linux系统安全加固--账号相关

linux系统安全加固

一、账号相关

1、禁用或删除无用账号

减少系统无用账号，降低安全风险。

当我们的系统安装完毕后，系统默认自带了一些虚拟账户，比如bin、adm、lp、games、postfix等，这些账号理论上是可以删除的。但是因为它们的登录shell都是/sbin/nologin，所以它们本身也是无法登录的，不用删也可以。我们要注意的是系统安装完成后，自己手动创建的一些账户，比如这些登录shell是/bin/bash，一定要控制好。

1.1、使用cat /etc/passwd 命令查看所有账号

如下图所示：

注:/etc/passwd是存放用户的地方，简单学习一下。各个字段描述如下：

用户名: 密码 : uid : gid :用户描述：主目录：登陆shell

把系统一些自带的账号注释掉：

注意：不建议直接删除，当你需要某个用户时，自己重新添加会很麻烦。

删除用户主要包括：adm,lp,sync,shutdown,halt,news,uucp,operator,games,ftp,postfix,dovecot

[root@localhost ~]# cp /etc/passwd /etc/passwdbak
[root@localhost ~]# vim /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
#adm:x:3:4:adm:/var/adm:/sbin/nologin
#lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
#sync:x:5:0:sync:/sbin:/bin/sync
#shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
#halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
#operator:x:11:0:operator:/root:/sbin/nologin
#games:x:12:100:games:/usr/games:/sbin/nologin
#ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
nobody:x:99:99:Nobody:/:/sbin/nologin
systemd-bus-proxy:x:999:997:systemd Bus Proxy:/:/sbin/nologin
systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin
dbus:x:81:81:System message bus:/:/sbin/nologin
polkitd:x:998:996:User for polkitd:/:/sbin/nologin
tss:x:59:59:Account used by the trousers package to sandbox the tcsd daemon:/dev/null:/sbin/nologin
#postfix:x:89:89::/var/spool/postfix:/sbin/nologin
sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin
lulu:x:1000:1000::/home/lulu:/bin/bash
#dovecot:x:97:97:Dovecot IMAP server:/usr/libexec/dovecot:/sbin/nologin
#dovenull:x:997:995:Dovecot's unauthorized user:/usr/libexec/dovecot:/sbin/nologin
mysql:x:27:27:MariaDB Server:/var/lib/mysql:/sbin/nologin
dockerroot:x:996:993:Docker User:/var/lib/docker:/sbin/nologin
dd:x:1001:1001::/home/dd:/bin/bash
doubles:x:1002:1002::/home/doubles:/bin/bash
apache:x:48:48:Apache:/usr/share/httpd:/sbin/nologin
d1:x:1003:1004::/home/d1:/bin/bash
d3:x:1004:1007::/home/d3:/bin/bash
[root@localhost ~]# id adm
id: adm: no such user
[root@localhost ~]# id lp
id: lp: no such user
[root@localhost ~]#

注释用户组

删除的用户组包括：adm,lp,mail,games,ftp,audio

[root@localhost ~]# cp /etc/group /etc/groupbak
[root@localhost ~]# vim /etc/group
root:x:0:
bin:x:1:
daemon:x:2:
sys:x:3:
#adm:x:4:
tty:x:5:
disk:x:6:
#lp:x:7:
mem:x:8:
kmem:x:9:
wheel:x:10:doubles
cdrom:x:11:
mail:x:12:postfix
man:x:15:
dialout:x:18:
floppy:x:19:
#games:x:20:
tape:x:30:
video:x:39:
#ftp:x:50:
lock:x:54:
#audio:x:63:
.....

1.2、userdel -r删除不必要的账号

如果是一些自己添加的账户，不用的话，建议直接删除。

加上参数-r，将账号相应的home目录与mail目录都一起删掉。

[root@localhost ~]# userdel -r d2
userdel: d2 mail spool (/var/spool/mail/d2) not found
userdel: d2 home directory (/home/d2) not found
[root@localhost ~]# 

1.3、passwd -l禁用账户

使用passwd -l禁用账户dd，禁用后，root用户仍然可以su，但是其他用户无法su到dd，也无法通过xshell去ssh到dd了。

[root@localhost ~]# passwd -l dd
Locking password for user dd.
passwd: Success
[root@localhost ~]# su dd
[dd@localhost root]$ exit
exit
[root@localhost ~]# su - doubles
Last login: Sat Sep 8 20:24:52 HKT 2018 on pts/2
[doubles@localhost ~]$ su dd
Password:
su: Authentication failure
[doubles@localhost ~]$

1.4、passwd -u解锁账户

使用passwd -u解锁后，账户可以正常登陆。

[doubles@localhost ~]$ exit
logout
[root@localhost ~]# passwd -u dd
Unlocking password for user dd.
passwd: Success
[root@localhost ~]# su doubles
[doubles@localhost root]$ su dd
Password:
[dd@localhost root]$

2、检查特殊账号

检查是否存在空口令和root权限的账号。

2.1、检测空口令账户

[root@localhost ~]# awk -F: '$2=="!!" {print $1}' /etc/shadow
systemd-bus-proxy
systemd-network
dbus
polkitd
tss
postfix
sshd
lulu
dovecot
dovenull
mysql
dockerroot
apache
d3

再去/etc/passwd查看哪些账户是可登录的，如下：

2.2、加固空口令账号

对无口令并且可登录的账户，进行密码设置：（注意密码不能包含用户名，也不能少于7位）

[root@localhost ~]# passwd lulu
Changing password for user lulu.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.
[root@localhost ~]# passwd d3
Changing password for user d3.
New password:
BAD PASSWORD: The password is shorter than 7 characters
Retype new password:
passwd: all authentication tokens updated successfully.
[root@localhost ~]#
[root@localhost ~]# passwd d3
Changing password for user d3.
New password:
Retype new password:
passwd: all authentication tokens updated successfully.

