HP-UX安全手册 - Unix&BSD - 操作系统 - TechWeb-技术社区

TechWeb-技术社区 » 操作系统 » Unix&BSD » HP-UX安全手册

‹‹ 上一主题 | 下一主题 ››

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#1

发表于 2008-8-9 23:44 资料短消息加为好友

HP-UX安全手册

HP-UX安全手册TechWeb-技术社区6c'c e4{;_+Q3p.w6v

tech.techweb.com.cn o1F)u6v%_.f9d,T/x
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛:v:}$T0n8?5j"L6i0o9g"{
TechWeb-技术社区(I(]'h:f1n
一、基本系统管理4T4I%u4V2z"E3s1Z

5X&},z7i9M/C2^/\9e1t%b
*`:m-H"`'^5X)U7b6P
tech.techweb.com.cn,X2b8I'F%P-O!m"I
1、常用命令.n&\9E9I+i;J2L)o2B
1. # ioscan -fn
.`&N/B7]*F2}(}
列出各I/O卡及设备的所有相关信息：如逻辑单元号，硬件地址及设备文件名等。 tech.techweb.com.cn"N2}5C:f.J0f#I2i
8b!b7e;t"T,?*y2j

:]-t:m5V2j:U0G#\
2. # ps -ef TechWeb-技术社区"K$R6C%T6m&v5{*?9l"V {

列出正在运行的所有进程的各种信息：如进程号及进程名等。

3. # netstat -rn tech.techweb.com.cn O"S'R3t7E3{5{

列出网卡状态及路由信息等。 tech.techweb.com.cn J9s9x9O ^

4. # lanscan

列出网卡状态及网络配置信息。 0c |:_7D(}"x.o
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛&d(v$}9M&p!\
tech.techweb.com.cn O#T/?'\2f,v.a
TechWeb-技术社区2x+y%f8O+W5F
5. # bdf

列出已加载的逻辑卷及其大小信息。"l-L(d4b W"e,T
,f!?1p&A*S
5g3i,m#c+R/G

6. # mount 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛&q7l'R-X,v

列出已加载的逻辑卷及其加载位置。
TechWeb-技术社区7^;L-R)r$U#q&L6]0b)J;A

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛7w"j'F2l,n1c'L0y
7. # uname -a

列出系统ID 号，OS版本及用户权限等信息。

TechWeb-技术社区#l/{;o$J(q;q9?
tech.techweb.com.cn4T)^2D1~2~9]4j7W#Q
8. # hostname

列出系统网络名称。

TechWeb-技术社区&^(T&_#s3h1p"D3b3l
:h#S5X*v-k'r
9. # pvdisplay -v /dev/dsk/c*t*d* 0~6~&L4z2L
,[5q3c6l2\4D5a+`3}
显示磁盘各种信息，如磁盘大小，包含的逻辑卷，设备名称等。 /J*k4[+E)a1}-i/t

$D&v4?"r.V-Z1c9n
10. # vgdisplay -v /dev/vg00 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛 O2X3N8?4z"S4H4J2`
6M u&b9l,y;_8s+U8J.t
显示逻辑卷组信息，如包含哪些物理盘及逻辑卷等。
0u.S-s)M b:a
.i8_!v;s%J;}'E

11. # lvdisplay -v /dev/vg00/lvol1

显示逻辑卷各种信息，如包含哪些盘，是否有镜像等。 (L3l G4U5J3T4G(K&s
)y$m,C:Q)x e5g-f:d
2、网络故障诊断 "s.l6P4a*@
1. 如需修改网络地址、主机名等，一定要用set_parms 命令
0M1J(c4y)R9I-w,?
# set_parms hostname .@2L%C'G8v:{'s+P3Y

# set_parms ip_address
7Y w;K*Y&k"i3f

2. 查看网卡状态： lanscan 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛-m'n-L#R6n!T

