前言
日常漏洞修复,本文不定时更新
步骤
####################################################################### ###########################LINUX 配置规范############################### ###################################################################### #!/bin/bash ##检查口令最小长度 cp /etc/login.defs /etc/login.defs.back sed -i "/^PASS_MIN_LEN/c PASS_MIN_LEN 8" /etc/login.defs ##检查口令生存周期 sed -i "/^PASS_MAX_DAYS/c PASS_MAX_DAYS 90" /etc/login.defs ##检查设备密码复杂度策略 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak sed -i "/^password/i password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1" /etc/pam.d/system-auth ##检查是否设置文件与目录缺省权限 cp /etc/profile /etc/profile.bak sed -i "/umask 002/c umask 027" /etc/profile ##检查是否设置命令行界面超时退出 sed -i "/^TMOUT=1800/c TMOUT=300" /etc/profile ##检查是否限制root用户远程登录 cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak sed -i "/^PermitRootLogin/c PermitRootLogin no" /etc/ssh/sshd_config #重启sshd服务 ##检查是否配置远程日志功能 cp /etc/rsyslog.conf /etc/rsyslog.conf.bak sed -i "/*.* @@remote-host:514/c *.* @@remote-host:514" /etc/rsyslog.conf ##检查是否配置用户所需最小权限 #检查/etc/group文件权限 # chmod 644 /etc/group #检查/etc/passwd文件权限 # chmod 644 /etc/passwd #检查/etc/shadow文件权限 chmod 600 /etc/shadow ##检查是否修改系统banner #删除"/etc"目录下的 issue.net 和 issue 文件： mv /etc/issue /etc/issue.bak mv /etc/issue.net /etc/issue.net.bak ##sshd弱算法 cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak echo "Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc" >> /etc/ssh/sshd_config systemctl restart sshd.service ##检查是否安装OS补丁 #可以使用OnlineUpdate或Patch CD Update等方式升级系统补丁 ##检查FTP Banner设置 #1.修改vsftp回显信息 ## vi /etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf) #ftpd_banner=” Authorized users only. All activity will be monitored and reported.” #可根据实际需要修改该文件内容。 #重启服务： ## /etc/init.d/vsftpd restart #2.修改pure-ftp配置文件： ##vi /etc/pure-ftpd/pure-ftpd.conf #找到以下行，确保该行未被注释。 #FortunesFile /usr/share/fortune/zippy #编辑/usr/share/fortune/zippy文件（如没有fortune文件夹或者zippy文件，则新建该文件夹或该文件）： ##vi /usr/share/fortune/zippy #将自定义BANNER写入其中。 #重启服务： ## /etc/init.d/pure-ftpd restart ##检查FTP用户上传的文件所具有的权限 #如果系统使用vsftp： #修改/etc/vsftpd.conf（或者为/etc/vsftpd/vsftpd.conf） ## vi /etc/vsftpd.conf #确保以下行未被注释掉，如果没有该行，请添加： #write_enable=YES //允许上传。如果不需要上传权限，此项可不进行更改。 #ls_recurse_enable=YES #local_umask=022 //设置用户上传文件的属性为755 #anon_umask=022 //匿名用户上传文件(包括目录)的 umask #重启网络服务 ## /etc/init.d/vsftpd restart #如果系统使用pure-ftp #修改/etc/pure-ftpd/pure-ftpd.conf ## vi /etc/pure-ftpd/pure-ftpd.conf #确保以下行未被注释掉，如果没有该行，请添加： #umask 177:077 #重启ftp服务 ##/etc/init.d/pure-ftpd restart ##检查是否关闭不必要的服务和端口 #检查是否关闭tftp服务 #chkconfig [--level levels] tftp off #注:levels为运行级别,需要重启机器 #检查是否关闭sendmail服务 #chkconfig [--level levels] sendmail off #注:levels为运行级别,需要重启机器 #检查是否关闭ypbind服务 #chkconfig [--level levels] ypbind off #注:levels为运行级别,需要重启机器 #检查是够关闭kshell服务 #hkconfig [--level levels] kshell off #注:levels为运行级别,需要重启机器 #检查是否关闭lpd服务 #chkconfig [--level levels] lpd off #注:levels为运行级别,需要重启机器 #检查是否关闭ident服务 #chkconfig [--level levels] ident off #注:levels为运行级别,需要重启机器 #检查是否关闭time服务 #chkconfig [--level levels] time off #chkconfig [--level levels] time-udp off #注:levels为运行级别,需要重启机器 #检查是否关闭ntalk服务 #chkconfig [--level levels] ntalk off #注:levels为运行级别,需要重启机器 #检查是否关闭bootps服务 #chkconfig [--level levels] bootps off #注:levels为运行级别,需要重启机器 #检查是否关闭chargen服务 #chkconfig [--level levels] chargen off #chkconfig [--level levels] chargen-udp off #注:levels为运行级别,需要重启机器 #检查是否关闭nfs服务 #chkconfig [--level levels] nfs off #注:levels为运行级别,需要重启机器 #检查是否关闭daytime服务 #chkconfig [--level levels] daytime off #注:levels为运行级别,需要重启机器 #检查是否关闭printer服务 #chkconfig [--level levels] printer off #注:levels为运行级别,需要重启机器 #检查是否关闭nfslock服务 #chkconfig [--level levels] nfslock off #注:levels为运行级别,需要重启机器 #检查是否关闭echo服务 #chkconfig [--level levels] echo off #chkconfig [--level levels] echo-udp off #注:levels为运行级别,需要重启机器 #检查是否关闭discard服务 #chkconfig [--level levels] discard off #chkconfig [--level levels] discard-udp off #注:levels为运行级别,需要重启机器 #检查是否关闭klogin服务 #chkconfig [--level levels] klogin off #注:levels为运行级别,需要重启机器 ##检查是否限制用户FTP缺省访问权限 #配置方法： #打开/etc/vsftpd/chroot_list 文件，将需要限制的用户名加入到文件中。 ##检查是否删除了潜在危险文件 #1 是否删除.netrc 文件 # 1.执行命令find / -maxdepth 3 -name .netrc 2>/dev/null # 2.进入到.netrc文件存在的目录 # 3.执行命令：mv .netrc .netrc.bak #2 是否删除hosts.equiv文件 # 1.执行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null # 2.进入到hosts.equiv文件存在的目录 # 3.执行命令：mv hosts.equiv hosts.equiv.bak #3 是否删除.rhosts 文件 # 1.执行命令find / -maxdepth 3 -name .rhosts 2>/dev/null # 2.进入到.rhosts文件存在的目录 # 3.执行命令：mv .rhosts .rhosts.bak ##检查是否禁止root用户登录FTP #1 禁止root登录VSFTP # 编辑/etc/ftpusers(或/etc/vsftpd/ftpusers)文件 # 添加root #2 禁止root登录WU-FTP # 在/etc/ftpusers文件中加入下列行 # root ##检查是否启用SSH协议，禁用telnet协议 #1 应配置ssh协议，并安全配置sshd # 通过#/etc/init.d/sshd start 来启动 SSH服务 #2 应禁用telnet协议 # 利用命令rpm -qa |grep telnet查看是否安装telnet 和telnet server # 如果安装的话 编辑/etc/xinetd.d/telnet, 修改 disable = yes。 # 激活xinetd服务。命令如下： # # service xinetd restart # 如果没安装则说明禁用telnet服务 ##检查是否启用cron行为日志功能 #1 syslog-ng是否启用记录cron行为日志功能 # 在/etc/syslog-ng/syslog-ng.conf中添加 # filter f_cron { facility(cron); }; # destination cron { file("/var/log/cron"); }; # log { source(src); filter(f_cron); destination(cron); }; # 其中/var/log/cron为日志文件。 # 如果该文件不存在，则创建该文件，命令为： # touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron. #2 rsyslog是否启用记录cron行为日志功能 编辑/etc/rsyslog.conf文件， # 配置： # cron.* /var/log/cron ， # 其中/var/log/cron为日志文件。 # 如果该文件不存在，则创建该文件，命令为： # touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron. #3 syslog是否启用记录cron行为日志功能 编辑/etc/syslog.conf文件， # 配置： # cron.* /var/log/cron ， # 其中/var/log/cron为日志文件。 # 如果该文件不存在，则创建该文件，命令为： # touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron. ##检查是否禁止匿名用户登录FTP #1 禁止匿名WU-FTP用户登录 # 在/etc/passwd文件中，删除ftp用户 #2 禁止匿名VSFTP用户登录 # 编辑/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件，设置：anonymous_enable=NO ##检查是否启用syslog日志审计 #1. # Redhat5.x之前(包括5.x):编辑/etc/syslog.conf, # Redhat 6.x:编辑/etc/rsyslog.conf, # 配置: # authpriv.* /var/log/secure #2. # 创建/var/log/secure文件 # touch /var/log/secure #3. # 重启syslog服务 ##检查日志文件是否非全局可写 #检查/var/log/mail文件是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/mail #检查/var/log/boot.log是否是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/boot.log #检查/var/log/secure文件是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/secure #检查/var/log/messages文件是否不可被其他用户修改 位比较小于等于 755 执行命令：chmod 755 /var/log/messages #检查/var/log/cron日志文件是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/cron #检查/var/log/spooler文件是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/spooler #检查/var/log/maillog文件是否other用户不可写 位比较小于等于 775 执行命令：chmod 775 /var/log/maillog ##检查是否限制用户su到root #sed -i "/^auth/i auth sufficient pam_rootok.so" /etc/pam.d/su #sed -i "/^auth/i auth required pam_wheel.so group=wheel" /etc/pam.d/su ##检查是否按用户分配账号 #为用户创建账号： #useradd username #创建账号 #passwd username #设置密码 #修改权限： #chmod 750 directory #其中750为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录) #使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。 ##是否删除与设备运行、维护等工作无关的账号 #删除用户:#userdel username; #锁定用户： #usermod -L username #只有具备超级用户权限的使用者方可使用. #usermod –U username可以解锁。 #补充操作说明 #需要锁定的用户： #listen,gdm,webservd,nobody,nobody4,noaccess。 ##检查是否按组进行账号管理 #1.执行备份： #cp -p /etc/group /etc/group.bak #2.创建新的用户组 #groupadd 组名 #usermod -g 组名 -d 用户目录 -m 用户名 #把用户添加进入某个组(s)或参考usermod --help说明进行设置 ####################################################################### ###########################NGINX 配置规范############################### ###################################################################### ##检查是否启用日志功能---记录错误日志 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，去掉error_log前面的"#"号 ##检查是否启用日志功能---记录访问日志 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，设置access_log，去掉前面的注释，修改配置文件如下： #log_format formatname '$remote_addr - $remote_user [$time_local] ' #' "$request" $status $body_bytes_sent "$http_referer" ' #' "$http_user_agent" "$http_x_forwarded_for"'; #access_log logs/access.log formantname; #formatname是设置配置文件格式的名称 ##检查是否限制IP访问 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf) #具体设置举例如下： #location / { #deny 192.168.1.1; #拒绝IP #allow 192.168.1.0/24; #允许IP #allow 10.1.1.0/16; #允许IP #deny all; #拒绝其他所有IP #} #根据应用场景，设置合适的IP地址 ##检查是否隐藏nginx服务信息头 #配置在http中 server_tokens off; server_tag off; server_info off; ##检查是否自定义错误信息 #修改nginx_install_dir/conf/nginx.conf文件 #在每个站点server里添加自定义错误页面，例如： #error_page 404 /404.html; #404.html为具体的自定义错误页面，需要纺织在站点的根目录下，一版是nginx_install_dir/html/目录下 # #配置完毕后采用nginx_install_dir/sbin/nginx -t测试配置文件是否正确。 #之后平滑重启nginx #nginx_install_dir/sbin/nginx -s reload ##检查是否控制超时时间---客户端保持活动的超时时间 #http #keepalive_timeout 120; #重新启动nginx服务 #需要根据应用场景的需要选择合适的参数值 ##检查是否控制超时时间---客户端请求读取超时时间 #http #client_header_timeout 10; #设置客户端请求头读取超时时间 #重新启动nginx服务 #需要根据应用场景的需要选择合适的参数值 ##检查是否限制客户端下载的并发连接数 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf) #具体设置如下： #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com #http { #…… #limit_zone one $binary_remote_addr 10m; ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session #server #{ #listen 80 #server_name down.nsfocus.com; #index index.html index.htm index.php; #root /usr/local/nsfocus; ##Zone limit; #location / { #limit_conn one 1; #限制每个ip只能发起一个并发连接 #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度 #} #……… #} #重启nginx服务 #根据应用场景的需要进行并发数、速度限制 #注： #limit_zone 这个变量只能在http中使用 #limit_coon和limit_rate变量可以在http,server,location中使用 ##检查是否控制超时时间---响应客户端的超时时间 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf) #具体设置如下： #send_timeout 10; #指定响应客户端的超时时间 #重新启动nginx服务 #需要根据应用场景的需要选择合适的参数值 ##检查是否配置防盗链接设置 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf) #具体设置举例如下： #location ~* ^.+\.(gif|jpg|png|swf|flv|rar|zip)$ { #valid_referers none blocked www.baidu.com; #if ($invalid_referer) { #rewrite ^/ [img]http://www.nsfocus.com/images/default/logo.gif[/img]; ## return 403; #} #} #根据应用场景，设置合适的域名 #重新启动nginx服务 #注： #1.gif|jpg|png|swf|flv|rar|zip #表示对gif、jpg、png、swf、flv后缀的文件实行防盗链 #2.www.baidu.com #表示对www.baidu.com这个来路进行判断 #3.if{}里面内容的意思是，如果来路不是指定来路就跳转到错误页面，当然直接返回404也是可以的 ##检查是否限制客户端的下载速度 #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf) #具体设置如下： #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com #http { #…… #limit_zone one $binary_remote_addr 10m; ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session #server #{ #listen 80 #server_name down.nsfocus.com; #index index.html index.htm index.php; #root /usr/local/nsfocus; ##Zone limit; #location / { #limit_conn one 1; #限制每个ip只能发起一个并发连接 #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度 #} #……… #} #重启nginx服务 #根据应用场景的需要进行并发数、速度限制 #注： #limit_zone 这个变量只能在http中使用 #limit_coon和limit_rate变量可以在http,server,location中使用
学无止境,谦卑而行.