2.3、检测root权限账号

使用命令 awk -F: '($3==0)' /etc/passwd 查看UID为零的账号。

[root@localhost ~]# awk -F: '($3==0)' /etc/passwd
root:x:0:0:root:/root:/bin/bash
[root@localhost ~]#

确保uid为0的账号只能是root账号。

3、添加口令策略

3.1、密码复杂度设置

加强口令的复杂度等，降低被猜解的可能性。

a、用户密码不能包含用户名

b、用户密码不能少于10位

c、用户密码需要是特殊字符、数字、字母的组合

Linux对应的密码策略模块有：pam_passwdqc 和 pam_pwquality 。

pam_passwdqc模块对应的是/etc/login.defs

pam_pwquality模块对应的是/etc/security/pwquality.conf

（旧版是pam_cracklib.so）

3.1.1、修改/etc/login.defs

[root@localhost ~]# vim /etc/login.defs

PASS_MIN_LEN 10 #密码最小长度,使用pam_cracklib module,该参数不再有效

3.1.2、修改/etc/pam.d/system-auth

修改前，我们先备份一下：

[root@localhost ~]# cp /etc/pam.d/system-auth /etc/pam.d/system-auth-backup

3.1.2.1、禁止使用旧密码

找到同时有 “password” 和 “pam_unix.so” 字段并且附加有 “remember=5” 的那行，它表示禁止使用最近用过的5个密码（己使用过的密码会被保存在 /etc/security/opasswd 下面）。

配置如下：

password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

3.1.2.2、设置密码最小长度

找到同时有 “password” 和 “pam_cracklib.so” 字段并且附加有 “minlen=10” 的那行，它表示最小密码长度为（10 - 类型数量）。这里的 “类型数量” 表示不同的字符类型数量。PAM 提供4种类型符号作为密码（大写字母、小写字母、数字和标点符号）。如果你的密码同时用上了这4种类型的符号，并且你的 minlen 设为10，那么最短的密码长度允许是6个字符。

配置如下：

password requisite pam_cracklib.so retry=3 difok=3 minlen=10

3.1.2.3、其他复杂度设置

pam_cracklib.so比较重要和难于理解的是它的一些参数和计数方法，其常用参数包括： 　　

debug：将调试信息写入日志；

type=xxx：当添加/修改密码时，系统给出的缺省提示符是“New UNIX password:”以及“Retype UNIX

password:”，而使用该参数可以自定义输入密码的提示符，比如指定type=your own word；

retry=N：定义登录/修改密码失败时，可以重试的次数；

difok=N：定义新密码中必须有几个字符要与旧密码不同。但是如果新密码中有1/2以上的字符与旧密码不同时，该新密码将被接受；

minlen=N：定义用户密码的最小长度；

dcredit=N：定义用户密码中必须包含多少个数字；

ucredit=N：定义用户密码中必须包含多少个大写字母；

lcredit=N：定义用户密码中必须包含多少个小些字母；

ocredit=N：定义用户密码中必须包含多少个特殊字符（除数字、字母之外）；

我的配置如下：

主要是两行:

[root@localhost ~]# vim /etc/pam.d/system-auth
password requisite pam_pwquality.so try_first_pass local_users_only retry=3 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 difok=1 minlen=8 authtok_type="doubles type"
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

（注）

a、*credit=-1表示至少有一个的意思。

b、旧版的系统用的pam_cracklib.so，只要把上面的pam_pwquality.so替换成pam_cracklib.so就可以了。

c、Centos7以后都用pam_pwquality了，pam_pwquality完全向下兼容pam_cracklib，并且还提供了/etc/security/pwquality.conf进行参数配置。

3.1.2.4、测试

以上设置对root用户完全不起作用的。root是个bug般的存在

[root@localhost ~]# passwd doubles
Changing password for user doubles.
New "doubles password: （输入的是dd）
BAD PASSWORD: The password is a palindrome
Retype new "doubles password: (输入的是dd123)
Sorry, passwords do not match.
New "doubles password: (输入的是dd123)
BAD PASSWORD: The password contains less than 1 uppercase letters
Retype new "doubles password: (再次输入dd123)
passwd: all authentication tokens updated successfully.
[root@localhost ~]#

以上root给doubles最终设置密码为dd123，虽然不符合规则，但还是设置成功了，这就是root。

切换成普通用户去更改自己的密码：

[root@localhost ~]# su doubles
[doubles@localhost root]$ passwd doubles
passwd: Only root can specify a user name.
[doubles@localhost root]$ passwd
Changing password for user doubles.
Changing password for doubles.
(current) UNIX password: （输入的是dd）
passwd: Authentication token manipulation error
[doubles@localhost root]$ passwd
Changing password for user doubles.
Changing password for doubles.
(current) UNIX password:
New "doubles password: (输入的是dd123，跟老密码一样了，remember起作用了。)
BAD PASSWORD: The password is the same as the old one
New "doubles password: （输入的是doubles，没有数字）
BAD PASSWORD: The password contains less than 1 digits
New "doubles password: （输入的是doubles123，没有大写）
BAD PASSWORD: The password contains less than 1 uppercase letters
passwd: Have exhausted maximum number of retries for service
[doubles@localhost root]$ 

# 尝试了最大次数，再试：
[doubles@localhost root]$ passwd
Changing password for user doubles.
Changing password for doubles.
(current) UNIX password: （当前密码dd123）
New "doubles password: (Doubles123，没有特殊字符)
BAD PASSWORD: The password contains less than 1 non-alphanumeric characters
New "doubles password: （doubles123!!，包含用户名）
BAD PASSWORD: The password contains the user name in some form
New "doubles password: （dd123456!!!，没有大写）
BAD PASSWORD: The password contains less than 1 uppercase letters
passwd: Have exhausted maximum number of retries for service
[doubles@localhost root]$ passwd
Changing password for user doubles.
Changing password for doubles.
(current) UNIX password: （当前密码dd123）
New "doubles password: (Dou12313456，没有特殊字符)
BAD PASSWORD: The password contains less than 1 non-alphanumeric characters
New "doubles password: （dd123!!，少于8位了）
BAD PASSWORD: The password is shorter than 8 characters
New "doubles password: （Ddou123!!!）
Retype new "doubles password: （Ddou123!!!）
passwd: all authentication tokens updated successfully.
[doubles@localhost root]$ 

