1、本文从系统管理员的角度讨论安全问题.系统管理员是管理系统的人:启动系统,停止系统运行,安装新软件,增加新用户,删除老用户,以及完成保持系统发展和运行的日常事务工作. 1.安全管理 安全管理主要分为四个方面: (1)防止未授权存取:这是计算机安全最重要的问题:未被使用系统的人进入系统.用户意识,良好的口令管理(由系统管理员和用户双方配合),登录活动记录和报告,用户和网络活动的周期检查,这些都是防止未授权存取的关键. (2)防止泄密:这也是计算机安全的一个重要问题.防止已授权或未授权的用户相互存取相互的重要信息.文件系统查帐,su 登录和报告,用户意识,加密都是防止泄密的关键. (3)防止用户拒绝
2、系统的管理:这一方面的安全应由操作系统来完成.一个系统不应被一个有意试图使用过多资源的用户损害.不幸的是,UNIX 不能很好地限制用户对资源的使用,一个用户能够使用文件系统的整个磁盘空间,而 UNIX 基本不能阻止用户这样做.系统管理员最好用 PS 命令,记帐程序 df 和 du 周期地检查系统.查出过多占用 CUP 的进程和大量占用磁盘的文件. (4)防止丢失系统的完整性:这一安全方面与一个好系统管理员的实际工作(例如:周期地备份文件系统,系统崩溃后运行 fsck 检查,修复文件系统,当有新用户时,检测该用户是否可能使系统崩溃的软件)和保持一个可靠的操作系 统有关(即用户不能经常性地使系统崩
3、溃). 本文其余部分主要涉及前两个问题,第三个问题在“安全查帐“一节讨论. 2.超级用户 一些系统管理命令只能由超级用户运行.超级用户拥有其他用户所没有的特权,超级用户不管文件存取许可方式如何,都可以读,写任何文件,运行 任何程序.系统管理员通常使用命令: /bin/su 或以 root 进入系统从而成为超级用户.在后面文章中以#表示应敲入必须由超级用户运行的命令,用$表示应敲入由所有其他用户运行的命令. 3.文件系统安全 (1)UNIX 文件系统概述 UNIX 文件系统是 UNIX 系统的心脏部分,提供了层次结构的目录和文件.文件系统将磁盘空间划分为 每 1024 个字节一组,称为(bloc
4、k)(也有用 512 字节为一块的,如:SCO XENIX).编号从 0 到整个磁盘的最大块数.全部块可划分为四个部分,块 0 称为引导块,文件系统不用该块;块 1 称为专用块,专用块含有许多信息,其中有 磁盘大小和全部块的其它两部分的大小.从块 2 开始是 i 节点表,i 节点表中含有 i 节点,表的块数是可变的,后面将做讨论.i 节点表之后是空闲存储块(数据存 储块),可用于存放文件内容.文件的逻辑结构和物理结构是十分不同的,逻辑结构是用户敲入 cat 命令后所看到的文件,用户可得到表示文件内容的字符流.物 理结构是文件实际上如何存放在磁盘上的存储格式.用户认为自己的文件是边疆的字符流,但
5、实际上文件可能并不是以边疆的方式存放在磁盘上的,长于一块的文件 通常将分散地存放在盘上.然而当用户存取文件时,UNIX 文件系统将以正确的顺序取各块,给用户提供文件的逻辑结构. 当然,在 UNIX 系统的某处一定会有一个表,告诉文件系统如何将物理结构转换为逻辑结构.这就涉及到 i 节点了.i 节点是一个 64 字节长的表,含有有关一个 文件的信息,其中有文件大小,文件所有者,文件存取许可方式,以及文件为普通文件,目录文件还是特别文件等.在 i 节点中最重要的一项是磁盘地址表.该表中 有 13 个块号.前 10 个块号是文件前 10 块的存放地址.这 10 个块号能给出一个至多 10 块长的文件