Hardware Station Crd Hardware Net-Interface !i3B/M6H)n&U;B

Path Address In# state nameunit state tech.techweb.com.cn+q'X2X/P%a:V,K4l

8/20/5/1 0x0800097843FB 0 up lan0 up TechWeb-技术社区*u&i,p(}-d:^#p#X(R
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛-g-w&D4h1^;E)b

3. 确认网络地址：

# ifconfig lan0 #}9Y&t5y!c1R!d$p

TechWeb-技术社区8@5L#[)x)b"r'Z:[
4. 启动网卡：程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛.[%W0?,h,W4L'm9t
']0[8C9d,V
# ifconfig lan0 up

5. 网络不通的诊断过程： tech.techweb.com.cn)?&O%@4I.v&g(b-K-S C'j
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;p!S9O1j4Z:~0e5\,`&P:~
lanscan 查看网卡是否启动(up)
)a!w$P2i5},F,m(t
ping 自己网卡地址(ip 地址) :y'l8~9e i3S%w
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛8s:S0P:u+v0e9r+X
ping其它机器地址，如不通，在其机器上用lanscan 命令得知station address，然后linkloop station_address 来确认网线及集成器是否有问题。 &M)[5Q9X(u5h9~"A

在同一网中， subnetmask 应一致。

艺术爱好者 Arting798.com

引用回复

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#2

发表于 2008-8-9 23:45 资料短消息加为好友

6. 配置网关

手动加网关： U!D0n3C#J-R(m1a0D
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;}/j6|"h!\9U0P&]
/usr/sbin/route add default 20.08.28.98 1 2Y;c&U;E'p._(W*a
)T*o/e"H5C/v!^,t"u3h
把网关自动加入系统中 ;c%?'q-o-~&O7A
tech.techweb.com.cn2s!W/a4q&V
vi /etc/rc.config.d / netconf

:

ROUTE_DESTINATION [0]=default )c7v-r8O:C4w.l

ROUTE_GATEWAY [0]=20.08.28.98
tech.techweb.com.cn:[8R!`&u4l1n*n!b;F
ROUTE_COUNT [0]=1 tech.techweb.com.cn*O7X!` r(W6a

: 2s%B!~*O(O5e

/sbin/init.d/net 将执行： #W;`/F:T#b4Z$G2R
TechWeb-技术社区,e#{:~!f,};s%k,U
/usr/sbin/route add default 20.08.28.98 1 7B)B7z _!W0q9V

命令netstat -rn 查看路由表 TechWeb-技术社区2j1{+@)h h;N3q-F
7r,l+R6P(^,}*|.r
另外也可用set_parms addl_netwrk 来设缺省路由。
TechWeb-技术社区2a0C,n6e;Y#W&T5t(b9|

8J!]$n&f!F9E
二、安全安装HP-UX;h1~+[;r%J7b u+O$P
+Q*G [:M"`1D"T,G
;q,n-? d7R'h%`,]8P

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛 v.C9N.l(Q5H1J0m
1、  建议在安装配置过程中，不要连接到任何不信任的网络中。

2、  尽可能选择最小安装

3、  尽可能不要安装NFS, X window, SNMP等组件（视具体需求而定）)A8A/X-`2b&U9B+}*x

4、  安装完毕，则使用系统命令查看状态。"a5[&j(I/D#C9i;_/}$}

   # uname –a （版本信息）tech.techweb.com.cn;y;P!_0\,O2a'y
tech.techweb.com.cn9v&U#G4Q J&E
   # bdf （逻辑卷状态）程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;o"G!c9D)~5F$z4|(D2T6m
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(r8z-F(J9u#B3_*O
   # ps –ef （进程状态）TechWeb-技术社区0p+L$B*O&J1z!w#C

   # netstat -anf inet （端口状态）程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛9n&g4]6s B0\2p&Y;l

5、  安装各种驱动等TechWeb-技术社区8{(X3z!w5A

6、  安装最新的补丁。

http://us.itrc.hp.com

安装补丁时要注意HP的补丁与硬件类型和系统版本都相关，检查并安装所有需要的补丁。确认需要swlist -l fileset. #e4i3I/|;o8W(E
tech.techweb.com.cn"U8d&r/T)f:X/e8y6P.K