返回顶部收缩

3.2、设置用户密码过期时间

3.2.1、修改 /etc/login.defs

通过修改配置文件  vi /etc/login.defs ，设置全体用户的密码过期时间等。

[root@localhost ~]# vim /etc/login.defs
PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
PASS_MIN_DAYS 0 #新建用户的密码最短使用天数
PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

3.2.2、使用命令chage

使用chage 命令单独修改单用户配置

chage   -m  (最短时间)  -M  (最长时间) -E (过期时间) -W （过期前X天提示) 用户名

[root@localhost ~]# chage -m 0 -M 30 -E 2020-01-01 -W 7 doubles
[root@localhost ~]#

表示将此用户doubles的密码最短使用天数设为0，最长使用天数设为30，密码2020年1月1日过期，过期前七天警告用户。

注意：当出现如下图错误的时候，基本就是密码过期了，可以使用上面的命令修改过期时间，即可重新登录。

WARNING: Your password has expired.

You must change your password now and login again!

[root@localhost ~]# chage -m 0 -M 99999 -E 2020-01-01 -W 7 doubles

再重新连接即可不用修改密码就能登录了。

这里一般不建议把过期时间设为99999，之前30天，你设个60天就好了，延长30天。

3.3、密码输错三次，锁定用户5分钟

使用cat /etc/pam.d/sshd命令查看密码策略：

设置连续输错三次密码，账号锁定五分钟，只能由root用户解锁。

3.3.1、修改配置：

一定要写在#%PAM-1.0下面，否则即使输错三次，只要继续输对了密码，还是可以登录，导致无法锁定。

auth required  pam_tally2.so onerr=fail deny=3 unlock_time=300 

参数解释：

pam_tally2.so：位于/usr/lib64/security/下。（注意：如果用pam_tally.so，是没有自动解锁的功能。只能进单用户模式解锁。）

deny:设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户；

unlock_time 设定普通用户锁定后，多少时间后解锁，单位是秒；

no_magic_root 连root用户也在限制范围，不给root特殊权限。

even_deny_root 也限制root用户；

root_unlock_time 设定root用户锁定后，多少时间后解锁，单位是秒；

3.3.2、上面配置完毕后，我们在另一台机器用ssh试一下：

这里故意输错三次密码，

[doubles@localhost root]$ ssh dd1@192.168.188.129
dd1@192.168.188.129's password:
Permission denied, please try again.
dd1@192.168.188.129's password:
Permission denied, please try again.
dd1@192.168.188.129's password:
Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password).
[doubles@localhost root]$
[doubles@localhost root]$

输错三次后，再输入正确密码，发现也没办法登录了。

[doubles@localhost root]$ ssh dd1@192.168.188.129
dd1@192.168.188.129's password:
Permission denied, please try again.
dd1@192.168.188.129's password:
[doubles@localhost root]$

3.3.3、我们在192.168.188.129上面查看/var/log/secure日志发现：

[root@localhost ~]# vim /var/log/secure
Sep 9 17:47:40 localhost unix_chkpwd[72389]: password check failed for user (dd1)
Sep 9 17:47:40 localhost sshd[72387]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.188.128 user=dd1
Sep 9 17:47:42 localhost sshd[72387]: Failed password for dd1 from 192.168.188.128 port 46584 ssh2
Sep 9 17:47:43 localhost unix_chkpwd[72390]: password check failed for user (dd1)
Sep 9 17:47:45 localhost sshd[72387]: Failed password for dd1 from 192.168.188.128 port 46584 ssh2
Sep 9 17:47:46 localhost sshd[72387]: pam_tally2(sshd:auth): user dd1 (1001) tally 3, deny 2
Sep 9 17:47:46 localhost unix_chkpwd[72391]: password check failed for user (dd1)
Sep 9 17:47:48 localhost sshd[72387]: Failed password for dd1 from 192.168.188.128 port 46584 ssh2
Sep 9 17:47:48 localhost sshd[72387]: Connection closed by 192.168.188.128 [preauth]
Sep 9 17:47:48 localhost sshd[72387]: PAM 2 more authentication failures; logname= uid=0 euid=0 tty=ssh ruser= rhost=192.168.188.128 user=dd1
Sep 9 17:47:59 localhost sshd[72393]: pam_tally2(sshd:auth): user dd1 (1001) tally 4, deny 2
Sep 9 17:48:01 localhost sshd[72393]: Failed password for dd1 from 192.168.188.128 port 46586 ssh2
Sep 9 17:48:07 localhost sshd[72393]: Connection closed by 192.168.188.128 [preauth]

查看错误登录次数：

[root@localhost ~]# pam_tally2 --user dd1
Login Failures Latest failure From
dd1 4 09/09/18 17:47:59 192.168.188.128
[root@localhost ~]#

清空错误登录次数：（解锁）

[root@localhost ~]# pam_tally2 --user dd1 --reset
Login Failures Latest failure From
dd1 4 09/09/18 17:47:59 192.168.188.128
[root@localhost ~]# pam_tally2 --user dd1
Login Failures Latest failure From
dd1 0
[root@localhost ~]#

3.3.4、其他设置

以上是针对远程登录的sshd，针对不同服务来限制不同登陆方式：

#只在本地文本终端tty上做限制，可以编辑如下文件，添加的内容和上方一样。

vim /etc/pam.d/login

#只在远程telnet、ssh登陆上做限制，可以编辑如下文件，添加的内容和上方也一样。

vim /etc/pam.d/remote

vim /etc/pam.d/sshd

3.3.5、汇总更改

参考文档：https://www.jb51.net/article/116935.htm

如果想要各个终端都限制，那么更改/etc/pam.d/password-auth。

加入下面两行：

auth required pam_tally2.so deny=3 unlock_time=600
account required pam_tally2.so

注意：

很多教程里都说更改/etc/pam.d/system-auth文件，这是错误的，要看/etc/pam.d/sshd各终端调用的是哪个文件，像我这里就没有调用这个文件，调用的是password-auth，如下图：

这是/etc/pam.d/sshd：

再看/etc/pam.d/login:

通过上述两个文件，你会发现sshd用了password-auth，而login用了system-auth，所以要看清楚再去设置相应的文件。

小编曾经就在这里折腾了好久，引以为鉴......