6、的逻辑结构,文件将以块号在磁盘地址表中出现的顺序依次 取相应的块.当文件长于 10 块时又怎样呢?磁盘地址表中的第十一项给出一个块号,这个块号指出的块中含有 256 个块号,至此,这种方法满足了至多长于 266 块的文件(272,384 字节).如果文件大于 266 块,磁盘地址表的第十二项给出一个块号,这个块号指出的块中含有 256 个块号,这 256 个块号 的每一个块号又指出一块,块中含 256 个块号,这些块号才用于取文件的内容.磁盘地址中和第十三项索引寻址方式与第十二项类似,只是多一级间接索引.这 样,在 UNIX 系统中,文件的最大长度是 16,842,762 块,即17,246,
7、988,288 字节,有幸是是 UNIX 系统对文件的最大长度(一般为 1 到 2M 字节)加了更实际的限制,使用户不会无意中建立一个用完整个磁盘窨所有块的文件. 文件系统将文件名转换为 i 节点的方法实际上相当简单.一个目录实际上是一个含有目录表的文件:对于目录中的每个文件,在目录表中有一个入口项,入口项中含 有文件名和与文件相应的 i 节点号.当用户敲入 cat xxx 时,文件系统就在当前目录表中查找名为 xxx 的入口项,得到与文件xxx 相应的 i 节点号,然后开始取含有文件 xxx 的内容的块. (2)设备文件 UNIX 系统与边在本系统上的各种设备之间的通讯,通过特别文件来实现,
8、 就程序而言,磁盘是文件,MODEM 是文件,甚至内存也是文件.所有连接到系统上的设备都在/dev 目录中有一个文件与其对应.当在这些文件上执行 I/O 操作时,由 UNIX 系统将 I/O 操作转换成实际设备的动作.例如,文件/dev/mem 是系统的内存,如果 cat 这个文件,实际上是在终端显示系统的内 存.为了安全起见,这个文件对普通用户是不可读的.因为在任一给定时间,内存区可能含有用户登录口令或运行程序的口令,某部分文件的编辑缓冲区,缓冲区可 能含有用 ed -x 命令解密后的文本,以及用户不愿让其他人存取的种种信息. 在/dev 中的文件通常称为设备文件,用 ls /dev 命令可
9、以看看系统中的一些设备: acuo 呼叫自动拨号器 console 系统控制台 dsknn 块方式操作磁盘分区 kmem 核心内存 mem 内存 lp 打印机 mto 块方式操作磁带 rdsknn 流方式操作的磁盘分区 rmto 流方式操作的磁带 swap 交换区 syscon 系统终端 ttynn 终端口 x25 网络端口 等等 (3)/etc/mknod 命令 用于建立设备文件.只有 root 能使用这个命令建立设备文件.其参数是文件名,字母 c 或 b分别代 表字符特别文件或块特别文件,主设备号,次设备号.块特别文件是像磁带,磁盘这样一些以块为单位存取数据的设备.字符特别文件是如像终端,
10、打印 机,MODEM,或者其它任何与系统通讯时,一次传输一个字符的设备,包括模仿对磁盘进行字符方式存取的磁盘驱动器.主设备号指定了系统子程序(设备驱动 程序),当在设备上执行 I/O 时,系统将调用这个驱动程序.调用设备驱动程序时,次设备号将传递给该驱动程序(次设备规定具体的磁盘驱 动器,带驱动器,信号线编号,或磁盘分区).每种类型的设备一般都有自己的设备驱动程序.文件系统将主设备号和次设备号存放在 i 节点中的磁盘地址表内,所 以没有磁盘空间分配给设备文件(除 i 节点本身占用的磁盘区外).当程序试图在设备文件上执行 I/O 操作时,系统识别出该文件是一个特别文件,并调用由主设 备号指定的设
11、备驱动程序,次设备号作为调用设备驱动程序的参数. (4)安全考虑 将设备处理成文件,使得 UNIX 程序独立于设备,即程序不必一定要了解正使用的设备的任何特性,存取设备也不需要记录长度,块大小,传输速度,网络协议等 这样一些信息,所有烦人的细节由设备驱动程序去关心考虑,要存取设备,程序只须打开设备文件,然后作为普通的UNIX 文件来使用.从安全的观点来看这样处 理很好,因为任何设备上进行的 I/O 操作只经过了少量的渠道(即设备文件).用户不能直接地存取设备.所以如果正确地设置了磁盘分区的存取许可,用户就只 能通过 UNIX 文件系统存取磁盘.文件系统有内部安全机制(文件许可).不幸的是,如果
