2022年Unix系统管理员安全问题.docx

《2022年Unix系统管理员安全问题.docx》由会员分享，可在线阅读，更多相关《2022年Unix系统管理员安全问题.docx（22页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、个人收集整理仅供参考学习本文从系统治理员的角度争论安全问题. 系统治理员是治理系统的人: 启动系统 , 停止系统运行 , 安装新软件 , 增加新用户 , 删除老用户 , 以及完成保持系统进展和运行的日常事务工作.1. 安全治理安全治理主要分为四个方面:(1) 防止未授权存取 : 这是运算机安全最重要的问题: 未被使用系统的人进入系统. 用户意识 , 良好的口令治理 由系统治理员和用户双方协作, 登录活动记录和报告 , 用户和网络活动的周期检查 , 这些都是防止未授权存取的关键.(2) 防止泄密 : 这也是运算机安全的一个重要问题. 防止已授权或未授权的用户相互存取相互的重要信息 . 文件系统查

2、帐 ,su 登录和报告 , 用户意识 , 加密都是防止泄密的关键.(3) 防止用户拒绝系统的治理 : 这一方面的安全应由操作系统来完成 . 一个系统不应被一个有意试图使用过多资源的用户损害 . 不幸的是 ,UNIX 不能很好地限制用户对资源的使用 , 一个用户能够使用文件系统的整个磁盘空间 , 而UNIX 基本不能阻挡用户这样做 . 系统治理员最好用 PS命令 , 记帐程序 df 和 du 周期地检查系统. 查出过多占用 CUP的进程和大量占用磁盘的文件 .(4) 防止丢失系统的完整性 : 这一安全方面与一个好系统治理员的实际工作 例如: 周期地备份文件系统 , 系统崩溃后运行 fsck检查,

3、 修复文件系统 , 当有新用户时 , 检测该用户是否可能使系统崩溃的软件 和保持一个牢靠的操作系统有关 即用户不能常常性地使系统崩溃. 本文其余部分主要涉及前两个问题, 第三个问题在 安全查帐 一节争论 .文档来自于网络搜寻2. 超级用户一些系统治理命令只能由超级用户运行. 超级用户拥有其他用户所没有的特权, 超级用户不管文件存取许可方式如何, 都可以读 , 写任何文件 , 运行 任何程序 . 系统治理员通常使用命令 : /bin/su或以 root进入系统从而成为超级用户. 在后面文章中以 #表示应敲入必需由超级用户运行的命令, 用$表示应敲入由全部其他用户运行的命令.文档来自于网络搜寻3.

4、 文件系统安全 文档来自于网络搜寻(1) UNIX 文件系统概述UNIX文件系统是 UNIX系统的心脏部分 , 供应了层次结构的目录和文件. 文件系统将磁盘空间划分为 每 1024 个字节一组 , 称为 block也有用 512 字节为一块的 , 如:SCOXENIX. 编号从0 到整个磁盘的最大块数. 全部块可划分为四个部分, 块 0 称为引导块 , 文件系统不用该块; 块1 称为专用块 , 专用块含有很多信息 , 其中有 磁盘大小和全部块的其它两部分的大小. 从块 2开头是 i 节点表 ,i节点表中含有 i 节点, 表的块数是可变的, 后面将做争论 .i节点表之后是 闲暇储备块 数据存储块

5、 , 可用于存放文件内容 . 文件的规律结构和物理结构是非常不同的, 规律结构是用户敲入cat 命令后所看到的文件 , 用户可得到表示文件内容的字符流. 物 理结构是文件实际上如何存放在磁盘上的储备格式. 用户认为自己的文件是边疆的字符流, 但实际上文件可能并不是以边疆的方式存放在磁盘上的, 长于一块的文件通常将分散地存放在盘上 . 然而当用户存取文件时,UNIX 文件系统将以正确的次序取各块, 给用户供应文件的规律结构 .当然, 在 UNIX 系统的某处肯定会有一个表, 告知文件系统如何将物理结构转换为规律结构 . 这就涉及到 i 节点了 .i节点是一个 64 字节长的表 , 含有有关一个文

