保证Linux系统安全 从防范漏洞做起
来源:asp之家 发布时间:2009-06-15 13:25:00
Linux作为开放式的操作系统受到很多程序员的喜爱,很多高级程序员都喜欢编写Linux操作系统的相关软件。这使得Linux操作系统有着丰富的软件支持,还有无数的技术人员作为技术后盾和技术支持,这使得Linux越来越受到程序员的欢迎。
但这种开放式的操作系统有一个最大的弊端就是每个程序员的水平不等,编写相关软件后并未注意自己程序中的漏洞。没有统一的漏洞检查,这使得Linux的软件中会出现很多的漏洞,而软件开发者却很难察觉自己编写程序的漏洞,但黑客们会非常注意这些漏洞,并且会利用这些漏洞来达到自己的目的。那么是不是Linux系统就不安全了呢?其实大可不必担心,只要做好下述几点便可安心的使用Linux系统。
一、取消不必要的服务
早期的Unix版本中,每一个不同的网络服务都有一个服务程序在后台运行,后来的版本用统一的/etc/inetd服务器程序担此重任。Inetd是Internetdaemon的缩写,它同时监视多个网络端口,一旦接收到外界传来的连接信息,就执行相应的TCP或UDP网络服务。
由于受inetd的统一指挥,因此Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检查/etc/inetd.conf文件,在不要的服务前加上“#”号。
一般来说,除了http、smtp、telnet和ftp之外,其他服务都应该取消,诸如简单文件传输协议tftp、网络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和time等。
还有一些报告系统状态的服务,如finger、efinger、systat和netstat等,虽然对系统查错和寻找用户非常有用,但也给黑客提供了方便之门。例如,黑客可以利用finger服务查找用户的电话、使用目录以及其他重要信息。因此,很多Linux系统将这些服务全部取消或部分取消,以增强系统的安全性。
Inetd除了利用/etc/inetd.conf设置系统服务项之外,还利用/etc/services文件查找各项服务所使用的端口。因此,用户必须仔细检查该文件中各端口的设定,以免有安全上的漏洞。
在Linux中有两种不同的服务型态:一种是仅在有需要时才执行的服务,如finger服务;另一种是一直在执行的永不停顿的服务。这类服务在系统启动时就开始执行,因此不能靠修改inetd来停止其服务,而只能从修改/etc/rc.d/rc[n].d/文件或用Runleveleditor去修改它。提供文件服务的NFS服务器和提供NNTP新闻服务的news都属于这类服务,如果没有必要,最好取消这些服务。
二、限制系统的出入
在进入Linux系统之前,所有用户都需要登录,也就是说,用户需要输入用户账号和密码,只有它们通过系统验证之后,用户才能进入系统。
与其他Unix操作系统一样,Linux一般将密码加密之后,存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd文件,虽然文件中保存的密码已经经过加密,但仍然不太安全。因为一般的用户可以利用现成的密码破译工具,以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow,只允许有特殊权限的用户阅读该文件。
在Linux系统中,如果要采用影子文件,必须将所有的公用程序重新编译,才能支持影子文件。这种方法比较麻烦,比较简便的方法是采用插入式验证模块(PAM)。很多Linux系统都带有Linux的工具程序PAM,它是一种身份验证机制,可以用来动态地改变身份验证的方法和要求,而不要求重新编译其他公用程序。这是因为PAM采用封闭包的方式,将所有与身份验证有关的逻辑全部隐藏在模块内,因此它是采用影子档案的最佳帮手。
此外,PAM还有很多安全功能:它可以将传统的DES加密方法改写为其他功能更强的加密方法,以确保用户密码不会轻易地遭人破译;它可以设定每个用户使用电脑资源的上限;它甚至可以设定用户的上机时间和地点。
Linux系统管理人员只需花费几小时去安装和设定PAM,就能大大提高Linux系统的安全性,把很多攻击阻挡在系统之外。
猜你喜欢
- 拼客(Pinker)是个地道的Chinglish(中国式英语),Pinke即拼客一词拼音,为了让它看起来更像一个英文单词,于是加上r之后就成
- 一个排名好的网站离不开好的cms,当然不同cms各有各的好处,因此我们在上线新网站的时候,要针对不同的情况因地制宜,选择不同的网站管理系统来
- 在做seo的时候,我们首选要确定坐哪几个关键词,一般主推3个关键词差不多,剩下的关键词作为辅助关键词,或称之为长尾关键词。说到关键词的选择是
- 三、添加用户信箱邮件服务器安装设置完毕后,接下来进行用户的创建,即个人邮箱的建立。1、添加用户在MDaemon主窗口的Accounts菜单中
- 网易公司今天宣布了截止到2009年12月31日的第四季度及年度未经审计财务业绩。网易2009年第四季度财务业绩收入2009年第四季度总收入1
- 以下是Adsense小组新手专题的文章,原文标题:无效点击和点击欺诈的定义经常有新发布商向我们询问这两个词的意思,为帮助发布商充分理解它们的
- 1、何谓虚拟系统“虚拟系统”的意思是“假的系统”,亦即当一个
- 一:持之以恒,每日更新。此条排在第一位,相信绝大多数个人站长不会有异议吧。一个网站从前期策划到建设维护再到后期推广,其中零碎烦琐之事不胜枚举
- 链接的设计在SEO中是至关重要的。好的链接战略,需要从高处着手,划分链接的结构。在我们常说的关于链接建设的一些细节,例如链接建设的时间、链接
- 相信最近所有的站长及互联网从业者最关心的就是这次互联网整风运动,先是紫田机房500台服务器被关,之后又是汕头机房,现在有轮到了上海外高桥机房
- Text Link Ads 是一家专门销售博客文字链接的国外联盟,网赚老鸟应该对它并不陌生,很多人靠它很轻松的赚了不少钱,对于网赚新手来说,
- 搜索引擎会对恶意进行SEO的网站进行惩罚,如清除所有链接。百度对作弊的判断条件:(1)在网页源代码的任意位置,故意加入与网页内容不相关的关键
- 第一条:总有人抱怨现在的seo优化的效果不如几年前了,他们总是说如果早些开始,现在早该如何如何了。而这正是seo优化者最常见的一个误区,se
- Yahoo推出的新搜索引擎机器人叫YahooSlurp。YahooSlurp跟GoogleBot一样,顺着每个HREF链接找到网站。它不会抓
- 网站结构您首先需要考虑的就是: 是否需要为您想开展业务的所有有关国家购买针对各个国家的顶级域名(TLD)。如果回答是肯定的话,您的域名可以选
- FTP(FileTransferProtocol)是文件传输协议,通过它可以从计算机传输或传输到计算机文件。FTP命令可以交互方式使用,也可
- 至从上次在淘宝网给手机充话费之后,发现通过网络给手机充话费的确很方便,一般能给话费打个九点几折,而且又不用到营业厅去排队。中国移动虽然有网上
- 昨天介绍的Windows Server 2003下的IIS和Apache性能比较,其实Apache在Linux环境下的性能还是很不错的,我之
- Godaddy Linux主机帐户的免费软件您了解多少呢?我们的所有托管计划都含有一些免费的server-side applications
- 我做了源码下载站有两个月了,在这里把这两个月做站的一点心得和感受拿出来分享下。 1.网站定位 既然打算做源码下载站,定位