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛'm,x5U(R:p1`1X6i
三、系统基本配置4|)L!_,@:s,W-u6V3g7W)u(T
+?%a/Z#B'|&Y
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛.E7r8\4`'R.X,m
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;K9A6K3?7g/[3L:A,W*q/d
tech.techweb.com.cn"F+]/n)x _
操作系统安装并打上补丁后，需要做一些措施来对系统进行一些配置。tech.techweb.com.cn#y/@+K/l2C |0J6t6@

删除保存的补丁（可选）)R2\3K#k$x2["e
缺省情况下，补丁安装完会在/var/adm/sw/save/下备份所有的补丁。可以选择删除这些补丁文件，但一旦删除就没法使用swremove卸载补丁了。程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛.V/f*Y1P4S/G$R:_ c
-g3g-W,_*G
# swmodify -x patch_commit=true '*.*'-L.Q+R4b-H:t0_8`*K9{
6[$V'`/`/\7}.h%s+U
转换为一个可信系统：
# /usr/lbin/tsconvert程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛-i+w+H7t3j u r&r$f
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛&`*V)m2u8U#P n
Creating secure password database...6p-C3^$j9I1`(s
tech.techweb.com.cn3];[1O2p5F0_9i
Directories created.程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(T)T7B$k3W
$G'Z*y![.H#['^2y
Making default files. 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛.S(V*]+U4g3L

System default file created...
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛,H9B9h2m2p8u%\
Terminal default file created...
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛+U6}7r-T0z3^#G/t
Device assignment file created...tech.techweb.com.cn.h$Z,R+M4L"Z4W3a2i5E
TechWeb-技术社区$V'G%d:f-X!S-x
Moving passwords...
TechWeb-技术社区4d,j-l1c)k:@
secure password database installed.7L&_"D;C;J"T4G1C8K

Converting at and crontab jobs...

At and crontab files converted."D4d*o4p8p1A

/U8?%j$] l6d1_0v*V/M
-y'Y$H&d3d&q6W3P
改变全局特权tech.techweb.com.cn.p0G4v3['e
HP-UX 有一个特权组，可以分配给一个组特权(参见privgrp(4)). 缺省情况下，CHOWN是分配给所有组的一个全局特权： s:T&l D+Y'^

$ getprivgrp,g7F"?%@6d&e*P:D"R

global privileges: CHOWN

/sbin/init.d/set_prvgrp在系统启动时执行/usr/sbin/setprivgrp -f /etc /privgroup. 可以创建一个配置文件，删除所有的全局特权 (see setprivgrp(1m)): tech.techweb.com.cn*|:y:S6D'{)a)m

# getprivgrp a)J6~8j6K-~.]4^
0B.C'D8x,^;m
global privileges: CHOWN

# echo -n >;/etc/privgroupTechWeb-技术社区6?8x(a#o+R#b0e
+w R!J2v#f#]
# chmod 400 /etc/privgroup
TechWeb-技术社区0h3M*h9t0h+B4C
# /sbin/init.d/set_prvgrp start9D4^/k3o/J

# getprivgrp"_)p)y1m%~
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛3q3g%U-a(m!A
global privileges:

艺术爱好者 Arting798.com

引用回复

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#3

发表于 2008-8-9 23:45 资料短消息加为好友

设置默认umask.
转换到可信系统后，默认umask已经改为070771t)F$e(v;h,V8f$i0V'A
%`8k)K#e:F:D J9J

限制root远程登录，只能由console登录
# echo console >; /etc/securetty程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛*r2e2\"K'R5w o T5Q%h)c

# chmod 400 /etc/securetty程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛,~*f0A)t$t2~0p(k$@
TechWeb-技术社区#m3z(C(W%a:y

