好贷网好贷款

Linux服务器安全初始化Shell脚本

发布时间:2016-12-3 23:51:13 编辑:www.fx114.net 分享查询网我要评论
本篇文章主要介绍了"Linux服务器安全初始化Shell脚本",主要涉及到Linux服务器安全初始化Shell脚本方面的内容,对于Linux服务器安全初始化Shell脚本感兴趣的同学可以参考一下。

下面的这段Linux系统安全Shell脚本用于Linux系统的安全初始化脚本,可以在服务器系统安装完毕之后立即执行以快速建立起服务器的安全防护。最初的脚本由晓辉撰写,在数次修改之后已经大量应用在某大型媒体网站体系中。修改了一些bug,已经在CentOS 5.5 x86_64下通过,目前在一些没有硬件防火墙的服务器上使用。  使用方法:将其复制,保存为一个shell文件,比如 security.sh。将其上传到linux服务器上,执行sh security.sh,就可以使用该脚本了。建议大家在系统初始化后立即执行,然后创建了用户帐号和密码后就不要再改动了,以免影响重要文件的初始 md5值。  脚本内容(以下内容为了方便阅读,对注释进行了翻译):  #!/bin/sh  # desc: setup linux system security  # author:coralzd  # powered by www.baidu.org.tw  # version 0.1.2 written by 2011.05.03  #设置账号  passwd -l xfs  passwd -l news  passwd -l nscd  passwd -l dbus  passwd -l vcsa  passwd -l games  passwd -l nobody  passwd -l avahi  passwd -l haldaemon  passwd -l gopher  passwd -l ftp  passwd -l mailnull  passwd -l pcap  passwd -l mail  passwd -l shutdown  passwd -l halt  passwd -l uucp  passwd -l operator  passwd -l sync  passwd -l adm  passwd -l lp  # 用chattr给用户路径更改属性。chattr命令用法参考文末说明[1]  chattr +i /etc/passwd  chattr +i /etc/shadow  chattr +i /etc/group  chattr +i /etc/gshadow  # 设置密码连续输错3次后锁定5分钟 【 Linux公社 www.Linuxidc.com 】  sed -i ‘s#auth required pam_env.so#auth required pam_env.so\nauth required pam_tally.so onerr=fail deny=3 unlock_time=300\nauth required /lib/security/$ISA/pam_tally.so onerr=fail deny=3 unlock_time=300#’ /etc/pam.d/system-auth  # 5分钟后自动登出,原因参考文末说明[2]  echo “TMOUT=300″ >>/etc/profile  # 历史命令记录数设定为10条  sed -i “s/HISTSIZE=1000/HISTSIZE=10/” /etc/profile  # 让以上针对 /etc/profile 的改动立即生效  source /etc/profile  # 在 /etc/sysctl.conf 中启用 syncookie  echo “net.ipv4.tcp_syncookies=1″ >> /etc/sysctl.conf  sysctl -p # exec sysctl.conf enable  # 优化 sshd_config  sed -i “s/#MaxAuthTries 6/MaxAuthTries 6/” /etc/ssh/sshd_config  sed -i ”s/#UseDNS yes/UseDNS no/” /etc/ssh/sshd_config  # 限制重要命令的权限  chmod 700 /bin/ping  chmod 700 /usr/bin/finger  chmod 700 /usr/bin/who  chmod 700 /usr/bin/w  chmod 700 /usr/bin/locate  chmod 700 /usr/bin/whereis  chmod 700 /sbin/ifconfig  chmod 700 /usr/bin/pico  chmod 700 /bin/vi  chmod 700 /usr/bin/which  chmod 700 /usr/bin/gcc  chmod 700 /usr/bin/make  chmod 700 /bin/rpm  # 历史安全  chattr +a /root/.bash_history  chattr +i /root/.bash_history  # 给重要命令写 md5  cat > list << “EOF” &&  /bin/ping  /usr/bin/finger  /usr/bin/who  /usr/bin/w  /usr/bin/locate  /usr/bin/whereis  /sbin/ifconfig  /bin/vi  /usr/bin/vim  /usr/bin/which  /usr/bin/gcc  /usr/bin/make  /bin/rpm  EOF  for i in `cat list`  do  if [ ! -x $i ];then  echo “$i not found,no md5sum!”  else  md5sum $i >> /var/log/`hostname`.log  fi  done  rm -f list  知识点[1]:有关chattr命令  chattr 命令可以修改文件属性,达到保护文件和目录的作用。