12、磁盘分区设备得不正确,任何用户都能够写一个程序读磁盘分区中的每 个文件,作法很简单:读一 i 节点,然后以磁盘地址表中块号出现的顺序,依次读这些块号指出的存有文件内容的块.故除了 root 以外,决不要使盘分区对任何 人可写.因为所有者,文件存取许可方式这样一些信息存放于 i 节点中,任何人只要具有已安装分区的写许可,就能设置任何文件的 SUID 许可,而不管文件的所 有者是谁,也不必用 chmod()命令,还可避过系统建立的安全检查.以上所述对内存文件 mem,kmem 和对换文件 swap 也是一样的.这些文件含有用 户信息,一个“耐心“的程序可以将用户信息提取出来.要避免磁盘分区(以及其
13、它设备)可读可写,应当在建立设备文件前先用 umask 命令设置文件建立屏蔽 值.一般情况下,UNIX 系统上的终端口对任何人都是可写的,从而使用户可以用 write 命令发送信息.虽然 write 命令易引起安全方面的问题,但大多数用户觉得用 write 得到其他用户的信息很方便,所以系统将终端设备的存取许 可设置成对所有用户可写./dev 目录应当是 755 存取许可方式,且属 root 所有.不允许除 root 外的任何用户读或写盘分区的原则有一例外,即一些程 序(通常是数据库系统)要求对磁盘分区直接存取,解决这个问题的经验的盘分区应当由这种程序专用(不安装文件系统),而且应当告知使用这
14、种程序的用户,文件安全保护将由程序自己而不是 UNIX 文件系统完成. (5)find 命令 find 命令用于搜索目录树,并对目录树上的所有文件执行某种操作,参数是目录名表(指出从哪些起点开始搜索),还可给出一个或多个选项,规定对每个文件执行什么操作. find . -print 将列出当前工作目录下的目录树的每一个文件. find / -user bob -print 将列出在系统中可找到的属于 bob 用户的所有文件. find /usr/bob -perm 666 -print 将列出/usr/bob 目录树下所有存取许可为 666 的文件.若将 666 改为-666 则将列出所有具有
15、包含了 666 在内的存取许可方式的文件(如 777). find /usr/bob -type b -print 将列出/usr/bob 目录树下所有块特别文件(c 为字符特别文件). find / -user root -perm -4000 -exec ls -l ; 是一个较复杂一点的命令,-exec COMMAND ;允许对所找到的每个文件运行指定的命令 COMMAND.若 COMMAND 中含有,则将由 find 所找到的文件名替换.COMMAND 必须以 ;结束. 以上举例介绍 find 的用法,各选项可组合使用以达到更强的功能. (6)secure 程序 系统管理员应当做一个程
16、序以定期检查系统中的各个系统文件,包括检查设备文件和SUID,SGID 程序,尤其要注意检查 SUID,SGID 程序,检查/etc/passwd 和/etc/group 文件,寻找久未登录的户头和校验各重要文件是否被修改. (源程序清单将在今后发表) (7)ncheck 命令 用于检查文件系统,只用一个磁盘分区名作为参数,将列出 i 节点号及相应的文件名.i 节点相同的文件为建链文件. 注意:所列出的清单文件名与 mount 命令的第一个域相同的文件名前部分将不会列出来.因为是做文件系统内部的检查,ncheck 并不知道文件系统安装点以上部分的目录. 也可用此命令来搜索文件系统中所有的 SU