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;y"Q8~'l2X+p4X2z3O
打开inetd日志功能
在/etc/rc.config.d/netdaemons中的 INETD_ARGS 环境变量中增加－l参数: TechWeb-技术社区+W*l!r0G;p$t
'd K.\%M(z%G(i
export INETD_ARGS=-lTechWeb-技术社区9w*}3N:L:z/u6|

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(J5K3y8{ ?-X-P0D2O
TechWeb-技术社区%h;y'V0B'p7e"l;Y8}0w
删除不需要的系统伪帐户"L6f+t Z"K0B3n
# groupdel lpTechWeb-技术社区2C/\#\"v;w5d7{
TechWeb-技术社区:_,b j8o%E!s't5G4e1_
# groupdel nuucp

# groupdel daemon

# userdel uucp

# userdel lp

# userdel nuucp

# userdel hpdb8l(s5t4Z-N)M5Z

# userdel www8l&N8|)W%Q5v'@#f9A#q

# userdel daemon

对于一些保留的系统伪帐户如：bin, sys，adm等, 应当将需要禁止帐户的**用NP代替，并不提供登录shelltech.techweb.com.cn$e-c6u8K6W.M P1l#g0d
tech.techweb.com.cn3X"t/c+d0{:I-\
Example: bin:NP:60002:60002:No Access User:/:/sbin/noshell
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛9v1?'J t A-S:h&V$F
)t!O4J(O)t
4N.L,W*s7s-p
将root主目录从/改为/root.
编辑/etc/passwd: tech.techweb.com.cn&\"w:N'S/O

root:*:0:3::/root:/sbin/sh

创建目录并修改权限:
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛9p-S+i0}1~
# mkdir /root

# chmod 700 /root1{7C1L S6}

# mv /.profile /root*W/o8F'{,j/^1e$K"N
"u&h3N)}'w3A/t
# pwconv

艺术爱好者 Arting798.com

引用回复

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#4

发表于 2008-8-9 23:45 资料短消息加为好友

四、禁止网络服务)Z7O0Y%n!]
+d7V%r#a0M:y/f H4u%j

1、禁止inetd 服务
由internet服务器过程inetd启动的网络服务是由两个配置文件/etc/inet/services和/etc/inet/inetd.conf来配置的。/etc/inet/services文件指定每个服务的端口号和端口类型，该配置文件的部分示例如下：+U;t9i(D:^&]6q*v+H"L
/n9O%Z4w!h3D#M8U
…
9K:J:L.B:T(F [(P9^
ftp          21/tcp
)G:Q)Q!N2w!n&S-A:@&?+K
telnet       23/tcp
.s/z;u)f*T6S1x)M1\0f(h9J%`
smtp          25/tcp       mailtech.techweb.com.cn1b;^9|:e#N4h,G
%j&y+m5F,o3P0c
…&F!S7L,v4|:j)K:l$O
TechWeb-技术社区8e,b8{/D2e5F(z!^
/etc/inet/inetd.conf文件指定服务对应的系统服务程序，该配置文件部分示例如下：TechWeb-技术社区*`/D(H6n-[.r'K4C.t d
$y#o8e'C5{&i:v8J'm-T
…TechWeb-技术社区4m&x/q;p&Q

ftp    stream  tcp    nowait  root /usr/sbin/in.ftpd    in.ftpdtech.techweb.com.cn'A4a*J5e+d"W(R)}0L"M
tech.techweb.com.cn1C0|"{;v:N2|.v H-W
telnet  stream  tcp    nowait  root /usr/sbin/in.telnetd in.telnetd

…
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛"Q8j9c*O3Z6I9t:j&_&p
当要停止某个服务，如ftp、telnet等时，只要注释掉文件/etc/inet/services和/etc/inet/inetd.conf中的相应条目，也就是在那一行的开头加上＃字符，然后让inetd重新读配置文件，过程示例如下：

