2022年Unix系统管理员安全问题.docx
《2022年Unix系统管理员安全问题.docx》由会员分享,可在线阅读,更多相关《2022年Unix系统管理员安全问题.docx(22页珍藏版)》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、个人收集整理仅供参考学习本文从系统治理员的角度争论安全问题. 系统治理员是治理系统的人: 启动系统 , 停止系统运行 , 安装新软件 , 增加新用户 , 删除老用户 , 以及完成保持系统进展和运行的日常事务工作.1. 安全治理安全治理主要分为四个方面:(1) 防止未授权存取 : 这是运算机安全最重要的问题: 未被使用系统的人进入系统. 用户意识 , 良好的口令治理 由系统治理员和用户双方协作, 登录活动记录和报告 , 用户和网络活动的周期检查 , 这些都是防止未授权存取的关键.(2) 防止泄密 : 这也是运算机安全的一个重要问题. 防止已授权或未授权的用户相互存取相互的重要信息 . 文件系统查
2、帐 ,su 登录和报告 , 用户意识 , 加密都是防止泄密的关键.(3) 防止用户拒绝系统的治理 : 这一方面的安全应由操作系统来完成 . 一个系统不应被一个有意试图使用过多资源的用户损害 . 不幸的是 ,UNIX 不能很好地限制用户对资源的使用 , 一个用户能够使用文件系统的整个磁盘空间 , 而UNIX 基本不能阻挡用户这样做 . 系统治理员最好用 PS命令 , 记帐程序 df 和 du 周期地检查系统. 查出过多占用 CUP的进程和大量占用磁盘的文件 .(4) 防止丢失系统的完整性 : 这一安全方面与一个好系统治理员的实际工作 例如: 周期地备份文件系统 , 系统崩溃后运行 fsck检查,
3、 修复文件系统 , 当有新用户时 , 检测该用户是否可能使系统崩溃的软件 和保持一个牢靠的操作系统有关 即用户不能常常性地使系统崩溃. 本文其余部分主要涉及前两个问题, 第三个问题在 安全查帐 一节争论 .文档来自于网络搜寻2. 超级用户一些系统治理命令只能由超级用户运行. 超级用户拥有其他用户所没有的特权, 超级用户不管文件存取许可方式如何, 都可以读 , 写任何文件 , 运行 任何程序 . 系统治理员通常使用命令 : /bin/su或以 root进入系统从而成为超级用户. 在后面文章中以 #表示应敲入必需由超级用户运行的命令, 用$表示应敲入由全部其他用户运行的命令.文档来自于网络搜寻3.
4、 文件系统安全 文档来自于网络搜寻(1) UNIX 文件系统概述UNIX文件系统是 UNIX系统的心脏部分 , 供应了层次结构的目录和文件. 文件系统将磁盘空间划分为 每 1024 个字节一组 , 称为 block也有用 512 字节为一块的 , 如:SCOXENIX. 编号从0 到整个磁盘的最大块数. 全部块可划分为四个部分, 块 0 称为引导块 , 文件系统不用该块; 块1 称为专用块 , 专用块含有很多信息 , 其中有 磁盘大小和全部块的其它两部分的大小. 从块 2开头是 i 节点表 ,i节点表中含有 i 节点, 表的块数是可变的, 后面将做争论 .i节点表之后是 闲暇储备块 数据存储块
5、 , 可用于存放文件内容 . 文件的规律结构和物理结构是非常不同的, 规律结构是用户敲入cat 命令后所看到的文件 , 用户可得到表示文件内容的字符流. 物 理结构是文件实际上如何存放在磁盘上的储备格式. 用户认为自己的文件是边疆的字符流, 但实际上文件可能并不是以边疆的方式存放在磁盘上的, 长于一块的文件通常将分散地存放在盘上 . 然而当用户存取文件时,UNIX 文件系统将以正确的次序取各块, 给用户供应文件的规律结构 .当然, 在 UNIX 系统的某处肯定会有一个表, 告知文件系统如何将物理结构转换为规律结构 . 这就涉及到 i 节点了 .i节点是一个 64 字节长的表 , 含有有关一个文