17、ID 和 SGID 程序和设备文件,使用-s选项来完成此项功能. (8)安装和拆卸文件系统 UNIX 文件系统是可安装的,这意味着每个文件系统可以连接到整个目录树的任意节点上(根目录总是被安 装上的).安装文件系统的目录称为安装点./etc/mount 命令用于安装文件系统,用这条命令可将文件系统安装在现有目录结构的任意处.安装文件系统 时,安装点的文件和目录都是不可存取的,因此未安装文件系统时,不要将文件存入安装点目录.文件系统安装后,安装点的存取许可方式和所有者将改变为所安装 的文件根目录的许可方式和所有者.安装文件系统时要小心:安装点的属性会改变!还要注意新建的文件,除非新文件系统是由标
18、准文件建立的,系统标准文件会设 置适当的存取许可方式,否则新文件系统的存取许可将是777!可用-r 选项将文件系统安装成只读文件系统.需要写保护的带驱动器和磁盘应当以这种方式来安 装.不带任何参数的/etc/mount 可获得系统中所安装的文件系统的有关信息. 包括:文件系统被安装的安装点目录,对应/dev 中的哪个设备,只读或可读写,安装时间和日期等.从安全的观点来讲,可安装系统的危险来自用户可能请求系 统管理员为其安装用户自己的文件系统.如果安装了用户的文件系统,则应在允许用户存取文件系统前,先扫描用户的文件系统,搜索 SUID/SGID 程序和设 备文件.在除了 root 外任何人不能执
19、行的目录中安装文件系统,用 find 命令或 secure 列出可疑文件,删除不属用户所有的文件的 SUID/SGID 许可.用户的文件系统用完后,可用 umount 命令卸下文件系统.并将安装点目录的所有者改回root,存取许可改为 755. (9)系统目录和文件 UNIX 系统中有许多文件不允许用户写,如:/bin,/usr/bin,/usr/lbin, /etc/passwd,/usr/lib/crontab,/unix,/etc/rc,/etc/inittab 这样一些文件和目录(大多数的系统目 录),可写的目录允许移动文件,会引起安全问题.系统管理员应经常检查系统文件和目录的许可权限
20、和所有者.可做一个程序根据系统提供的规则文件(在 /etc/permlist文件中)所描述的文件所有者和许可权规则检查各文件.(源程序清单将在今后发表) 注意:如果系统的安全管理不好, 或系统是新安装的,其安全程序不够高,可以用 make 方式在安全强的系统上运行上述程序,将许可规则文件拷贝到新系统来,再以设置方式在新系统上运行上述 程序,就可提高本系统的安全程序.但要记住,两个系统必须运行相同的 UNIX 系统版本. 4.作为 root 运行的程序 在 UNIX 系统中,有些程序由系统作为 root 进程运行.这些程序并不总是具有 SUID 许可,因为其不少程序仅由 root 运行,系统管理
21、员需要清楚这些程序做什么,以及这些程序还将运行其它什么程序. (1)启动系统 当某些 UNIX 系统(如 SCO UNIX/XENIX)启动时,是以被称为单用户的方式运行,在这种方式中普通用户不能登录,唯有的进程是 init, swapper,以及一些由系统管理员从控制台运行的进程.UNIX 系统的单用户方式启动,使系统管理员能在允许普通用户登录以前,先检查系统操作,确保 系统一切正常,当系统处于单用户方式时,控制台作为超级用户,命令揭示是“#“,有些 UNIX 系统不要确认超级用户口令就认可控制台是 root,给出#提 示符.这就可能成为一个安全问题. (2)init 进程 UNIX 系统总
22、是以某种方式或称为某种级运行,系统有若干种运行级,这些运行级由 init 进程控 制.UNIX 系统启动时以单用户方式运行,也叫 1 级或 S 级.对于其他用户登录进入系统,UNIX 有一种多用户运行方式,也叫 2 级.init 进程控制系统运 行级,它读入文件/etc/ inittab,该文件详细地规定了哪些进程在哪一级运行.当 root 敲入 init n(数字),系统就进入 n 级.init 读该文件以确定终止哪些进程,启动哪些进程.有效的运行级的数值是从 0到 6 与 s. 注意:由 init 建立 的进程以 UID 为 0 运行(root)从/etc/inittab 运行的程序 也作
