(5)UUCP和其它網(wǎng)絡(luò)

  UUCP命令用于將文件從一個(gè)UNIX系統(tǒng)傳送到另一個(gè)UNIX系統(tǒng),通過(guò)UUCP傳送的文
件通常存于/usr/spool/uucppublic/login目錄,login是用戶的登錄名,該目錄存
取許可為777,通過(guò)網(wǎng)絡(luò)傳輸并存放于此目錄的文件屬于UUCP所有,文件存取許可為
666和777,用戶應(yīng)當(dāng)將通過(guò)UUCP傳送的文件加密,并盡快移到自己的目錄中.其它網(wǎng)
絡(luò)將文件傳送到用戶HOME目錄下的rjc目錄中.該目錄應(yīng)對(duì)其他人是可寫(xiě)可搜索的
,但不必是可讀的,因而用戶的rjc目錄的存取許可方式應(yīng)為733,允許程序在其中建
立文件.同樣,傳送的文件也應(yīng)加密并盡快移到自己的目錄中.

　

(6)特絡(luò)依木馬

  在UNIX系統(tǒng)安全中,用特絡(luò)依木馬來(lái)代表和種程序,這種程序在完成某種具有明
顯意圖的功能時(shí),還破壞用戶的安全.如果PATH設(shè)置為先搜索系統(tǒng)目錄,則受特絡(luò)依
木馬的攻擊會(huì)大大減少.如模似的crypt程序.

(7)誘騙

  類似于特絡(luò)依木馬,模似一些東西使用戶泄漏一些信息,不同的是,它由某人執(zhí)行
,等待無(wú)警覺(jué)的用戶來(lái)上當(dāng).如模似的login.

(

計(jì)算機(jī)病毒

  計(jì)算機(jī)病毒通過(guò)把其它程序變成病毒從而傳染系統(tǒng)的,可以迅速地?cái)U(kuò)散,特別是
系統(tǒng)管理員的粗心大意,作為root運(yùn)行一個(gè)被感染的程序時(shí).實(shí)驗(yàn)表明,一個(gè)病毒可
在一個(gè)小時(shí)內(nèi)(平均少于30分鐘)取得root權(quán)限.

(9)要離開(kāi)自己已登錄的終端

  除非能對(duì)終端上鎖,否則一定要注銷戶頭.

(10)智能終端

  由于智能終端有send和enter換碼序列,告訴終端送當(dāng)前行給系統(tǒng),就像是用戶敲
入的一樣.這是一種危險(xiǎn)的能力,其他人可用write命令發(fā)送信息給本用戶終端,信
息中如含有以下的換碼序列:
移光標(biāo)到新行(換行)
在屏幕上顯示“rm-r*”
將該行送給系統(tǒng)后果大家可以想象.

  禁止其他用戶發(fā)送信息的方法是使用mesg命令,mesgn不允許其他用戶發(fā)信息,m
esgy允許其他用戶發(fā)信息.即使如此仍是有換碼序列的問(wèn)題存在,任何一個(gè)用戶用
mail命令發(fā)送同樣一組換碼序列,不同的要用!rm-r*替換rm-r*.mail將以!開(kāi)頭的
行解釋為一條shell命令,啟動(dòng)shell,由shell解釋該行的其它部分,這被稱為shel
l換碼.為避免mail命令發(fā)送換碼序列到自己的終端,可建立一個(gè)過(guò)濾程序,在讀ma
il文件之前先運(yùn)行過(guò)濾程序,對(duì)mail文件進(jìn)行處理:

myname="$LOGNAME";
>;/usr/mail/$myname;
mail-f$HOME/mailbox

  其中tr將標(biāo)準(zhǔn)輸入的字符轉(zhuǎn)換手寫(xiě)到標(biāo)準(zhǔn)輸出中.這只是一個(gè)簡(jiǎn)單的思路,從原
則上來(lái)說(shuō),此程序應(yīng)為一C程序,以避免破壞正發(fā)送到的文件,可用鎖文件方式實(shí)現(xiàn)
.

(11)斷開(kāi)與系統(tǒng)的聯(lián)接

  用戶應(yīng)在看到系統(tǒng)確認(rèn)用戶登錄注銷后再離開(kāi)以免在用戶未注銷時(shí)由他人潛入
.

(12)cu命令

  該命令使用戶能從一個(gè)UNIX系統(tǒng)登錄到另一個(gè)UNIX系統(tǒng),此時(shí),在遠(yuǎn)地系統(tǒng)中注
銷用戶后還必須輸入"~"后回車,以斷開(kāi)cu和遠(yuǎn)地系統(tǒng)的聯(lián)接.cu還有兩個(gè)安全問(wèn)題
:

  如本機(jī)安全性弱于遠(yuǎn)地機(jī),不提倡用cu去登錄遠(yuǎn)地機(jī),以免由于本地機(jī)的不安全
而影響較安全的遠(yuǎn)地機(jī).