# ps -ef |grep inetd't3d6@5E&V'm/X"|$Y3_

root 149    1  0 Jan 18 ?       0:00 /usr/sbin/inetd -s
tech.techweb.com.cn#J/m;@"Z0E)j
root 24621 24605  0 15:53:01 pts/1 0:00 grep inetd [7h5]#E!F#r5@(C.e

# kill –HUP 149
tech.techweb.com.cn#m(I,|(l&_ `4C/c!S

以上第一条命令是为了获得inetd的进程号，示例中输出的第二列内容就是进程号(149)，然后将该进程号填入第二条命令的相应位置。'?8J'Y-p9\,c)A.N"{$^
TechWeb-技术社区2i'?.W V/E$W
TechWeb-技术社区 r0Z;u6O.M

可以使用lsof –i来查看监听进程和端口信息:

# lsof -i
TechWeb-技术社区)X6?!a&S'^.w8h;?
COMMAND PID USER FD TYPE    DEVICE SIZE/OFF NODE NAME程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛6v$B't.?7K0E5p
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛"I3V.M+J2u1b&Y+K
syslogd 261 root 5u  inet 0x10191e868    0t0  UDP *:syslog (Idle)

rpcbind 345 root 4u  inet    72,0x73    0t0  UDP *:portmap (Idle)-B/B9X3A,x1[0S+i7L/j
TechWeb-技术社区8q:^&]4O8b*J*I0S
rpcbind 345 root 6u  inet    72,0x73    0t0  UDP *:49158 (Idle)4?3X(P8Z1I)R5s6K/k4A

rpcbind 345 root 7u  inet    72,0x72    0t0  TCP *:portmap (LISTEN)程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛4o)[*i2i:b:e#d
TechWeb-技术社区'A"`$R)E)b#H6r
sendmail: 397 root 5u  inet 0x10222b668    0t0  TCP *:smtp (LISTEN)
TechWeb-技术社区2U!Z#d1S&s.i.T;d:S
snmpdm 402 root 3u  inet 0x10221a268    0t0  TCP *:7161 (LISTEN)tech.techweb.com.cn+j;r)Y!U:A

snmpdm 402 root 5u  inet 0x10222a268    0t0  UDP *:snmp (Idle)"V&C&\0u1L#d"I;S.n8k3d
TechWeb-技术社区.n+A)W;]$Y,@8P
snmpdm 402 root 6u  inet 0x10221f868    0t0  UDP *:* (Unbound)

mib2agt 421 root 0u  inet 0x10223e868    0t0  UDP *:* (Unbound)
)h2I!e'M"c+L O
swagentd  453 root 6u  inet 0x1019d3268    0t0  UDP *:2121 (Idle)

艺术爱好者 Arting798.com

引用回复

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#5

发表于 2008-8-9 23:45 资料短消息加为好友

2、禁止其他服务

/K5V$Q;x/~&E&@!`-E-C

防止syslogd网络监听*u+K/f1a y+| a
安装PHCO_21023补丁可以给syslogd加上-N参数防止网络监听. 编辑/sbin/init.d/syslogd修改为 /usr/sbin/syslogd -DN. ,E:b!n)Z:H%@#J(Q
4w;z)D9S;W-P;Y$n/X&r6b

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛0b i%X9V"`-u
禁止SNMP服务
   编辑SNMP启动文件:

/etc/rc.config.d/SnmpHpunixTechWeb-技术社区6c5p0~ i!A5v%o S%R4t
   Set SNMP_HPUNIX_START to 0: SNMP_HPUNIX_START=0 TechWeb-技术社区6k#S7x#Z5q'o"J;\
   /etc/rc.config.d/SnmpMaster
   Set SNMP_MASTER_START to 0: SNMP_MASTER_START=0 TechWeb-技术社区5N,_+y(K-D5l#g
   /etc/rc.config.d/SnmpMib2
   Set SNMP_MIB2_START to 0: SNMP_MIB2_START=0
   /etc/rc.config.d/SnmpTrpDst
   Set SNMP_TRAPDEST_START to 0: SNMP_TRAPDEST_START=0
tech.techweb.com.cn(K/e1S2I8j5H
tech.techweb.com.cn*Y$`1i1J0r$D8i9N:R
   禁止sendmail进程
   编辑/etc/rc.config.d/mailservs: 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛&f6Y5e#W"P*` t*k:w4K
+X/U"P2_+U*f-^/J
export SENDMAIL_SERVER=0
C,\-Z#x%a!P
tech.techweb.com.cn*@-F/v w;m1K!B!^%r
tech.techweb.com.cn6j5I6m7X/W.p
禁止rpcbind进程
   # rm /sbin/rc1.d/K600nfs.core:^0m;t,S&t,l,R$g
+X%}-G(J*E)N:k-h.E
# rm /sbin/rc2.d/S400nfs.core程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛1o0g+X'y9R:_)i7b1F,_
tech.techweb.com.cn%M5?3j3t)X&G
# mv /usr/sbin/rpcbind /usr/sbin/rpcbind.DISABLE

4F&Z q:p.\&]*N

五、文件系统安全

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛&U:?7f7J7H

8d4\-l+H)Y-C"R4_'],Z7z4A
1、检查Set-id程序)V2]/E3N,L/}0B
   # find / $ -perm -4000 -o -perm -2000 $ -type f -exec ls -ld {} \;tech.techweb.com.cn&v,P!H9S1G

程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛8R3G:R)s+h

# chmod u-s /usr/sbin/swinstall#M6s F-d8t3b5Y;J:@
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛3u&V"v#q)S/w:@!v
# chmod u-s /usr/sbin/vgcreate0I!]"D7X*T)t,p6C&v
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛#x$|&R%f2p#G1W c5p-t(]
# chmod u-s /sbin/vgcreateTechWeb-技术社区)V+o,s:N&^"C.f0v)y%]1n6P s

TechWeb-技术社区!F;_)j3~!J,e+q.}
TechWeb-技术社区7N8W1[)c%U$?9i'w
可以采用下列方法，将所有文件的set-id位去掉，然后对一些需要的程序单独加上suid位（可根据情况选择）:

# find / -perm -4000 -type f -exec chmod u-s {} \;

# find / -perm -2000 -type f -exec chmod g-s {} \;程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛3j,d.n/]$O1X/Z4B9W!Z6|

# chmod u+s /usr/bin/su
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛5B0t.}2e*k6[(F*s
# chmod u+s /usr/bin/passwd

采用这种方法后，普通用户将无法使用很多系统命令，如bdf, uptime ，arp等: /}$|&T8A#g;C(G1v m3`

$ bdf /dev/vg00/lvol3
TechWeb-技术社区#U/q#R4_&n8H,m
bdf: /dev/vg00/lvol3: Permission deniedtech.techweb.com.cn:}&|#}#`;X
tech.techweb.com.cn-@$Y#k8B.V2w/D"^:a

2. 修改重要文件权限程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(w-z/u!B4B*C
   # chmod 1777 /tmp /var/tmp /var/preserve （加上粘滞位）
tech.techweb.com.cn9h$e*@7P$x.q!t2[
# chmod 666 /dev/null

艺术爱好者 Arting798.com

引用回复

charles

TW版主

UID 19414
精华 26
积分 20685
帖子 12813
阅读权限 100
注册 2006-10-17
状态离线

#6

发表于 2008-8-9 23:46 资料短消息加为好友

六、网络参数调整tech.techweb.com.cn8{*t.O:d-M"D0S-P"_1y
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(X*?&f-V,Y&k h)d8W$A

利用ndd命令，可以检测或者更改网络设备驱动程序的特性。在/etc/rc.config.d/nddconf启动脚本中增加以下各条命令，然后重启系统，可以提高网络的安全性。%Q%L2Q6d$F&t0B
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛$\:N$G;H4D/O9y1t;G(n
格式如下：