23、为 root运行,所以系统管理员要确保自己知道/etc/inittab 中的程序做什么工作,确保这些程序以及这些程序所在的目录直到/和/etc /inittab 除 root 外无人可写. (3)进入多用户 当 UNIX 系统进入多用户方式时,将寝化一系列事件,接着开始执行 gettys,允许其他用户登录进入系 统.如果再看看/etc/inittab 文件,会看到 gettys 定义在运行级 2,至少三个shell 程序/etc/brc,/etc /bcheckrc,/etc/rc*也定义在运行级 2.这些程序都在 gettys 启动前运行.这些 shell 程序作为 root 运行,也不能仅
24、对 root 可写还应当检查 shell 程序运行的命令,因为这些命令也将作为 root 运行. (4)shutdown 命令 用 shutdown 命令关系统,shutdown shell 程序发送警告通知所有用户离开系统,在“给定的期限时间“到了后,就终止进程,拆卸文件系统,进入单用户方式或关机状态.一旦进入单用户方式, 所有的 gettys 停止运行,用户再不能登录.进入关机状态后可将系统关电. shutdown仅能由作为 root 登录的用户从系统控制台上运行.所以任何的 shutdown 运行的命令仅能对root 可写. (5)系统 V 的 cron 程序 cron 在 UNIX 系
25、统是多用户方式时运行,根据规定的时间安排执行指定的命令,每隔一分钟检查 一次文件/usr/lib/crontab,寻找是否有应当运行的程序? 如果找到要运行的程序,就运行该程序,否则睡眠等待一分钟. 实际的/usr/lib/crontab 用于根据全天的规则时间表运行程序,也可在夜晚运行白天不愿运行怕降低其他用户速度的程序.通常由 cron 运行的 程序是如记帐,存文件这样的程序.cron 一般在系统进入多用户后由/etc/rc 启动,当shutdown 运行 killall 命令时便终止运行.由 cron 运行的程序作为 root,所以应当注意放什么程序在 crontab 中,还要确保/us
26、r/lib/crontab 和该表中列出的任何程序对任何人 不可写.如果用户需要由 cron 执行一个程序,系统管理员可用 su 命令在 crontab 表中建立一个入口,使用户的程序不能获得 root 的权限. (6)系统 V 版本 2 之后的 cron 程序 在系统 V 版本 2 中,cron 被修改成允许用户建立自己的 crontab 入口,/usr /lib/crontab文件不再存在,由目录/usr/spool/cron/crontabs 中的文件代替.这些文件的格式与crontab 相同,但 每个文件与系统中的一个用户对应,并以某用户的名义由 cron 运行.如果想限制能建立 cr
27、ontab 的用户,可在文件/usr/lib/cron /cron.allow 文件中列出允许运行crontab 命令的用户.任何未列于该文件的用户不能运行 crontab.反之,若更愿意列出不允许运行 crontab 命令的用户,则可将他们列入/usr/lib/cron/ cron.deny 文件中,未列于该文件的其他用户将被允许建立 crontab. 注 意:若两个文件都存在,系统将使用 cron.allow,忽略 cron.deny.如果两个文件都不存在,则只有 root 可运行 crontab.所以,若 要允许系统中的所有用户都可运行 crontab 命令,应当建立一个空的 cron.