4、限制用户su

禁止普通用户su到root用户，只允许指定的用户su到root用户。（需要root权限）

为禁止普通用户su至root，需要分别修改/etc/pam.d/su和/etc/login.defs两个配置文件。

4.1、只有wheel组用户能够su

4.1.1、配置

首先：将用户加入到wheel组（后面会设置只有wheel组的用户才能su到root）

[root@localhost ~]# usermod -G wheel doubles
[root@localhost ~]# id doubles
uid=1002(doubles) gid=1002(doubles) groups=1002(doubles),10(wheel)

去除/etc/pam.d/su文件中如下行的注释：（表示要求用户在wheel组下才能root）

[root@localhost ~]# vim /etc/pam.d/su
auth required pam_wheel.so use_uid

在/etc/login.defs文件中加入如下配置项：(表示只有wheel组能够su到root)

[root@localhost ~]# vim /etc/login.defs
SU_WHEEL_ONLY yes

4.1.2、测试

下面我们切换到普通用户su试一下

[root@localhost shellscript]# su dd
[dd@localhost shellscript]$ id
uid=1001(dd) gid=1001(dd) groups=1001(dd)
[dd@localhost shellscript]$ su
Password:
su: Permission denied
[dd@localhost shellscript]$

上面用户dd没有在wheel组下，所以即使输入了正确的密码也不能su，权限限制。而doubles是在wheel组下的，所以下面我们用doubles试一下

[root@localhost shellscript]# su doubles
[doubles@localhost shellscript]$ su
Password:
[root@localhost shellscript]#

doubles在wheel组下，成功su到root。

4.2、自定义用户组能够su

除了wheel组，也可以配置只有指定的组的用户能够su到root。

参考：https://access.redhat.com/solutions/64860

https://www.cnblogs.com/kevingrace/p/8671964.html

A、创建用户组groupa

[root@localhost ~]# groupadd groupa

B、创建/etc/security/su-groupa-access文件，里面指定允许su到的用户

[root@localhost ~]# vim /etc/security/su-groupa-access
doubles
root

这就表示groupa的用户可以su到root和doubles

保证文件权限不是所有人都可以修改的。

[root@localhost ~]# ll /etc/security/su-groupa-access
-rw-r--r-- 1 root root 13 Sep 8 19:46 /etc/security/su-groupa-access

C、在/etc/pam.d/su下加入下面三行

[root@localhost ~]# vim /etc/pam.d/su
auth [success=2 default=ignore] pam_succeed_if.so use_uid user notingroup groupa
auth required pam_wheel.so use_uid group=groupa
auth required pam_listfile.so item=user sense=allow onerr=fail file=/etc/security/su-groupa-access

配置如下图：

D、将用户dd加入到groupa组中测试

[root@localhost ~]# gpasswd -a dd groupa
Adding user dd to group groupa
[root@localhost ~]# id dd
uid=1001(dd) gid=1001(dd) groups=1001(dd),1005(ddd),1006(groupa)
[root@localhost ~]# su dd
[dd@localhost root]$ su doubles
Password:
[doubles@localhost root]$
[doubles@localhost root]$ exit
exit
[dd@localhost root]$ su
Password:
[root@localhost ~]#

发现此时dd已经可以su到doubles和root了。

（注意）这里自定义用户组的话，按照网上很多教程说的这样加：

[root@localhost ~]# vim /etc/pam.d/su
auth required pam_wheel.so group=test

是不起作用的，最后从redhat文档里看到用创建 /etc/security/su-groupa-access的方式才真正成功。这里也是折腾了小编一下午呢，大家引以为鉴......

5、配置sudo权限

5.1、su与sudo简介

5.1.1、su

su:就是switch user的意思，表示切换用户。

普通用户su到其他用户需要输入目标用户的密码。Root切换到其他用户不需输入密码。

命令su后面什么都不接的时候表示切换到root用户。

[doubles@localhost shellscript]$ su
Password:
[root@localhost shellscript]#

输入su root（或者其他用户名），表示不切换环境变量到当前用户下。

[doubles@localhost root]$ su root
Password:
[root@localhost ~]#

输入：su - root(或者其他用户名)这里加了"-"后表示添加切换的当前的环境变量到新用户的环境变量。

[doubles@localhost shellscript]$ su - root
Password:
Last login: Sat Sep 8 01:22:45 HKT 2018 on pts/2
[root@localhost ~]#

5.1.2、sudo

sudo命令：superuser do，表示以root的身份来执行后面的命令。

想要使用sudo，必须在/etc/sudoers里面给自己添加root权限。

Visudo命令：就是vi /etc/sudoers。

[doubles@localhost ~]$ visudo
visudo: /etc/sudoers: Permission denied
visudo: /etc/sudoers: Permission denied
[doubles@localhost ~]$ sudo visudo
[sudo] password for doubles:
visudo: /etc/sudoers.tmp unchanged
[doubles@localhost ~]$

5.2、指定用户能够sudo

配置普通用户通过sudo继承了root权限

在root用户下，修改/etc/sudoers

[root@localhost ~]# ll /etc/sudoers
-r--r-----. 1 root root 3941 Sep 6 18:32 /etc/sudoers

