一、账号安全基本措施
-系统账户清理
（1）将非登录用户的Shell设为/sbin/nologin
/sbin/nologin——禁止终端登录，确保不被人为改动 （经常检查，防止恶意篡改）
[root@centos7-012 ~]# usermod -s /sbin/nologin tom （修改用户tom的登录shell） [root@centos7-012 ~]# cat /etc/passwd | grep "tom" （查看用户tom的基本信息） tom:x:1000:1000::/home/tom:/sbin/nologin
（2）锁定长期不使用的账号
例如一些用户长期不使用，但不确定是否删除，这时候就可以使用锁定账户
[root@centos7-012 ~]# usermod -L tom （锁定用户tom） [root@centos7-012 ~]# passwd -S tom （查看用户状态） tom LK 2020-12-30 0 99999 7 -1 (密码已被锁定。) [root@centos7-012 ~]# usermod -U tom （解锁用户tom） [root@centos7-012 ~]# passwd -S tom （再次查看用户状态） tom PS 2020-12-30 0 99999 7 -1 (密码已设置，使用 SHA512 算法。)
（3）删除无用的账号
例如mysql程序删除后，就可以删除mysql用户
[root@centos7-012 ~]# userdel mysql （删除mysql账户）
（4）锁定账号文件passwd、shadow
例如服务器账户已经确认创建完成，不再进行更改，这时候就可以锁定账号文件
[root@centos7-012 ~]# chattr +i /etc/passwd /etc/shadow （锁定账号文件） [root@centos7-012 ~]# lsattr /etc/passwd /etc/shadow （查看账号文件属性） ---------------- /etc/passwd ---------------- /etc/shadow [root@centos7-012 ~]# useradd lisi （这时候创建新用户，发现无法创建） useradd：无法打开 /etc/passwd [root@centos7-012 ~]# chattr -i /etc/passwd /etc/shadow （解锁账号文件） [root@centos7-012 ~]# useradd lisi （再次创建新用户，发现创建成功）
-密码安全控制
（1）设置密码有效期
******适用于新建用户的 [root@centos7-012 ~]# echo "PASS_MAX_DAYS 30" >> /etc/login.defs （设置有效期为30天） [root@centos7-012 ~]# tail -5 /etc/login.defs # Use SHA512 to encrypt password. ENCRYPT_METHOD SHA512 PASS_MAX_DAYS 30 ******适用于已有用户的 [root@centos7-012 ~]# chage -M 30 tom （设置用户tom的密码有效期为30天）
（2）要求用户下次登陆时修改密码
[root@centos7-012 ~]# chage -d 0 tom （强制用户tom在下次登陆时更改密码）
-命令历史限制
（1）减少记录的命令条数
[root@centos7-012 ~]# vim /etc/profile （编写系统脚本） 。。。。。。 44 45 HOSTNAME=`/usr/bin/hostname 2>/dev/null` 46 HISTSIZE=20 （修改为历史限制为20条） 47 if [ "$HISTCONTROL" = "ignorespace" ] ; then 48 export HISTCONTROL=ignoreboth 。。。。。。 保存退出 [root@centos7-012 ~]# source /etc/profile （运行脚本） [root@centos7-012 ~]# history （查看历史命令，发现只显示最后20条） 39 cat nologin.txt 40 passwd -S tom 41 passwd -L tom 42 usermod -L tom 43 passwd -S tom 44 usermod -U tom 45 passwd -S tom 46 usermod -s /sbin/nologin tom 47 cat /etc/passwd | grep "tom" 48 vim /etc/login.defs 49 mount /dev/cdrom /media/cdrom/ 50 yum -y install vim net-tools 51 vim /etc/login.defs 52 echo "PASS_MAX_DAYS 30" >> /etc/login.defs 53 tail -5 /etc/login.defs 54 chage -M 30 tom 55 chage -d 0 tom 56 vim /etc/profile 57 source /etc/profile 58 history
（2）注销时自动清空命令历史
/.bash_logout 用途: 用户登出时执行的命令 [root@centos7-012 ~]# vim ~/.bash_logout （修改） # ~/.bash_logout history -c （登出时清除历史命令并且清屏） clear
（3）终端自动注销
[root@centos7-012 ~]# vim ~/.bash_profile # .bash_profile # Get the aliases and functions if [ -f ~/.bashrc ]; then . ~/.bashrc fi # User specific environment and startup programs PATH=$PATH:$HOME/bin export PATH export TMOUT = 20 （添加自动注销时间为20秒） 保存退出 [root@centos7-012 ~]# source ~/.bash_profile （执行） 等待二十秒，会发现自动注销
二、用户切换以及提权
-使用su命令切换用户
（1）用途以及用法
用途： Substitute User，切换用户
格式： su - 用户名
（2）密码验证
使用root用户切换其他用户是不需要验证密码的
普通用户切换到其他用户需要验证用户密码
注意： 带 - 选项表示将使用目标用户的登录shell环境
