Linux服务器装机安全快速进阶指南(3)

作者: FOX 出处:51CTO论坛整理　

 

◆三、"/etc/exports"文件设置

如果通过NFS把文件共享出来，那么一定要配置"/etc/exports"文件，使得访问限制尽可能的严。这就是说，不要用通配符，不允许对根目录有写权限，而且尽可能只给只读权限。编辑exports文件（vi /etc/exports）加入：

例如：

/dir/to/export host1.mydomain.com(ro,root_squash)
/dir/to/export host2.mydomain.com(ro,root_squash)

"/dir/to/export"是你想共享出来的目录，host.mydomain.com是允许访问这个目录的计算机。

代表只读，代表不允许对根目录进行写操作。使这些改变生效，你还要运行 "/usr/sbin/exportfs -a"命令。

注意：在服务器上装NFS服务是会有安全隐患的，就我个人而言，不建议你使用NFS。

◆四、禁止使用控制台程序

一个最简单而且最常用的保证系统安全的方法就是禁止使用所有的控制台程序，如：shutdown和halt。可以运行下面的命令来实现：

[root@aid /]# rm -f /etc/security/console.apps/servicename

这里servicename是你要禁止的控制台程序名。除非你使用xdm，否则不要把xserver文件删掉，如果这样除了root之外，没有人可以启动 X服务器了。（如果使用xdm启动X服务器，这时root是唯一需要启动X服务器的用户，这才有必要把xserver文件删掉）。例如：

[root@deep]# rm -f /etc/security/console.apps/halt
[root@deep]# rm -f /etc/security/console.apps/poweroff
[root@deep]# rm -f /etc/security/console.apps/reboot
[root@deep]# rm -f /etc/security/console.apps/shutdown
[root@deep]# rm -f /etc/security/console.apps/xserver (如果删除，只有root可以启动X).

这些命令就可以禁止所有的控制台程序：halt、poweroff、reboot和shutdown。记住，只有装了Xwindow，删除xerver文件才会有效果。

◆五、"/etc/aliases"文件

aliases文件可能会造成安全隐患。例如：很多的软件产商都把 "decode"这个别名放在aliases文件里。这样做的目的是为了方便通过email传送二进制文件。在发送邮件的时候，用户把二进制文件用 "uuencode"转成ASCII文件，然后把结果发给接收端的"decode"。由这个别名让邮件信息通过"/usr/bin/uuencode"程序把二进制文件重新转换成ASCII文件。如果允许"decode"出现在aliases文件中，可以想象将会有什么样的安全隐患。

把定义"decode"这个别名的行从aliases文件中删除。同样地，每一个会运行程序的别名都要好好查看一下，很有可能要把它们删除掉。要使改动生效，还必须运行：

[root@deep]# /usr/bin/newaliases

编辑aliases文件（vi /etc/aliases），删除或注释掉下面这些行：

# Basic system aliases -- these MUST be present.
MAILER-DAEMON: postmaster
postmaster: root
# General redirections for pseudo accounts.
bin: root
daemon: root
#games: root
#ingres: root
nobody: root
#system: root
#toor: root
#uucp: root
# Well-known aliases.
#manager: root
#dumper: root
#operator: root
# trap decode to catch security attacks
#decode: root
# Person who should get roots mail
#root: marc

最后记得运行"/usr/bin/newaliases"使改变生效。