/etc/sudoers默认是只读的，需要给/etc/sudoers添加可写权限：

[root@localhost ~]# chmod u+w /etc/sudoers
[root@localhost ~]# vim /etc/sudoers
## Allow root to run any commands anywhere
root ALL=(ALL) ALL
doubles ALL=(root) NOPASSWD: ALL

这几项意思分别为：

第一列：doubles为要添加sudo权限的用户

第二列：ALL表示从哪里登录，ALL表示不限制本地远程，可以填写ip段

第三列：(root)表示以root身份执行

第四列：NOPASSWD:表示执行sudo的时候不需要密码，默认不填就表示要输入密码。

第五列：ALL表示允许以root身份执行所有命令，以,隔开。

[root@localhost ~]# chmod g-w /etc/sudoers

现在doubles就可以通过sudo来以root身份执行命令了。

[doubles@localhost ~]$ sudo chmod u-w /etc/sudoers
[doubles@localhost ~]$ ls
[doubles@localhost ~]$ sudo vim /etc/sudoers
[sudo] password for doubles:
Sorry, try again.
[sudo] password for doubles:

这个操作比较严格，所以可能会需要输入密码确认。

dd不在sudoers里，我们尝试用dd进行sudo操作报错。

[dd@localhost shellscript]$ sudo vim /etc/shadow
dd is not in the sudoers file. This incident will be reported.

5.3、wheel组用户能够sudo

/etc/sudoers里面还有一项：

[doubles@localhost ~]$
## Allows people in group wheel to run all commands
%wheel ALL=(ALL) ALL
## Same thing without a password
# %wheel ALL=(ALL) NOPASSWD: ALL

这项表示允许wheel组的用户执行所有用户的所有命令，相当于wheel组的用户都继承了root权限。

比如，我们将dd加入到wheel组：

[root@localhost ~]# usermod -G wheel dd  # （用命令gpasswd -a dd wheel也行）

/doubles/shellscript目录只有root用户可写，理论上dd是不能在shellscript里创建文件的。

[root@localhost ~]# ll /doubles/shellscript/ -d
drwxr-xr-x. 5 root root 4096 Sep 7 21:09 /doubles/shellscript/
[root@localhost ~]# cd /doubles/shellscript/
[root@localhost shellscript]# su dd
[dd@localhost shellscript]$ mkdir aa
mkdir: cannot create directory ‘aa’: Permission denied

普通用户dd尝试在root的目录shellscript里创建目录失败，权限拒绝。

但是我们已经将dd加入到wheel组下了，所以用sudo试下

[dd@localhost shellscript]$ id dd
uid=1001(dd) gid=1001(dd) groups=1001(dd),10(wheel)
[dd@localhost shellscript]$ sudo mkdir aa
[sudo] password for dd:
[dd@localhost shellscript]$ ll aa -d
drwxr-xr-x 2 root root 4096 Sep 7 21:09 aa

用sudo去创建目录aa成功。所以wheel组下的dd也跟doubles用户一样可以通过sudo来以root身份执行所有的命令。

我们把dd从wheel组删除：

[dd@localhost shellscript]$ sudo gpasswd -d dd wheel
Removing user dd from group wheel
[dd@localhost shellscript]$ id dd
uid=1001(dd) gid=1001(dd) groups=1001(dd)
也可以去/etc/group里删除：
[dd@localhost shellscript]$ sudo vim /etc/group
# wheel:x:10:doubles,dd
wheel:x:10:doubles

5.4、自定义用户组能够sudo

编辑配置文件/etc/sudoers

[root@localhost ~]# vim /etc/sudoers
## Allows members of the users group to mount and unmount the
## cdrom as root
# %users ALL=/sbin/mount /mnt/cdrom, /sbin/umount /mnt/cdrom
## Allows members of the users group to shutdown this system
# %users localhost=/sbin/shutdown -h now
# customize group's user to sudo
%d1 ALL=(root) NOPASSWD: ALL

前面两个注释是教程实例，我们依样自定义用户组d1能够通过sudo以root身份执行所有命令，而且不会询问密码。

测试如下：

[root@localhost ~]# su d1
[d1@localhost root]$ id d1
uid=1003(d1) gid=1004(d1) groups=1004(d1)
[d1@localhost root]$ sudo vim /etc/shadow
[d1@localhost root]$ sudo crontab -l
#0 0 * * * /bin/bash /doubles/shellscript/cut_log.sh >>cutlog.log 2>&1
[d1@localhost root]$

如上所示，d1已经可以通过sudo去做只有root能做的事了，比如查看/etc/shadow

5.5、sudo密码过期处理

5.5.1、背景：

按照上面的设置之后，我们就可以用sudo以root身份执行命令了。但是我们发现每次用sudo的时候都会提示我们输入用户密码，所以我们一般会配置NOPASSWD:，如下：

doubles ALL=(root) NOPASSWD: ALL

但是我们发现，即使配置了NOPASSWD:，后面仍然还是有时候会提示我们输入密码，这是因为sudo的NOPASSWD:是有时间限制的，默认为5分钟。

5.5.2、配置

如果想以后每次使用sudo的时候不再验证密码，可以在刚刚的sudoers文件做如下操作：

参数解释：

其中timestamp_timeout=-1只需验证一次密码，以后系统自动记忆,runaspw需要root密码，如果不加默认是要输入普通账户的密码.