相比改变文件读写、执行权限的chmod命令,chattr命令可以控制更底层的文件属性。该命令十分强大,其中一些功能是由Linux内核版本来支持的,如果Linux内核版本低于2.2,那么许多功能不能实现。同样-D检查压缩文件中的错误的功能,需要2.5.19以上内核才能支持。另外,通过chattr命令修改属性能够提高系统的安全性,但是它并不适合所有的目录。chattr命令不能保护/、 /dev、/tmp、/var目录。  此类属性的查看可以通过lsattr命令完成。  chattr命令的用法:chattr [ -RV ] [ -v version ] [ mode ] files…  最关键的是在[mode]部分,,即文件属性部分。[mode]部分是由+-=和[ASacDdIijsTtu]这些字符组合的。  + :在原有参数设定基础上,追加参数。  - :在原有参数设定基础上,移除参数。  = :更新为指定参数设定。  A:文件或目录的 atime (access time)不可被修改(modified), 可以有效预防例如手提电脑磁盘I/O错误的发生。  S:硬盘I/O同步选项,功能类似sync。  a:即append,设定该参数后,只能向文件中添加数据,而不能删除,多用于服务器日志文 件安全,只有root才能设定这个属性。  c:即compresse,设定文件是否经压缩后再存储。读取时需要经过自动解压操作。  d:即no dump,设定文件不能成为dump程序的备份目标。  i:设定文件不能被删除、改名、设定链接关系,同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助。  j:即journal,设定此参数使得当通过mount参数:data=ordered 或者 data=writeback 挂 载的文件系统,文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为 data=journal,则该参数自动失效。  s:保密性地删除文件或目录,即硬盘空间被全部收回。  u:与s相反,当设定为u时,数据内容其实还存在磁盘中,可以用于undeletion.  各参数选项中常用到的是a和i。a选项强制只可添加不可删除,多用于日志系统的安全设定。而i是更为严格的安全设定,只有superuser (root) 或具有CAP_LINUX_IMMUTABLE处理能力(标识)的进程能够施加该选项。  应用实例:  1、用chattr命令防止系统中某个关键文件被修改  # chattr +i /etc/fstab  然后试一下rm mv rename等命令操作于该文件,都是得到Operation not permitted 的结果  2、让某个文件只能往里面追加内容,不能删除,一些日志文件适用于这种操作  # chattr +a /data1/user_act.log  知识点[2]:为何要设置5分钟后自动登出  由于客户的维护人员常常登陆上去后通过直接关闭TERM端口非法退出telnet,造成系统的pts进程越来越多,一个月下来竟然近百,当进程过多的时候系统就会产生报警。规范操作应该是用exit或者ctrl+D,但是其他人并不这样操作,所以我们定义了echo “TMOUT=300″ >& gt;/etc/profile这一项内容,是让服务器自动剔除300秒没有任何动作的客户端。当然了这一项大家可以根据实际需求而决定是否添加。 原文地址:http://bbs.lampbrother.net/read-htm-tid-119961.html 管理员在2009年8月13日编辑了该文章文章。 --> --> 阅读(112) | 评论(0) | 转发(1) | 0 上一篇:你需要知道的 16 个 Linux 服务器监控命令 下一篇:【捷哥浅谈PHP】第十三弹---NoSQL数据库之MongoDB的CURD操作(四) 相关热门文章 【原创】ganglia被监控机部署... text段,data段,bss段,堆和栈 ... GCC 扩展特性 修改设置Tomcat内存 Oracle9i轻松取得建表和索引的... linux 常见服务端口 什么是shell 【ROOTFS搭建】busybox的httpd... linux socket的bug?? linux的线程是否受到了保护?... 大家都是用什么来管理hadoop集... 网站被人挂了吗,添加了些程序... Nginx如何保证不走宕机的那个... 大家谈谈MYSQL客户端和服务器... 以下代码运行后为何会输出5?... 热门推荐 --> 给主人留下些什么吧!~~ 评论热议

上一篇:凯歌的超快售后服务和论小光与小阎的杀气问题
下一篇:【捷哥浅谈PHP】第十三弹---NoSQL数据库之MongoDB的CURD操作(四)

相关文章

相关评论