6、件的信息 , 其中有文件大小 , 文件全部者 , 文件存取许可方式, 以及文件为一般文件 , 目录文件仍是特殊文件22 / 15等. 在 i 节点中最重要的哪一项磁盘地址表. 该表中 有 13 个块号 . 前 10 个块号是文件前 10 块的存放地址 . 这 10 个块号能给出一个至多10块长的文件的规律结构, 文件将以块号在磁盘地址表中显现的次序依次取相应的块 . 当文件长于 10 块时又怎样呢 .磁盘地址表中的第十一项给出一个块号 , 这个块号指出的块中含有256 个块号 , 至此 , 这种方法满意了至多长于 266 块的文件 272,384字节 . 假如文件大于266 块, 磁盘地址表的
7、第十二项给出一个块号, 这个块号指出的块中含有256 个块号 , 这 256 个块号 的每一个块号又指出一块, 块中含 256 个块号 , 这些块号才用于取文件的内容. 磁盘地址中和第十三项索引寻址方式与第十二项类似, 只是多一级间接索引 . 这 样, 在 UNIX系统中 , 文件的最大长度是16,842,762块, 即17,246,988,288字节, 有幸是是 UNIX系统对文件的最大长度 一般为 1 到 2M字节 加了更实际的限制 , 使用户不会无意中建立一个用完整个磁盘窨全部块的文件.文件系统将文件名转换为 i 节点的方法实际上相当简洁. 一个目录实际上是一个含有目录表的文件: 对于目
8、录中的每个文件 , 在目录表中有一个入口项, 入口项中含 有文件名和与文件相应的i 节点号 . 当用户敲入 cat xxx时, 文件系统就在当前目录表中查找名为xxx 的入口项 , 得到与文件 xxx 相应的 i 节点号 , 然后开头取含有文件xxx 的内容的块 .文档来自于网络搜寻(2) 设备文件UNIX 系统与边在本系统上的各种设备之间的通讯, 通过特殊文件来实现 ,就程序而言 , 磁盘是文件 ,MODEM是文件 , 甚至内存也是文件 . 全部连接到系统上的设备都在/dev 目录中有一个文件与其对应 . 当在这些文件上执行I/O操作时 , 由 UNIX 系统将 I/O 操作转换成实际设备的
9、动作 . 例如 , 文件 /dev/mem 是系统的内存 , 假如 cat 这个文件 , 实际上是在终端显示系统的内存. 为了安全起见 , 这个文件对一般用户是不行读的. 由于在任一给定时间 , 内存区可能含有用户登录口令或运行程序的口令, 某部分文件的编辑缓冲区, 缓冲区可 能含有用 ed -x命令解密后的文本 , 以及用户不愿让其他人存取的种种信息.在/dev 中的文件通常称为设备文件, 用 ls /dev命令可以看看系统中的一些设备:acuo 呼叫自动拨号器console系统掌握台 dsknn块方式操作磁盘分区kmem核心内存mem内存lp打印机mto 块方式操作磁带rdsknn流方式操
10、作的磁盘分区rmto流方式操作的磁带 swap 交换区syscon系统终端ttynn终端口x25 网络端口等等 文档来自于网络搜寻(3) /etc/mknod命令用于建立设备文件 . 只有 root能使用这个命令建立设备文件. 其参数是文件名 , 字母 c 或 b分别代 表字符特殊文件或块特殊文件, 主设备号 , 次设备号 . 块特殊文件是像磁带 , 磁盘这样一些以块为单位存取数据的设备. 字符特殊文件是如像终端, 打印 机,MODEM或, 者其它任何与系统通讯时 , 一次传输一个字符的设备, 包括仿照对磁盘进行字符方式存取的磁盘驱动器.主设备号指定了系统子程序 设备驱动 程序 , 当在设备上
11、执行 I/O 时, 系统将调用这个驱动程序 . 调用设备驱动程序时 , 次设备号将传递给该驱动程序 次设备规定具体的磁盘驱动器 , 带驱动器 , 信号线编号 , 或磁盘分区 . 每种类型的设备一般都有自己的设备驱动程序. 文件系统将主设备号和次设备号存放在i 节点中的磁盘地址表内, 所 以没有磁盘空间安排给设备文件 除 i 节点本身占用的磁盘区外. 当程序试图在设备文件上执行I/O 操作时 , 系统识别出该文件是一个特殊文件, 并调用由主设备号指定的设备驱动程序, 次设备号作为调用设备驱动程序的参数 .文档来自于网络搜寻(4) 安全考虑将设备处理成文件 , 使得 UNIX程序独立于设备 , 即
