账号安全及应用

news2025/1/12 1:40:19

一、账号安全控制

1.1系统账号清理

将用户设置为无法登陆

锁定账户

删除账户

设定账户密码，本质锁定

锁定配置文件-chattr：

-a 让文件或目录仅供附加用途。只能追加

-i 不得任意更动文件或目录。

1.2密码安全控制

chage

1.3历史命令

history：查看历史命令，默认一千条

history -c 清空历史命令

二、切换用户

2.1用户切换su命令

su命令可以切换用户身份，并且以指定用户的身份执行命令。

pam_rootok.so root不需要密码

pam_wheel.so 只有wheel组才可以切换

$ su root 切换至root用户

wohami 显示当前登录的用户

2.2查看su命令的操作日志，绝对路径：/var/log/secure

这里可以用less或tail查看，这里推荐tail

2.3用户提权 sudo

命令格式 sudo [选项] 命令

选项	功能
-V	显示版本编号
-l	显示出自己的权限
-k	将会强制使用者在下一次执行sudo时需要输入密码（无论多久）
-p	可以更改问密码的提示语，其中%u会代换为使用者的账号名称，%h会显示主机名称
-u 用户名	指定用户的权限
-s	执行环境变数中的SHELL所指定的shell

2.3.1编辑配置文件的绝对路径

vim /etc/sudoers

2.3.2配置详解

1.root字段：用户名或UID，%组名或%GID

2.第一个ALL字段：IP地址或主机名，ALL代表任意主机

3.第二个ALL字段：用户字段，用户名或UID，ALL代表任意用户

4.第三个ALL字段：命令字段（绝对路径）可以是，命令名(command name)，文件夹里的命令(directory)，可以编辑sudoers这个文件(sudoedit)，变相变成管理员。

2.3.4sudo 子目录

如果将所有提权都放在配置文件/etc/sudoers下不便于管理，可以通过在/etc/soduers.d/下创建子目录，可以更好地管理sudo的授权规则

三、PAM安全认证流程

PAM提供了灵活和可定制的用户身份验证框架，使系统管理员能够根据需要配置和管理身份验证方式。

3.1PAM相关文件

模块文件目录：/lib64/security/*.so

特定模块相关的设置文件：/etc/security/

man 8 +模块名：查看帮助

3.2PAM工作原理

PAM认证遵循顺序 Service（服务）---PAM（配置文件）---pam_*.so

这里查看su的PAM配置文件做实例，cat /etc/pam.d/su

3.2.1第一模块类型

1.auth:账号的认证和授权，用户名

2.Account：账户的有效性，与账户管理相关的非认证类的功能，如：用来限制/允许用户对某个服务的访问时间，限制用户的位置（例：root用户只能从控制台登录）

3.Password：用户修改密码时密码复杂度检查机制等功能

4.Session：用户会话期间的控制，如：最多打开的文件数，最多的进程数等

5.-type：表示因为缺失而不能加载的模块将不记录到系统日志，对于那些不总是安装在系统上的模块有用

3.2.2第二模块类型Contrl Flags，PAM验证类型的返回结果

1.required验证失败时依然继续，但返回Fail

2.requisite验证失败则立即结束整个验证过程，返回Fail

3.sufficient验证成功则立即返回，不再继续，否则忽略结果并继续

4.optional不用于验证，只显示信息（通常用于session类型）

3.2.3第三列要调用的功能或参数

PAM验证

3.2.4shell模块

功能	检查有效shell
帮助命令格式	man pam shells
案例	不允许使用/bin/csh的用户本地登录
模块	pam_shells.so只允许规定的shell类型通过，是在/etc/shells文件中存在的类型通过

四、*limit

ulimit -a：查看全部内核

vim /etc/sysctl.conf：专门用来修改内核参数的

内核参数：

只读：只用于输出信息

五、grub加密

/etc/grub.d-目录

00_header	设置grub默认参数
10_linux	系统中存在多个linux版本
20_ppc_terminfo	设置tty控制台
30_os_prober	设置其他分区中的系统(硬盘中有多个操作系统时设置)
40_custom和41_custom	用户自定义的配置