timestamp_timeout=2：表示将密码的超时时间设置为2分钟。

timestamp_timeout=0：为0表示永远提示输入密码。

timestamp_timeout=-1：

设置为负数的话（译注，原文是”-1“，但是手册中写明只要是负数就可以）只需要证明一次你知道密码就可以（译注：就是密码永不过期）。

如果你指向给某个特定用户应用默认值的话，这样做：

Defaults:doubles timestamp_timeout=-1

多个用户已逗号隔开。

小技巧：如果软件升级， /etc/sudoers 可能会被覆盖掉，所以好的习惯是在 /etc/sudoers.d 中添加

在 /etc/sudoers.d 目录中增加一个文件，添加相同的内容

6、ssh登录配置

对SSH服务进行安全加固，防止暴力破解成功。

6.1、配置密钥登录

所有服务器管理人员，与需要登录服务器的人员，都要配置密钥登录，避免使用密码登录。

关于在windows上，怎么配置与服务器登录的密钥，请查看文档：

https://www.cnblogs.com/doublexi/p/9564493.html

（注）：配置密钥登录的时候，一定要对自己的密钥进行口令设置，否则别人拿到了你的私钥，你的服务器就是别人的了。

6.2、禁止用密码登录

前面，我们已经配置了使用密钥登录，每个用户只要记住自己密钥的口令就可以了，他们登录服务器已经不需要密码了，所以我们为了安全，禁止用密码登录。

[root@localhost ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config_backup
[root@localhost ~]# vim /etc/ssh/sshd_config
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication no

把PasswordAuthentication yes改为no。

改配置之前一定要记得，先备份一下，方便以后回滚。

改完配置之后，接下来就是重启服务了，在重启之前一定要确保：

确保已经按照6.1配置了密钥登录。

确保已经按照6.1配置了密钥登录。

确保已经按照6.1配置了密钥登录。

重要事情说三遍，确保自己配置了密钥登录，并且能够通过这个密钥登录到服务器，特别是root。不然就是把自己锁在了门外。。。

重启ssh服务

[root@localhost ~]# systemctl restart sshd

重启服务后，再次登录的用户就只能通过密钥登录了，通过密码登录会提示错误。

[root@localhost ~]# ssh -p 2202 root@192.168.188.128
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).
[root@localhost ~]# ssh -p 2202 doubles@192.168.188.128
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).
[root@localhost ~]#

通过xshell尝试：

如图所示，即使我们输入了正确的用户名和密码，连接的时候会直接拒绝用密码登录。

拒绝密码的，直接跳到密钥登录：

6.3、禁止root用户直接登录

为了加强服务器安全，我们应该

A、避免使用root账户直接登录。

B、每个需要登录服务器的操作人员都应该用自己的账户

C、管理员为这些账户分配不同的权限

D、部分人员（如管理员）需要执行特权操作时，通过su或者sudo去操作。

所以在上述4、5点的时候，我们必须要严格控制好各个用户的su与sudo的权限。

接下来修改/etc/ssh/sshd_config来禁止root用户直接登录。

[root@localhost ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config_backup
[root@localhost ~]# vim /etc/ssh/sshd_config
PermitRootLogin no

将PermitRootLogin的yes改为no。

改完配置，接下来自然是重启服务了。重启服务前，请确认：

A、确保自己已经配置了其他用户可以登录服务器

B、确保自己已经配置用户可以su或者sudo（防止以后自己要改回来）

重启服务：

[root@localhost ~]# systemctl restart sshd

重启后，再用xshell登录如图所示：

在另一台服务器登录也是一样：

[root@localhost ~]# ssh -p 2202 root@192.168.188.128
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).
[root@localhost ~]#

6.4、SSH其他配置

我们登录系统后，一般还会更改ssh的默认端口号，一般改为1024以上的。

[doubles@localhost ~]$ sudo vim /etc/ssh/sshd_config
Port 2202

修改允许密码错误次数（默认6次）。

设置 MaxAuthTries 的值为 3。

最终ssh配置修改总结为：

[doubles@localhost ~]$ sudo vim /etc/ssh/sshd_config
Port 2202
PermitRootLogin no
MaxAuthTries 3
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication no

重启服务：

[root@localhost ~]# systemctl restart sshd

6.5、登录超时设置

让用户在登录后，一段时间内不活动，自动登出。

6.5.1、修改环境变量TMOUT

$TMOUT = 30

参数说明：

# 用以下命令判断是否是否设置了该参数

echo $TMOUT

# 如果输出空或0表示不超时，大于0的数字n表示n秒没有收入则超时

6.5.1.1、/etc/profile全局设置

查看/etc/profile之前是否有配置，有则修改，没有则增加

[doubles@localhost ~]$ cat /etc/profile|grep TMOUT -n
[doubles@localhost ~]$
[doubles@localhost ~]$ echo $TMOUT
[doubles@localhost ~]$

上面$TMOUT变量为空，没有设置

修改前先备份一下

[doubles@localhost ~]$ cp /etc/profile /etc/profile-backup

在/etc/profile最下面增加一行如下

[doubles@localhost ~]$ sudo vim /etc/profile
# ----------------------------
export TMOUT=900
# ----------------------------
# 900就是15分钟，将以上900修改为0就是设置不超时

接下来，source一下，让配置立即生效

[doubles@localhost ~]$ source /etc/profile
[doubles@localhost ~]$

测试：

配置完之后，不动终端，过了15分钟之后自动退出如下：

[doubles@localhost ~]$ echo $TMOUT
[doubles@localhost ~]$ sudo vim /etc/profile
[doubles@localhost ~]$ source /etc/profile
[doubles@localhost ~]$ timed out waiting for input: auto-logout
Connection closing...Socket close.
Connection closed by foreign host.
Disconnected from remote host(192.168.188.128:2202) at 12:45:21.
Type `help' to learn how to use Xshell prompt.
[c:\~]$

6.5.1.2、个人超时配置

上面/etc/profile是对所有用户都生效的，如果要只针对个别用户配置登录超时，可以通过修改个人home目录下的.bashrc或.bash_profile文件来实现。

这两个文件选择其中一个在末尾加入如下一行，具体操作如下：

[doubles@localhost ~]$ pwd
/home/doubles
[doubles@localhost ~]$ vim .bash_profile
export TMOUT=900
[doubles@localhost ~]$ source .bash_profile