/usr/sbin/ndd -set /dev/ip ip_forward_directed_broadcasts 0
TechWeb-技术社区+}(d3l-C'Z3i
Network device
   Parameter
   Default value
   Suggested value tech.techweb.com.cn${%R)V$?2[6C7p
   Comment )R S0I7z a w%o
TechWeb-技术社区2A"j.y%l!X-a-s
/dev/ip
   ip_forward_directed_broadcasts tech.techweb.com.cn:O0d%l'z'E8f.t5|;C,D
   1 tech.techweb.com.cn-n"x#a7l4~#T&n:^
   0 tech.techweb.com.cn)s.u;]*n5[
   不转发定向广播包
程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛7L1h V,Q1^$U;J
/dev/ip
   ip_forward_src_routed
   1
   0 0I*}2C#d7L)K.S%i#K'y
   不转发原路由包 '['i%H&^*x1N

/dev/ip
   ip_forwarding tech.techweb.com.cn+M%X)u3[;F7z
   2 ({-a!x1I6O-~0U1f7q7Y
   0
   禁止包转发TechWeb-技术社区4c(u2T3T8W#h;i3{
2\5D(Z9_2c0w!K2\!]
/dev/ip
   ip_pmtu_strategy
   2 7E5f)f$`.p6f
   1
   不采用echo-request PMTU策略tech.techweb.com.cn0D1`+m3o+t3[:P7f
.L.A b3z;T6L"y
/dev/ip 5e.t)a)h B
   ip_send_redirects
   1
   0 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛;M4y*R)p/d,X3o2I#g
   不发ICMP重定向包 2~$j1I-F'S*q2Q)]2O5@2P;_7z
9a*I3M6c2@%{!a$x
/dev/ip 程序开发，操作系统，服务器，源码下载，Linux,Unix,BSD,PHP,Apach,asp,下载,源码,黑客,安全,技术社区,技术论坛(J.T6t,l4g'r:K m+|
   ip_send_source_quench
   1 9y0}-N#b U!n5d4{
   0 TechWeb-技术社区,Q/W-u6{%r8D8V'_
   不发ICMP源结束包2~(O1R*~.b&v1k%D%T/o

/dev/tcp :w;?7X;s+o;H
   tcp_conn_request_max
   20
   500
   增加TCP监听数最大值，提高性能

/dev/tcp
   tcp_syn_rcvd_max
   500
   500 tech.techweb.com.cn/v9x4i(v2M6B
   HP SYN flood保护 tech.techweb.com.cn8p:J8V6D+y+W(c!x h

/dev/ip 3j#Q*@"N'h!}7w
   ip_respond_to_echo_broadcast +c(C!g X(L!A2O!U3N2V
   1 !p%O9P:_:j+X.E
   0 TechWeb-技术社区'F9`)L,Q0?4`0h
   不响应ICMP echo请求广播包!p%d.f%U*S"\*V:T0b
TechWeb-技术社区(j$N4b0{.P(Q1n$b3[&t9`
tech.techweb.com.cn8p$s5U-A3b!j9X5g$[9?"G

TechWeb-技术社区:l"Q)h$m2?9|
由于ndd调用前，已经启动网卡参数，所以可能不能正确设置。%y8\5?#o'@;B

可以采用下列方法，建立一个启动脚本。1w+V:y3a-a

# cp /tmp/secconf /etc/rc.config.d6p9X/F:y8s1W&U)W

# chmod 444 /etc/rc.config.d/secconf6E&l0Z*T3v:b'y i

# cp /tmp/sectune /sbin/init.d;x4g!t7Q2h9M)X0a ]
*j0R1d(p,j1R'C"u/Z/p%f
# chmod 555 /sbin/init.d/sectune
TechWeb-技术社区'W X.c!I#z8U
# ln -s /sbin/init.d/sectune /sbin/rc2.d/S009sectune

艺术爱好者 Arting798.com

引用回复

当前时区 GMT+8, 现在时间是 2008-11-22 20:34
京ICP证060517号