unix系統(tǒng)管理員安全問(wèn)題(編輯修改稿)

　

【文章內(nèi)容簡(jiǎn)介】 . 最大周數(shù)(第一個(gè)字符)小于最小周數(shù)(第二個(gè)字符),則不允許用戶(hù)修改口令,僅超級(jí)用戶(hù)可以修改用戶(hù)的口令. . 第一個(gè)字符和第二個(gè)字符都是.,這時(shí)用戶(hù)下次登錄時(shí)被要求修改口令,修改口令后,passwd命令將.刪除,此后再不會(huì)要求用戶(hù)修改口令. (2)UID和GID /etc/passwd中UID信息很重要,用戶(hù) 的UID應(yīng)當(dāng)是獨(dú)一無(wú)二的,從0到99的UID保留用作系統(tǒng)用戶(hù)的UID(root,bin,uucp 等).如果在/etc/passwd文件中有兩個(gè)不同的入口項(xiàng)有相同的UID,則這兩個(gè)用戶(hù)對(duì)相互的文件具有相同的存取權(quán)限. 6./etc/group文件 /etc/group文件含有關(guān)于小組的信息,/etc/passwd中的每個(gè)GID在本文件中應(yīng)當(dāng)有相應(yīng)的入口項(xiàng),入口項(xiàng)中列出了小組名 ,否則必須根據(jù)GID在/etc/passwd文件中從頭至尾地尋找同組用戶(hù)./etc/group文件 對(duì)小組的許可權(quán)限的控制并不是必要的,因?yàn)橄到y(tǒng)用UID,GID(取自/etc/passwd)決定文件存取權(quán)限,即使/etc/group文件不存在于 系統(tǒng)中,則將被認(rèn)為是加密口令,newgrp命令將要求用戶(hù)給出口令,然后將口令加密,如果 小組內(nèi)共享文件,若有某人猜著小組口令,則該組的所有用戶(hù)的文件就可能泄漏。其次,管理小組口令很費(fèi)事, /usr/lib/makekey生成一個(gè)口令寫(xiě)入/etc/: (1)可能要增加新用戶(hù),該用戶(hù)不屬于任何一個(gè)現(xiàn)有的小組. (2)有的用戶(hù)可能時(shí)常需要獨(dú)自為一個(gè)小組. (3)有的用戶(hù)可能有一個(gè)SGID程序,需要獨(dú)自為一個(gè)小組. (4)有時(shí)可能要安裝運(yùn)行SGID的軟件系統(tǒng),該軟件系統(tǒng)需要建立一個(gè)新組. 要 增加一個(gè)新組,必須編輯該文件,為新組加一個(gè)入口項(xiàng). 由于用戶(hù)登錄時(shí),系統(tǒng)從/etc/passwd文件中取GID,而不是從/etc/group中取GID,所以group文件和口令文件應(yīng)當(dāng)具有一致性. 對(duì)于一個(gè)用戶(hù)的小組,一般為5位數(shù),這樣在查看/etc/passwd文件 時(shí),就可根據(jù)5位數(shù)據(jù)的GID識(shí)別多用戶(hù)小組,這將減少增加新組,新用戶(hù)時(shí)可能產(chǎn)生的混淆. ,刪除,移走用戶(hù) (1)增加用戶(hù) 增加用戶(hù)有三個(gè)過(guò)程: . 在/etc/passwd文件中寫(xiě)入新用戶(hù)的入口項(xiàng). . 為新登錄用戶(hù)建立一個(gè)HOME目錄. . 在/etc/group中為新用戶(hù)增加一個(gè)入口項(xiàng). 在 /etc/passwd文件中寫(xiě)入新的入口項(xiàng)時(shí),口令部分可先設(shè)置為NOLOGIN,應(yīng)mkdir /etc/ptmp,GID號(hào)與UID號(hào)相同(除非他要加入目前已存在的一個(gè)新組),UID號(hào)必須和 其他人不同,HOME目錄一般設(shè)置在/usr或/home目錄下建立一個(gè)以用戶(hù)登錄名為名稱(chēng)的目錄做為其主目錄. (2)刪除用戶(hù) 刪除用戶(hù)與加用戶(hù)的工作正好相反,首先在/etc/passwd和/etc/group文件中刪除用戶(hù)的入口 項(xiàng), r /usr/loginname ,也應(yīng)當(dāng)刪除. (3)將用戶(hù)移到另一個(gè)系統(tǒng) 這是一個(gè)復(fù)雜的問(wèn)題,不只是拷貝用戶(hù)的文件和用戶(hù)在/etc/ 一個(gè)問(wèn)題是用戶(hù)的UID和GID可能已經(jīng)用于另一個(gè)系統(tǒng),若是出現(xiàn)這種情況,必須給要移的用戶(hù)分配另外的UID和GID,如果改變了用戶(hù)的UID和 GID,則必須搜索該用戶(hù)的全部文件,: find . user olduid exec chown newuid {} \。 find . group oldgid exec chgrp newgid {} \。 