28、deny 文件,如果 cron.allow 也存在,则删除该文件.这个版本 的 cron命令的安全程度比前一个高,因为用户只能看自己的 crontab,系统管理员也不必担心其他用户的程序是否会作为 root 运行,由于允许每个系统登录用户有自己的 crontab,也简化了对程序必须由 cron 运行,但不必作为 root 运行的系统程序的处理.必须确保 root 的crontab 文件仅对 root 可写,并且该文件所在的目录及所有的父目录也 仅对 root 可写. (7)/etc/profile 每当用户(包括 root 在内)登录时,由 shell 执行/etc/profile 文件,应确
29、保这个文件以及从这个文件运行的程序和命令都仅对 root 可写. 5./etc/passwd 文件 /etc/passwd 文件是 UNIX 安全的关键文件之一.该文件用于用户登录时校验用户的口 令,当然应当仅对 root 可写.文件中每行的一般格式为:LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL 每 行的头两项是登录名和加密后的口令,后面的两个数是 UID 和 GID,接着的一项是系统管理员想写入的有关该用户的任何信息,最后两项是两个路径名:一个是 分配给用户的 HOME 目录,第二个是用户登录后将执行的shell(若为空格则缺省为/bin/sh)
30、. (1)口令时效 /etc/passwd 文件的格式使系统管理员能要求用户定期地改变他们的口令.在口令文件中可以看到,有些加密后的口令有逗号,逗号后有几个字符和一个冒号.如: steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/sh restrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh pat:xmotTVoyumjls:0:0:admin:/:/bin/sh 可以看到,steve 的口令逗号后有 4 个字符,restrict 有 2 个,pat 没有逗号.逗号后第一个字符是口令有效期的最大周数,第二个字符决定了用户再次修
31、改口信之前,原口令应使用的最小周数(这就防止了用户改了新口令后立刻 又 改回成老口令).其余字符表明口令最新修改时间.要能读懂口令中逗号后的信息,必须首先知道如何用 passwd_esc 计数,计数的方法是: .=0 /=1 0-9=2-11 A-Z=12-37 a-z=38-63系统管理员必须将前两个字符放进/etc/passwd 文件,以要求用户定期的修改口令,另外两个字符当用户修改口令时,由 passwd 命令填入.注意:若想让用户修改口令,可在最后一次口令被修改时,放两个“.“,则下一次用户登录时将被要求修改自己的口令.有两种特殊情 况: . 最大周数(第一个字符)小于最小周数(第二个
32、字符),则不允许用户修改口令,仅超级用户可以修改用户的口令. . 第一个字符和第二个字符都是“.“,这时用户下次登录时被要求修改口令,修改口令后,passwd 命令将“.“删除,此后再不会要求用户修改口令. (2)UID 和 GID /etc/passwd 中 UID 信息很重要,系统使用 UID 而不是登录名区别用户.一般来说,用户 的UID 应当是独一无二的,其他用户不应当有相同的 UID 数值.根据惯例,从 0 到 99 的 UID 保留用作系统用户的 UID(root,bin,uucp 等).如果在/etc/passwd 文件中有两个不同的入口项有相同的 UID,则这两个用户对相互的文
33、件具有相同的存取权限. 6./etc/group 文件 /etc/group 文件含有关于小组的信息,/etc/passwd 中的每个 GID 在本文件中应当有相应的入口项,入口项中列出了小组名 和小组中的用户.这样可方便地了解每个小组的用户,否则必须根据 GID 在/etc/passwd 文件中从头至尾地寻找同组用户./etc/group 文件 对小组的许可权限的控制并不是必要的,因为系统用 UID,GID(取自/etc/passwd)决定文件存取权限,即使/etc/group 文件不存在于 系统中,具有相同的 GID 用户也可以小组的存取许可权限共享文件.小组就像登录用户一样可以有口令.如
34、果/etc/group 文件入口项的第二个域为非 空,则将被认为是加密口令,newgrp 命令将要求用户给出口令,然后将口令加密,再与该域的加密口令比较.给小组建立口令一般不是个好作法.第一,如果 小组内共享文件,若有某人猜着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事,因为对于小组没有类似的 passwd 命令.可用 /usr/lib/makekey 生成一个口令写入/etc/group.以下情况必须建立新组: (1)可能要增加新用户,该用户不属于任何一个现有的小组. (2)有的用户可能时常需要独自为一个小组. (3)有的用户可能有一个 SGID 程序,需要独自为一个
35、小组. (4)有时可能要安装运行 SGID 的软件系统,该软件系统需要建立一个新组. 要 增加一个新组,必须编辑该文件,为新组加一个入口项. 由于用户登录时,系统从/etc/passwd 文件中取 GID,而不是从/etc/group 中取 GID,所以 group 文件和口令文件应当具有一致性. 对于一个用户的小组,UID 和 GID 应当是相同的.多用户小组的 GID 应当不同于任何用户的 UID,一般为 5 位数,这样在查看/etc/passwd 文件 时,就可根据 5 位数据的GID 识别多用户小组,这将减少增加新组,新用户时可能产生的混淆. 7.增加,删除,移走用户 (1)增加用户