[root@centos7-012 ~]# su - tom （root账户进行切换用户无需密码） 上一次登录：三 12月 30 18:27:47 CST 2020pts/0 上 [tom@centos7-012 ~]$ su - root （普通账户切换需要输入密码） 密码： （输入密码） 上一次登录：三 12月 30 18:27:44 CST 2020pts/0 上 [root@centos7-012 ~]# 只需要查看 @ 号之前的名称是谁，那么就是登录的谁的用户，也可以使用whoami来查看
（3）限制使用su命令的用户
在CentOS7系统中默认所有用户都可以使用su命令，防止密码穷举也就是暴力破解的危险，可以只允许指定用户使用su命令
******启用pam_wheel认证模块，将允许使用su命令的用户加入wheel组中 [root@centos7-012 ~]# vim /etc/pam.d/su 1 #%PAM-1.0 2 auth sufficient pam_rootok.so 3 auth required pam_wheel.so use_uid （添加） 4 # Uncomment the following line to implicitly trust users in the "wheel" group. 。。。。。。 保存退出 [root@centos7-012 ~]# grep wheel /etc/group （筛选wheel发现多了一个wheel组） wheel:x:10: [root@centos7-012 ~]# su - tom （切换到tom账户） 上一次登录：三 12月 30 18:28:13 CST 2020pts/0 上 [tom@centos7-012 ~]$ su - root （使用tom账户切换到root，发现输入密码也无法切换） 密码： su: 拒绝权限 ******注销tom，使用root登录 [root@centos7-012 ~]# gpasswd -a tom wheel （把tom账户加到wheel组中） 正在将用户“tom”加入到“wheel”组中 [root@centos7-012 ~]# su - tom （再次切换到tom账户） 上一次登录：三 12月 30 18:43:10 CST 2020pts/0 上 [tom@centos7-012 ~]$ su - root （使用tom账户切换root） 密码： 上一次登录：三 12月 30 18:45:14 CST 2020从 192.168.100.111pts/1 上 [root@centos7-012 ~]# （发现可以成功切换）
（4）查看su操作记录
******安全日志文件：/var/log/secure [root@centos7-012 ~]# tail /var/log/secure Dec 30 18:28:11 centos7-012 usermod[16119]: change user 'tom' shell from '/sbin/nologin' to '/bin/bash' Dec 30 18:28:13 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0) Dec 30 18:28:52 centos7-012 su: pam_unix(su-l:session): session opened for user root by root(uid=1000) Dec 30 18:43:10 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0) Dec 30 18:43:18 centos7-012 su: pam_succeed_if(su-l:auth): requirement "uid >= 1000" not met by user "root" Dec 30 18:45:14 centos7-012 sshd[16199]: Accepted password for root from 192.168.100.111 port 51545 ssh2 Dec 30 18:45:14 centos7-012 sshd[16199]: pam_unix(sshd:session): session opened for user root by (uid=0) Dec 30 18:45:25 centos7-012 gpasswd[16218]: user tom added by root to group wheel Dec 30 18:46:01 centos7-012 su: pam_unix(su-l:session): session opened for user tom by root(uid=0) Dec 30 18:46:06 centos7-012 su: pam_unix(su-l:session): session opened for user root by root(uid=1000)
-使用sudo机制提升权限
（1）su命令的缺点
知道root密码的用户越少越安全
sudo——普通用户拥有一部分管理权限，又不需要知道root密码
（2）sudo命令的用途以及用法
用途： 想要以其他用户身份（如root）执行授权的命令
用法： sudo 授权命令
（3）配置sudo授权/etc/sudoers
******配置sudo授权（往这个文件里写入要给指定用户的权限） 第一种方法： [root@centos7-012 ~]# cd /etc [root@centos7-012 etc]# ll ，，，，，， -r--r-----. 1 root root 4328 11月 28 2019 sudoers （默认是440也就是两个可读的权限） 。。。。。。 [root@centos7-012 etc]# vim /etc/sudoers （编写sudo的配置文件） 第二种方法： [root@centos7-012 etc]# visudo （进入sudo的配置文件）（这个进入方法保存退出时会提示给我们错误信息） 两种方法进入的文件是相同的
（4）记录格式