12、程序不必肯定要明白正使用的设备的任何特性 , 存取设备也不需要记录长度, 块大小 , 传输速度 , 网络协议等 这样一些信息 , 全部烦人的细节由设备驱动程序去关怀考虑, 要存取设备 , 程序只须打开设备文件, 然后作为一般的UNIX文件来使用 . 从安全的观点来看这样处理很好 , 由于任何设备上进行的I/O 操作只经过了少量的渠道 即设备文件 . 用户不能直接地存取设备. 所以假如正确地设置了磁盘分区的存取许可 , 用户就只 能通过 UNIX 文件系统存取磁盘. 文件系统有内部安全机制 文件许可 .不幸的是 , 假如磁盘分区设备得不正确, 任何用户都能够写一个程序读磁盘分区中的每个文件, 作
13、法很简洁 : 读一 i 节点 , 然后以磁盘地址表中块号显现的次序, 依次读这些块号指出的存有文件内容的块 . 故除了 root以外 , 决不要使盘分区对任何人可写 . 由于全部者 , 文件存取许可方式这样一些信息存放于i 节点中 , 任何人只要具有已安装分区的写许可, 就能设置任何文件的 SUID 许可, 而不管文件的所有者是谁 , 也不必用 chmod 命令 , 仍可避过系统建立的安全检查 . 以上所述对内存文件mem,kmem和对换文件 swap也是一样的 . 这些文件含有用户信息 , 一个 耐心 的程序可以将用户信息提取出来. 要防止磁盘分区 以及其它设备 可读可写 , 应当在建立设备
14、文件前先用umask 命令设置文件建立屏蔽值. 一般情形下 ,UNIX 系统上的终端口对任何人都是可写的, 从而使用户可以用write命令发送信息 . 虽然 write命令易引起安全方面的问题, 但大多数用户觉得用write得到其他用户的信息很便利, 所以系统将终端设备的存取许可设置成对全部用户可写./dev目录应当是 755 存取许可方式 , 且属root全部 . 不答应除 root外的任何用户读或写盘分区的原就有一例外, 即一些程 序 通常是数据库系统 要求对磁盘分区直接存取, 解决这个问题的体会的盘分区应当由这种程序专用 担心装文件系统 , 而且应当告知使用这种程序的用户, 文件安全爱护
15、将由程序自己而不是UNIX 文件系统完成 .文档来自于网络搜寻(5) find命令find命令用于搜寻目录树 , 并对目录树上的全部文件执行某种操作, 参数是目录名表 指出从哪些起点开头搜寻 , 仍可给出一个或多个选项, 规定对每个文件执行什么操作.find . -print将列出当前工作目录下的目录树的每一个文件.find / -user bob -print将列出在系统中可找到的属于bob 用户的全部文件 .find /usr/bob -perm 666 -print将列出 /usr/bob目录树下全部存取许可为666 的文件 .如将 666 改为 -666 就将列出全部具有包含了666
16、在内的存取许可方式的文件 如 777.find /usr/bob -typeb -print将列出 /usr/bob目录树下全部块特殊文件c 为字符特殊文件.find/ -userroot-perm -4000 -exec ls-l;是一个较复杂一点的命令,-execCOMMAND; 答应对所找到的每个文件运行指定的命令COMMAN如D.所找到的文件名替换 .COMMAN必D 须以 ;终止 .COMMAN中D含有 ,就 将由 find以上举例介绍find的用法 , 各选项可组合使用以达到更强的功能.文档来自于网络搜寻(6) secure程序系统治理员应当做一个程序以定期检查系统中的各个系统文件
17、, 包括检查设备文件和SUID,SGID 程序 , 特殊要留意检查 SUID,SGID 程序 , 检查 /etc/passwd和/etc/group文件 , 查找久未登录的户头和校验各重要文件是否被修改. 源程序清单将在今后发表文档来自于网络搜寻(7) ncheck命令用于检查文件系统 , 只用一个磁盘分区名作为参数, 将列出 i 节点号及相应的文件名.i节点相同的文件为建链文件.留意 : 所列出的清单文件名与mount 命令的第一个域相同的文件名前部分将不会列出来 . 由于是做文件系统内部的检查,ncheck并不知道文件系统安装饰以上 部分的目录 .也可用此命令来搜寻文件系统中全部的SUID