也 許還要為用戶(hù)移走其它一些文件:/usr/mail/user和/usr/spool/cron/crontabs/ 管理員的系統(tǒng)移來(lái),可能有與該用戶(hù)其它文件存在一起的SUID/SGID程序,而這個(gè) SUID/,如果用cpio或tar命令將用戶(hù)的目錄結(jié)構(gòu)拷貝到本系統(tǒng),SUID/SGID程序也將會(huì)拷貝到本 , 用su命令進(jìn)入用戶(hù)的戶(hù)頭,再拷貝用戶(hù)文件,這樣文件的所有者就是該用戶(hù),而不是root. 像find和secure這樣的程序稱(chēng)為檢查程序,它們搜索文件系統(tǒng),尋找出SUID/SGID文件,設(shè)備文件,任何人可寫(xiě)的系統(tǒng)文件,設(shè)有口令的登錄用戶(hù),具有相同UID/GID的用戶(hù)等等. (1)記帳 UNIX記帳軟件包可用作安全檢查工具,除最后登錄時(shí)間的記錄外,記帳系統(tǒng)還能保存全天運(yùn)行的所有進(jìn)程的完整記錄,對(duì) 于一個(gè)進(jìn)程所存貯的信息包括UID,命令名,進(jìn)程開(kāi)始執(zhí)行與結(jié)束的時(shí)間,CPU時(shí)間和實(shí)際消耗的時(shí)間,該進(jìn)程是否是root進(jìn)程,這將有助于系統(tǒng)管理員了 ,系統(tǒng)中有多個(gè)記帳數(shù)據(jù)文件,記帳信息保存在文件/usr/adm/pacct* 中,/usr/adm/pacct是當(dāng)前記錄文件,/usr/adm/pacctn是以前的記帳文件(n為整型數(shù)).若有若干個(gè)記帳文件要查看,可在 acct命令中指定文件名: acct /usr/adm/pacct? /usr/adm/pacct要檢查的問(wèn)題的其中之一是:在acct的輸出中查找一個(gè)用戶(hù)過(guò)多的登錄過(guò)程,若有,則說(shuō)明可能有人一遍遍地嘗試登錄, 猜測(cè)口令,還應(yīng)查看root進(jìn)程,除了系統(tǒng)管理員用su命令從終端進(jìn)入root,系統(tǒng)啟動(dòng),系統(tǒng)停止時(shí)間,以及由init(通常 init只啟動(dòng)getty,login,登錄shell),cron啟動(dòng)的進(jìn)程和具有root SUID許可的命令外,運(yùn)行的進(jìn)程數(shù)等統(tǒng)計(jì)數(shù)據(jù). (2)其它檢查命令 *du:報(bào)告在層次目錄結(jié)構(gòu)(當(dāng)前工作目錄或指定目錄起). *df:. *ps: , 同時(shí)運(yùn)行了許多進(jìn)程的用戶(hù),未注銷(xiāo)戶(hù)頭就 關(guān)終端的用戶(hù)(一般發(fā)生在直接連線的終端). *who:可以告訴系統(tǒng)管理員系統(tǒng)中工作的進(jìn)展情況等等許多信息,檢查用戶(hù)的登錄時(shí)間,登錄終端. *su:每當(dāng)用戶(hù)試圖使用su命令進(jìn)入系統(tǒng)用戶(hù)時(shí),命令將在/usr/adm/sulog文件中寫(xiě)一條信息,若該文件記錄了大量試圖用su進(jìn)入root的無(wú)效操作信息,則表明了可能有人企圖破譯root口令. *login: 在一些系統(tǒng)中,login程序記錄了無(wú)效的登錄企圖(若本系統(tǒng)的login程序不做這項(xiàng)工作而系統(tǒng)中有l(wèi)ogin源程序,則應(yīng)修改login).每天總有 少量的無(wú)效登錄,若無(wú)效登錄的次數(shù)突然增加了兩倍,則表明可能有人企圖通過(guò)猜測(cè)登錄名和口令,非法進(jìn)入系統(tǒng). (3)安全檢查程序的問(wèn)題 關(guān)于以上的檢查方法的一個(gè)警告,若有誘騙,如果碰 到路徑名長(zhǎng)于256個(gè)字符的文件或含有多于200個(gè)文件的目錄,將放棄處理該文件或目錄,用戶(hù)就有可能利用建立多層目錄結(jié)構(gòu)或大目錄隱藏SUID程序,使 其逃避檢查(但find命令會(huì)給出一個(gè)錯(cuò)誤信息,系統(tǒng)管理員應(yīng)手工檢查這些目錄和文件).也可用ncheck命令搜索文件系統(tǒng),但它沒(méi)有find命令指定 , 用戶(hù)用su命令時(shí),除非用參數(shù),. 有三種方法可尋找久未登錄的帳戶(hù): . UNIX記帳系統(tǒng)在文件/usr/adm/acct/sum/,該文件由系統(tǒng)維護(hù),所 ,如果在清晨(午夜后)運(yùn)行記帳程序,一天的登錄日期可能就被 清除了. . /etc/passwd文件中的口令時(shí)效域?qū)⒛芨嬖V系統(tǒng)管理員,用戶(hù)的口令是否過(guò)期了,若過(guò)期,則意味著自過(guò)期以來(lái), 系統(tǒng)記