  由于cu的老版本處理"~"的方法不完善,從安全性強(qiáng)的系統(tǒng)調(diào)用安全性弱的系統(tǒng)
時(shí),會(huì)使弱系統(tǒng)的用戶使用強(qiáng)系統(tǒng)用戶的cu傳送強(qiáng)系統(tǒng)的/etc/passwd文件,除非確
信正在使用的cu是正確版本,否則不要調(diào)用弱系統(tǒng).

10.保持戶頭安全的要點(diǎn)

(1)保持口令的安全

不要將口令寫(xiě)下來(lái).

不要將口令存于終端功能鍵或MODEM的字符串存儲(chǔ)器中

不要選取顯而易見(jiàn)的信息作口令.

不要讓別人知道.

不要交替使用兩個(gè)口令.

不要在不同系統(tǒng)上使用同一口令.

不要讓人看見(jiàn)自己在輸入口令.

(2)不要讓自己的文件或目錄可被他人寫(xiě).

如果不信任本組用戶,umask設(shè)置為022.

確保自己的.profile除自己外對(duì)他人都不可讀寫(xiě).

暫存目錄最好不用于存放重要文件.

確保HOME目錄對(duì)任何人不可寫(xiě).

uucp傳輸?shù)奈募?yīng)加密,并盡快私人化.

(3)若不想要其他用戶讀自己的文件或目錄,就要使自己的文件和目錄不允許任何
人讀.

umask設(shè)置為006/007.

若不允許同組用戶存取自己的文件和目錄,umask設(shè)置為077.

暫存文件按當(dāng)前umask設(shè)置,存放重要數(shù)據(jù)到暫存文件的程序,就被寫(xiě)成能確保暫存
文件對(duì)其他用戶不可讀.

確保HOME目錄對(duì)每個(gè)用戶不可讀.

(4)不要寫(xiě)SUID/SGID程序.

(5)小心地拷貝和移文件.

cp拷貝文件時(shí),記住目的文件的許可方式將和文件相同,包括SUID/SGID許可在內(nèi),
如目的文件已存在,則目的文件的存取許可和所有者均不變.

mv移文件時(shí),記住目的文件的許可方式將和文件相同,包括SUID/SGID許可在內(nèi),若
在同一文件系統(tǒng)內(nèi)移文件,目的文件的所有者和小組都不變,否則,目的文件的所有
者和小組將設(shè)置成本用戶的有效UID和GID.

小心使用cpio命令,它能復(fù)蓋不在本用戶當(dāng)前目錄結(jié)構(gòu)中的文件,可用t選項(xiàng)首先列
出要被拷貝的文件.

(6)刪除一個(gè)SUID/SGID程序時(shí),先檢查該程序的鏈接數(shù),如有多個(gè)鏈,則將存取許可
方式改為000,然后再刪除該程序,或先寫(xiě)空該程序再刪除,也可將該程序的i結(jié)點(diǎn)號(hào)
給系統(tǒng)管理員去查找其他鏈.

(7)用crypt加密不愿讓任何用戶(包括超級(jí)用戶)看的文件.

不要將關(guān)鍵詞做為命令變量.

用ed-x或vi-x編輯加密文件.

(

除了信任的用戶外,不要運(yùn)行其他用戶的程序.

(9)在自己的PATH中,將系統(tǒng)目錄放在前面.

(10)不要離開(kāi)自己登錄的終端.

(11)若有智能終端,當(dāng)心來(lái)自其他用戶,包括write命令,mail命令和其他用戶文件
的信息中有換碼序列.

(12)用CTRL+D或exit退出后,在斷開(kāi)與系統(tǒng)的聯(lián)接前等待看到login:提示.

(13)注意cu版本.

不要用cu調(diào)用安全性更強(qiáng)的系統(tǒng).

除非確信cu不會(huì)被誘騙去發(fā)送文件,否則不要用cu調(diào)用安全性較弱的系統(tǒng)

摘自 http://cdlist.myrice.com/note/doc2k01/unixsafe.htm

作者: scyibin 時(shí)間: 2004-05-31 16:59
標(biāo)題: UNIX的安全問(wèn)題（轉(zhuǎn)貼）
希望能對(duì)各位有幫助

作者: xxhe 時(shí)間: 2004-05-31 17:52
標(biāo)題: UNIX的安全問(wèn)題（轉(zhuǎn)貼）
先謝謝

作者: yutian 時(shí)間: 2004-08-20 15:46
標(biāo)題: UNIX的安全問(wèn)題（轉(zhuǎn)貼）
不錯(cuò)，

歡迎光臨 Chinaunix (http://www.72891.cn/)