******格式：用户 主机名列表=命令程序列表 写完之后先用 ： 进入末行模式后输入 w！ 强制保存，再保存退（上面两种方法都得这么做） *用户：用户名 或 “%组名”（也就是组内所有用户） *主机名：一般为 localhost（本机） 或 实际主机名（得先看自己的主机名是什么就得写什么） *命令列表： 命令的绝对路径，多命令使用“,”分割 例如： [root@centos7-012 etc]# vim /etc/sudoers （进入sudo配置文件） 。。。。。。 100 root ALL=(ALL) ALL （这个就表示root在所有主机都有所有的权限） 。。。。。。 107 %wheel ALL=(ALL) ALL （这个表示wheel组内的所有成员在所有主机有着所有权限） 。。。。。。 ******按照这样写的话，如果想要boss用户可以使用sudo加权使用ifconfig命令： [root@centos7-012 ~]# useradd boss （创建boss账户） [root@centos7-012 ~]# passwd boss （设置boss账户的密码） 更改用户 boss 的密码 。 新的 密码： 无效的密码： 密码未通过字典检查 - 过于简单化/系统化 重新输入新的 密码： passwd：所有的身份验证令牌已经成功更新。 [root@centos7-012 ~]# which ifconfig （先查看ifconfig的完整路径） /usr/sbin/ifconfig [root@centos7-012 ~]# vim /etc/sudoers 。。。。。。 boss ALL=/usr/sbin/ifconfig （在末行加入一行boss可以在所有主机sudo加权使用ifconfig命令） 先输入“：”进入末行模式，然后输入“w！”强制保存之后再保存退出 ******验证 [root@centos7-012 ~]# su - boss （切换boss账户） 上一次登录：三 12月 30 18:46:01 CST 2020pts/1 上 [tom@centos7-012 ~]$ sudo /usr/sbin/ifconfig 我们信任您已经从系统管理员那里了解了日常注意事项。 总结起来无外乎这三点： #1) 尊重别人的隐私。 #2) 输入前要先考虑(后果和风险)。 #3) 权力越大，责任越大。 [sudo] boss 的密码： （输入boss的密码） ens33: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500 inet 192.168.100.12 netmask 255.255.255.0 broadcast 192.168.100.255 inet6 fe80::ea8f:4112:94bb:75f7 prefixlen 64 scopeid 0x20<link> ether 00:0c:29:46:da:b9 txqueuelen 1000 (Ethernet) RX packets 8064 bytes 702160 (685.7 KiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 4766 bytes 671907 (656.1 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 lo: flags=73<UP,LOOPBACK,RUNNING> mtu 65536 inet 127.0.0.1 netmask 255.0.0.0 inet6 ::1 prefixlen 128 scopeid 0x10<host> loop txqueuelen 1000 (Local Loopback) RX packets 476 bytes 38616 (37.7 KiB) RX errors 0 dropped 0 overruns 0 frame 0 TX packets 476 bytes 38616 (37.7 KiB) TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0 [boss@centos7-012 ~]$ sudo -l （查看当前账户可以使用sudo哪些命令） [sudo] boss 的密码： （输入boss密码） 匹配 %2$s 上 %1$s 的默认条目： !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin 用户 boss 可以在 centos7-012 上运行以下命令： (root) /usr/sbin/ifconfig （可以使用ifconfig命令） ******/etc/sudoers中可以用一些符号 ******可以使用通配符*、取反符号! 例如： boss localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route （可以使用/sbin/下的所有命令但是不能使用/sbin/route命令） ******关键字、别名机制（必须大写） 别名格式：别名类型 指定别名=成员1，成员2，成员3。。。。。。 别名类型：（成员可以是用户也可以是命令） Host_Alias 定义主机别名； User_Alias 用户别名，别名成员可以是用户，用户组（前面要加%号） Runas_Alias 用来定义runas别名，这个别名指定的是“目的用户”，即sudo 允许切换至的用户 Cmnd_Alias 定义命令别名 例如： User_Alias AAA=tom,jack,rose （别名是AAA,成员有tom，jack，rose） Host_Alias BBB=smtp,pop （别名是BBB，成员有smtp，pop） Cmnd_Alias CCC=/bin/rpm,/usr/bin/yum （别名是CCC，成员有/bin/rpm,/usr/bin/yum）
（5）查看sudo操作记录
******需启用 Defaults logfile 配置 ******默认日志文件：/var/log/sudo [root@localhost ~]# visudo 。。。。。。 （启用日志配置以后，sudo操作过程才会被记录，在Defaults列前添加） 55 Defaults logfile = "/var/log/sudo" .。。。。。 进入末行模式先用w！强制保存，然后保存退出 ******这时候在boss用户中使用sudo [boss@centos7-012 ~]$ sudo /usr/sbin/ifconfig ******返回root账户，查看日志 [root@centos7-012 ~]# tail /var/log/sudo （查看日志，发现多了一条使用记录） Dec 30 22:50:14 : boss : TTY=pts/2 ; PWD=/home/boss ; USER=root ; COMMAND=/usr/sbin/ifconfig ******查询授权的sudo操作 sudo -l 【初次使用sudo时需验证当前用户的密码】 [boss@centos7-012 ~]$ sudo -l （在boss用户上查看） [sudo] boss 的密码： 匹配 %2$s 上 %1$s 的默认条目： logfile=/var/log/sudo, !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE", env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY", secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin 用户 boss 可以在 centos7-012 上运行以下命令： (root) /usr/sbin/ifconfig 【默认超时为5分钟，在此期间不再重复验证】