36、增加用户有三个过程: . 在/etc/passwd 文件中写入新用户的入口项. . 为新登录用户建立一个 HOME 目录. . 在/etc/group 中为新用户增加一个入口项. 在 /etc/passwd 文件中写入新的入口项时,口令部分可先设置为 NOLOGIN,以免有人做为此新用户登录.在修改文件前,应 mkdir /etc/ptmp,以免他人同时修改此文件.新用户一般独立为一个新组,GID 号与 UID 号相同(除非他要加入目前已存在的一个新组),UID 号必须和 其他人不同,HOME 目录一般设置在/usr 或/home 目录下建立一个以用户登录名为名称的目录做为其主目录. (2)删
37、除用户 删除用户与加用户的工作正好相反,首先在/etc/passwd 和/etc/group 文件中删除用户的入口 项,然后删除用户的 HOME 目录和所有文件.rm -r /usr/loginname 删除整个目录树.如果用户在/usr/spool/cron/crontabs 中有 crontab 文件,也应当删除. (3)将用户移到另一个系统 这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd 文件中的入口项.首先 一个问题是用户的 UID 和 GID 可能已经用于另一个系统,若是出现这种情况,必须给要移的用户分配另外的 UID 和 GID,如果改变了用户的 UID 和
38、 GID,则必须搜索该用户的全部文件,将文件的原 UID 和 GID 改成新的 UID 和 GID.用 find 命令可以完成这一修改: find . -user olduid -exec chown newuid ; find . -group oldgid -exec chgrp newgid ; 也 许还要为用户移走其它一些文件:/usr/mail/user 和/usr/spool/cron/crontabs/user.如果用户从一个不是本系统 管理员的系统移来,则应对该用户的目录结构运行程序来检查.一个不安全系统的用户,可能有与该用户其它文件存在一起的 SUID/SGID 程序,而这个
39、 SUID/SGID 程序属于另一个用户.在这种情况下,如果用 cpio 或 tar 命令将用户的目录结构拷贝到本系统,SUID/SGID 程序也将会拷贝到本 系统而没有任何警告信息.应当在允许用户使用新系统以前先删除这种文件的 SUID/SGID 许可.总之,始终坚持检查所移用户的文件总是更安全些.也可以 用 su 命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户,而不是 root. 8.安全检查 像 find 和 secure 这样的程序称为检查程序,它们搜索文件系统,寻找出 SUID/SGID 文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同 UID/GI
40、D 的用户等等. (1)记帐 UNIX 记帐软件包可用作安全检查工具,除最后登录时间的记录外,记帐系统还能保存全天运行的所有进程的完整记录,对 于一个进程所存贮的信息包括 UID,命令名,进程开始执行与结束的时间,CPU 时间和实际消耗的时间,该进程是否是 root 进程,这将有助于系统管理员了 解系统中的用户在干什么.acctcom 命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存在文件/usr/adm/pacct* 中,/usr/adm/pacct 是当前记录文件,/usr/adm/pacctn 是以前的记帐文件(n 为整型数).若有若干个记帐文件要查看,可在 acc
41、tcom 命令中指定文件名: acctcom /usr/adm/pacct? /usr/adm/pacct 要检查的问题的其中之一是:在 acctcom 的输出中查找一个用户过多的登录过程,若有,则说明可能有人一遍遍地尝试登录, 猜测口令,企图非法进入系统.此外,还应查看 root 进程,除了系统管理员用su 命令从终端进入 root,系统启动,系统停止时间,以及由 init(通常 init 只启动getty,login,登录 shell),cron 启动的进程和具有 root SUID 许可的命令外,不应当有任何root 进程.由记帐系统也可获得有关每个用户的 CPU 利用率,运行的进程数等
42、统计数据. (2)其它检查命令 *du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的磁盘块数.可用于检查用户对文件系统的使用情况. *df:报告整个文件系统当前的空间使用情况.可用于合理调整磁盘空间的使用和管理. *ps: 检查当前系统中正在运行的所有进程.对于用了大量 CPU 时间的进程, 同时运行了许多进程的用户,运行了很长时间但用了很少 CPU 时间的用户进程应当深入检查.还可以查出运行了一个无限制循环的后台进程的用户,未注销户头就 关终端的用户(一般发生在直接连线的终端). *who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用户的登录时间,登录终端. *
43、su:每当用户试图使用 su 命令进入系统用户时,命令将在/usr/adm/sulog 文件中写一条信息,若该文件记录了大量试图用 su 进入 root 的无效操作信息,则表明了可能有人企图破译root 口令. *login: 在一些系统中,login 程序记录了无效的登录企图(若本系统的 login 程序不做这项工作而系统中有 login 源程序,则应修改 login).每天总有 少量的无效登录,若无效登录的次数突然增加了两倍,则表明可能有人企图通过猜测登录名和口令,非法进入系统. (3)安全检查程序的问题 关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防诱骗.如 find