测试结果如下：

[doubles@localhost ~]$ timed out waiting for input: auto-logout
Connection closing...Socket close.
Connection closed by foreign host.
Disconnected from remote host(192.168.188.128:2202) at 14:59:19.
Type `help' to learn how to use Xshell prompt.
[c:\~]$

6.5.2、修改sshd_config

6.5.2.1、全局超时配置

通过修改ssh的配置文件 /etc/ssh/sshd_config我们同样也可以实现超时自动登出功能，具体如下：

[doubles@localhost ~]$ sudo vim /etc/ssh/sshd_config

找到这两行：

#ClientAliveInterval 0
#ClientAliveCountMax 3

修改如下：

ClientAliveInterval 300
ClientAliveCountMax 2

第一行表示每300秒检测一次，默认为0表示不发送alive检测

第二行表示检测到2次（即2*300=600秒，即10分钟）不活动就断开连接。

上述配置，对除了root之外的用户都生效。

保存退出，重启服务：

[doubles@localhost ~]$ sudo systemctl restart sshd

关于这个配置，小编这里测试一直没有生效，不知道为什么，用户一直没有被踢下线。。。。。。

从坑里爬出来的总结：

（启发文：https://bugs.launchpad.net/ubuntu/+source/openssh/+bug/296920）

引用原文的一句话：To make it work ClientAliveCountMax should to be 0

所以，以上配置全部忘掉，接下来我们重新弄：

[doubles@localhost ~]$ sudo vim /etc/ssh/sshd_config
ClientAliveInterval 300
ClientAliveCountMax 0 # 这里必须是0

保存退出，重启服务：

[doubles@localhost ~]$ sudo systemctl restart sshd

接下来，我们要退出登录，让整个shell连接都断开，下次再重新进行ssh连接的时候，新的配置才会生效，否则你应用的还是上一次的配置。

一定要断开连接

一定要断开连接

一定要断开连接

重要事情说三遍，

重点1：ClientAliveCountMax 0（必须是0）

重点2：必须退出整个ssh连接，重新登录，配置才会生效。

6.5.2.2、个人不超时配置

在进行ssh连接的时候，加上参数：

法一：

[dd@localhost doubles]$ ssh -o ConnectTimeout=3 dd1@192.168.188.129
Enter passphrase for key '/home/dd/.ssh/id_rsa':
Last login: Tue Sep 11 20:41:43 2018 from 192.168.188.128
[dd1@localhost ~]$ Connection to 192.168.188.129 closed by remote host.
Connection to 192.168.188.129 closed.
[dd@localhost doubles]$

法二：

[dd@localhost doubles]$ ssh -o ServerAliveInterval=5 -o ServerAliveCountMax=0 dd1@192.168.188.129
Enter passphrase for key '/home/dd/.ssh/id_rsa':
Last login: Tue Sep 11 22:22:15 2018 from 192.168.188.128
[dd1@localhost ~]$ Timeout, server 192.168.188.129 not responding.
[dd@localhost doubles]$

这样子只会在需要的连接中保持持久连接， 毕竟不是所有连接都要保持持久的

6.6、登录日志配置

通过脚本代码实现记录所有用户的登录操作日志，防止出现安全事件后无据可查。

操作如下：（这里最好切换成root用户来操作）

在profile最后一行追加：

[root@localhost ~]# vim /etc/profile
history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE=/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null
[root@localhost ~]#

Source让配置生效

[root@localhost ~]# source /etc/profile

注意： /var/log/history 是记录日志的存放位置，可以自定义。

通过上述步骤，可以在 /var/log/history 目录下以每个用户为名新建一个文件夹，每次用户退出后都会产生以用户名、登录IP、时间的日志文件，包含此用户本次的所有操作（root用户除外）。

同时，建议您使用OSS服务收集存储日志。

6.7、屏蔽ssh的Banner信息

banner的作用：你用ssh登陆的时候，会自动显示系统版本信息之类的敏感信息

有些版本会存在一些固有的安全问题，很容易被黑客利用。所以我们需要屏蔽这些信息。

这一点看需要，很多系统默认是没有显示Banner的。

6.7.1、检查

查看/etc/ssh/sshd_config文件中是否存在Banner字段

[root@localhost ~]# cat /etc/ssh/sshd_config |grep -i banner
# no default banner path
#Banner none

发现Banner是none，没有设置Banner，ssh连接是没有信息显示的，

查看/etc/motd 文件内容，该处内容将作为banner信息显示给登录用户

[root@localhost ~]# cat /etc/motd
[root@localhost ~]#

发现设置都是空的，那么ssh连接信息将如下：

通过xshell连接也是这样：

没有显示什么有用的信息，所以可以不用屏蔽，下面直接略过。

6.7.2、屏蔽

如果有设置，那么屏蔽只需要Banner改为none即可。

操作前先备份

[root@localhost ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config_backup
[root@localhost ~]# cp -p /etc/motd /etc/motd_bak
[root@localhost ~]# vim /etc/ssh/sshd_config
Banner none
[root@localhost ~]# vim /etc/motd

6.7.3、自定义Banner信息

参考：https://blog.csdn.net/sdb5858874/article/details/80525992

新建Banner文件ssh_banner

[root@localhost doubles]# vim /etc/ssh_banner
Authorized only. All activity will be monitored and reported

将该文件归为bin用户和属组

[root@localhost doubles]# chown bin:bin /etc/ssh_banner

设置权限为600

[root@localhost doubles]# chmod 644 /etc/ssh_banner

编辑登陆后的欢迎信息

[root@localhost doubles]# vim /etc/motd
login success. All activity will be monitored and reported

修改ssh配置

[root@localhost doubles]# vim /etc/ssh/sshd_config
Banner /etc/ssh_banner

重启服务

[root@localhost doubles]# systemctl restart sshd

测试：

在另一台机发起ssh登录请求：

终端登录也是一样：

Banner信息设置完毕。

7、为grub设置密码

可以为linux引导器grub设置密码，防止别人通过grub引导进入单用户模式进行非法操作。（当然此项不是必须，因为当别人能接触到你的grub的时候，也就说明你的机器已经被别人掌握了，此刻服务器已经没有安全性可言了。）