18、 和 SGID 程序和设备文件 , 使用 -s 选项来完成此项功能 .文档来自于网络搜寻(8) 安装和拆卸文件系统UNIX 文件系统是可安装的 , 这意味着每个文件系统可以连接到整个目录树的任意节点上 根目录总是被安装上的 . 安装文件系统的目录称为安装饰./etc/mount命令用于安装文件系 统, 用这条命令可将文件系统安装在现有目录结构的任意处. 安装文件系统时, 安装饰的文件和目录都是不行存取的, 因此未安装文件系统时 , 不要将文件存入安装饰目录. 文件系统安装后 , 安装饰的存取许可方式和全部者将转变为所安装的文件根目录的许可方式和全部者. 安装文件系统时要当心: 安装饰的属性会转
19、变 . 仍要留意新建的文件 , 除非新文件系统是由标 准文件建立的 , 系统标准文件会设置适当的存取许可方式 , 否就新文件系统的存取许可将是777. 可用 -r 选项将文件系统安装成只读文件系统. 需要写爱护的带驱动器和磁盘应当以这种方式来安 装. 不带任何参数的 /etc/mount可获得系统中所安装的文件系统的有关信息. 包括 : 文件系统被安装的安装饰目录, 对应/dev中的哪个设备 , 只读或可读写 , 安装时间和日期等 . 从安全的观点来讲, 可安装系统的危急来自用户可能恳求系统治理员为其安装用户自 己的文件系统 . 假如安装了用户的文件系统, 就应在答应用户存取文件系统前, 先扫
20、描用户的文件系统 , 搜寻 SUID/SGID程序和设 备文件 . 在除了 root 外任何人不能执行的目录中安装文件系统 , 用 find命令或 secure 列出可疑文件 , 删除不属用户全部的文件的SUID/SGID 许可 . 用户的文件系统用完后, 可用 umount 命令卸下文件系统. 并将安装饰目录的全部者改回root, 存取许可改为755.文档来自于网络搜寻(9) 系统目录和文件UNIX 系统中有很多文件不答应用户写, 如:/bin,/usr/bin,/usr/lbin,/etc/passwd,/usr/lib/crontab,/unix,/etc/rc,/etc/inittab
21、这样一些文件和目录 大多数的系统目 录, 可写的目录答应移动文件, 会引起安全问题 . 系统治理员应常常检查系统文件和目录的许可权限和全部者. 可做一个程序依据系统供应的规章文件 在 /etc/permlist文件中 所描述的文件全部者和许可权规章检查各文件. 源程序清单将在今后发表留意 : 假如系统的安全治理不好,或系统是新安装的, 其安全程序不够高, 可以用 make方式在安全强的系统上运行上述程序, 将许可规章文件拷贝到新系统来, 再以设置方式在新系统上运行上述 程序 , 就可提高本系统的安全程序. 但要记住 , 两个系统必需运行相同的UNIX系统版本 .文档来自于网络搜寻4. 作为 r
22、oot运行的程序在 UNIX系统中 , 有些程序由系统作为root 进程运行 . 这些程序并不总是具有SUID许可 , 由于其不少程序仅由root运行, 系统治理员需要清晰这些程序做什么, 以及这些程序仍将运行其它什么程序 .文档来自于网络搜寻1 启动系统当某些 UNIX 系统 如 SCOUNIX/XENIX 启动时 , 是以被称为单用户的方式运行, 在这种方式中一般用户不能登录 , 唯有的进程是 init,swapper, 以及一些由系统治理员从掌握台运行的进程.UNIX 系统的单用户方式启动 , 使系统治理员能在答应一般用户登录以前, 先检查系统操作, 确保 系统一切正常 , 当系统处于单
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2022 Unix 系统管理员 安全问题
限制150内