44、命令,如果碰 到路径名长于 256 个字符的文件或含有多于 200 个文件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或大目录隐藏 SUID 程序,使 其逃避检查(但find 命令会给出一个错误信息,系统管理员应手工检查这些目录和文件).也可用 ncheck 命令搜索文件系统,但它没有 find 命令指定 搜索哪种文件的功能.如果定期存取.profile 文件,则检查久未登录用户的方法就不奏效了.而 用户用 su 命令时,除非用参数-,否则 su 不读用户的.profile. 有三种方法可寻找久未登录的帐户: . UNIX 记帐系统在文件/usr/adm/acct/sum/
45、login 中为每个用户保留了最后一次登录日期.用这个文件的好处是,该文件由系统维护,所 以可完全肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新 loginlog 文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可能就被 清除了. . /etc/passwd 文件中的口令时效域将能告诉系统管理员,用户的口令是否过期了,若过期,则意味着自过期以来,户头再未被用过.这一方法的好处在于 系统记录了久未用的户头,检查过程简单,且不需要记帐系统所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效,而且这一方法仅在口令的最大 有效期(只有几周)才是准确的. . 系统管理员可以写
46、一个程序,每天(和重新引导系统时)扫描/etc/wtmp,自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序,并且时 间准确,缺点是要自己写程序.以上任何方法都可和/usr/adm/sulog 文件结合起来,查出由 login 或 su 登录户头的最后登录时间.如果有人存 心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐文件,使系统管理员不 能发现破坏者干了些什么.这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味 着系统已被人窃密. (
47、4)系统泄密后怎么办? 发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对肇事用户.如果该用户所做的事 不是蓄意的,而且公司没有关于“破坏安全“的规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如果该用户造成了某些损坏,则应当报 告有关人士,并且应尽可能地将系统恢复到原来的状态.如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为 root 且本系统的文件和程序已经 泄密了.系统管理员应当想法查出谁是肇事者,他造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID 和 SGID,设备文件.如果系统 安全被一个敌对的用户破坏了,应当采用
48、下面的步骤: . 关系统,然后重新引导,不要进入多用户方式,进入单用户方式. . 安装含有本系统原始 UNIX 版本的带和软盘. . 将/bin,/usr/bin,/etc,/usr/lib 中的文件拷贝到一个暂存目录中. . 将暂存目录中所有文件的校验和(用原始版本的 suM 程序拷贝做校验和, 不 要用/bin 中的 suM 程序做)与系统中所有对就的文件的校验和进行比较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是由于安装了新版 本的程序,确认一相是否的确是安装了新版本程序.如果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有命令. . 在确认系统中的命令还未
49、被窜改之前,不要用系统中原命令.用暂存目录中的 shell,并将PATH 设置为仅在暂存目录中搜索命令. . 根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取许可. . 检查所有系统目录的存取许可,如果用了 perms,检查 permlist 文件是否被窜改过. . 如果系统 UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员从未修改过核心,则应当认为,一个非法者“很能干“,从暂存缓冲区重新装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文件,但是在检查备份中的“有趣“文件之前,不能做文件恢复. . 改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员得到新口令. . 当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己的文件和目录是否潜伏着危害(如 SUID 文件,特洛依木马,任何人可写的目录),并报告系统管理员任何异乎寻常的情况. . 设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞.第一次安装 UNIX 系 统时,可以将shell,sum 命令,所有文件的校验和存放在安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再从原版系统带上 重新装入文件,可以安装备份介质,装入shell 和 su