方法一：命令设置（推荐）

查看系统默认密码：

[root@localhost doubles]# cat /etc/grub2.cfg | grep password
password_pbkdf2 root ${GRUB2_PASSWORD}

首先查看grub登录用户名：

[root@localhost doubles]# cat /etc/grub.d/01_users
#!/bin/sh -e
cat << EOF
if [ -f \${prefix}/user.cfg ]; then
source \${prefix}/user.cfg
if [ -n "\${GRUB2_PASSWORD}" ]; then
set superusers="root"
export superusers
password_pbkdf2 root \${GRUB2_PASSWORD}
fi
fi
EOF
[root@localhost doubles]#

通过上面发现用户名是root，接下来通过grub2-setpassword命令修改密码：

[root@localhost doubles]# grub2-setpassword
Enter password:
Confirm password:
[root@localhost doubles]#

改完密码重启：

[root@localhost doubles]# init 6

在选择内核的时候，按e，如下图：

此时它会提示你输入用户名和密码：

输入完用户名和密码之后，就进入了

在这里你就可以修改root密码的，慎重。。。

注意：以上环境是centos7，7以下的系统环境略有所不同。这里不建议按照网上说的，通过修改/etc/grub2.cfg或者/etc/grub.d/00_header文件来明文指定密码。

方法二：明文密码

操作前，先备份一下文件

[root@localhost ~]# cp /etc/grub2.cfg /etc/grub2.cfg_backup

先查看之前是否有设置密码：

[root@localhost ~]# cat /etc/grub2.cfg | grep password

在/etc/grub.d/01_users文件中指定超级用户，其中root为超级用户的用户名，PassRoot+123为超级用户root的密码，清空该文件并添加以下几行。（用户名和密码按实际情况设置）

[root@localhost ~]# cp /etc/grub.d/01_users /etc/grub.d/01_users_backup
[root@localhost ~]# vim /etc/grub.d/01_users
cat << EOF
set superusers="root"
password root DoublesRoot!!123
EOF

我把之前的注释了，重新添加的，如下：

重新编译配置文件：

[root@localhost ~]# grub2-mkconfig -o /boot/grub2/grub.cfg
Generating grub configuration file ...
Found linux image: /boot/vmlinuz-3.10.0-514.el7.x86_64
Found initrd image: /boot/initramfs-3.10.0-514.el7.x86_64.img
Found linux image: /boot/vmlinuz-0-rescue-ea399cee8fa94b1d9901ffd9d37bf7c6
Found initrd image: /boot/initramfs-0-rescue-ea399cee8fa94b1d9901ffd9d37bf7c6.img
done
[root@localhost ~]#

此时重新查看配置文件，发现多了密码，而且这个密码是明文的，不安全。

[root@localhost ~]# cat /etc/grub2.cfg |grep password
password root DoublesRoot!!123
[root@localhost ~]#

此时，grub密码设置成功，重启即可生效。

方法三：密文密码

方法二是明文密码，在/etc/grub2.cfg就可以看到，很不安全，接下来我们设置密文密码。

使用grub2-mkpasswd-pbkdf2命令创建密文

[root@localhost ~]# grub2-mkpasswd-pbkdf2
Enter password:
Reenter password:
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.94A2F8EEA383CA6DDC6B432E9878FD12A02BF114A9B13FEAE0D2E834ADFF4B0A791DD1FDFF7A21E9CA3E277D567CDC12E2E99AEE7EF83E0D52B534B740B2117A.729B52B7BA281FF693EA3EA02FC7C22275A17DEEDF994BFAEC4B8ECC5046FC86FCDAB7B68D33DAC3A7419AA8C32B6F9AFE901BEBB4F4DFABC6213BE03FC1D711
[root@localhost ~]#

上面会输出一段密文，我们把它复制到/etc/grub.d/01_user里面，如下：

[root@localhost ~]# vim /etc/grub.d/01_users
cat << EOF
set superusers="root"
password_pbkdf2 root
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.94A2F8EEA383CA6DDC6B432E9878FD12A02BF114A9B13FEAE0D2E834ADFF4B0A791DD1FDFF7A21E9CA3E277D567CDC12E2E99AEE7EF83E0D52B534B740B2117A.729B52B7BA281FF693EA3EA02FC7C22275A17DEEDF994BFAEC4B8ECC5046FC86FCDAB7B68D33DAC3A7419AA8C32B6F9AFE901BEBB4F4DFABC6213BE03FC1D711
EOF

最后：重新编译生成grub2.cfg文件

[root@localhost ~]# grub2-mkconfig -o /boot/grub2/grub.cfg
Generating grub configuration file ...
Found linux image: /boot/vmlinuz-3.10.0-514.el7.x86_64
Found initrd image: /boot/initramfs-3.10.0-514.el7.x86_64.img
Found linux image: /boot/vmlinuz-0-rescue-ea399cee8fa94b1d9901ffd9d37bf7c6
Found initrd image: /boot/initramfs-0-rescue-ea399cee8fa94b1d9901ffd9d37bf7c6.img
done
[root@localhost ~]#

检查/etc/grub2.cfg，发现多了一段密文

[root@localhost ~]# cat /etc/grub2.cfg | grep password
password_pbkdf2 root
PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.94A2F8EEA383CA6DDC6B432E9878FD12A02BF114A9B13FEAE0D2E834ADFF4B0A791DD1FDFF7A21E9CA3E277D567CDC12E2E99AEE7EF83E0D52B534B740B2117A.729B52B7BA281FF693EA3EA02FC7C22275A17DEEDF994BFAEC4B8ECC5046FC86FCDAB7B68D33DAC3A7419AA8C32B6F9AFE901BEBB4F4DFABC6213BE03FC1D711
[root@localhost ~]#

密钥设置成功，重启即生效。