6、件的信息 , 其中有文件大小 , 文件全部者 , 文件存取许可方式, 以及文件为一般文件 , 目录文件仍是特殊文件22 / 15等. 在 i 节点中最重要的哪一项磁盘地址表. 该表中 有 13 个块号 . 前 10 个块号是文件前 10 块的存放地址 . 这 10 个块号能给出一个至多10块长的文件的规律结构, 文件将以块号在磁盘地址表中显现的次序依次取相应的块 . 当文件长于 10 块时又怎样呢 .磁盘地址表中的第十一项给出一个块号 , 这个块号指出的块中含有256 个块号 , 至此 , 这种方法满意了至多长于 266 块的文件 272,384字节 . 假如文件大于266 块, 磁盘地址表的

7、第十二项给出一个块号, 这个块号指出的块中含有256 个块号 , 这 256 个块号 的每一个块号又指出一块, 块中含 256 个块号 , 这些块号才用于取文件的内容. 磁盘地址中和第十三项索引寻址方式与第十二项类似, 只是多一级间接索引 . 这 样, 在 UNIX系统中 , 文件的最大长度是16,842,762块, 即17,246,988,288字节, 有幸是是 UNIX系统对文件的最大长度 一般为 1 到 2M字节 加了更实际的限制 , 使用户不会无意中建立一个用完整个磁盘窨全部块的文件.文件系统将文件名转换为 i 节点的方法实际上相当简洁. 一个目录实际上是一个含有目录表的文件: 对于目

8、录中的每个文件 , 在目录表中有一个入口项, 入口项中含 有文件名和与文件相应的i 节点号 . 当用户敲入 cat xxx时, 文件系统就在当前目录表中查找名为xxx 的入口项 , 得到与文件 xxx 相应的 i 节点号 , 然后开头取含有文件xxx 的内容的块 .文档来自于网络搜寻(2) 设备文件UNIX 系统与边在本系统上的各种设备之间的通讯, 通过特殊文件来实现 ,就程序而言 , 磁盘是文件 ,MODEM是文件 , 甚至内存也是文件 . 全部连接到系统上的设备都在/dev 目录中有一个文件与其对应 . 当在这些文件上执行I/O操作时 , 由 UNIX 系统将 I/O 操作转换成实际设备的

9、动作 . 例如 , 文件 /dev/mem 是系统的内存 , 假如 cat 这个文件 , 实际上是在终端显示系统的内存. 为了安全起见 , 这个文件对一般用户是不行读的. 由于在任一给定时间 , 内存区可能含有用户登录口令或运行程序的口令, 某部分文件的编辑缓冲区, 缓冲区可 能含有用 ed -x命令解密后的文本 , 以及用户不愿让其他人存取的种种信息.在/dev 中的文件通常称为设备文件, 用 ls /dev命令可以看看系统中的一些设备:acuo 呼叫自动拨号器console系统掌握台 dsknn块方式操作磁盘分区kmem核心内存mem内存lp打印机mto 块方式操作磁带rdsknn流方式操

10、作的磁盘分区rmto流方式操作的磁带 swap 交换区syscon系统终端ttynn终端口x25 网络端口等等 文档来自于网络搜寻(3) /etc/mknod命令用于建立设备文件 . 只有 root能使用这个命令建立设备文件. 其参数是文件名 , 字母 c 或 b分别代 表字符特殊文件或块特殊文件, 主设备号 , 次设备号 . 块特殊文件是像磁带 , 磁盘这样一些以块为单位存取数据的设备. 字符特殊文件是如像终端, 打印 机,MODEM或, 者其它任何与系统通讯时 , 一次传输一个字符的设备, 包括仿照对磁盘进行字符方式存取的磁盘驱动器.主设备号指定了系统子程序 设备驱动 程序 , 当在设备上

11、执行 I/O 时, 系统将调用这个驱动程序 . 调用设备驱动程序时 , 次设备号将传递给该驱动程序 次设备规定具体的磁盘驱动器 , 带驱动器 , 信号线编号 , 或磁盘分区 . 每种类型的设备一般都有自己的设备驱动程序. 文件系统将主设备号和次设备号存放在i 节点中的磁盘地址表内, 所 以没有磁盘空间安排给设备文件 除 i 节点本身占用的磁盘区外. 当程序试图在设备文件上执行I/O 操作时 , 系统识别出该文件是一个特殊文件, 并调用由主设备号指定的设备驱动程序, 次设备号作为调用设备驱动程序的参数 .文档来自于网络搜寻(4) 安全考虑将设备处理成文件 , 使得 UNIX程序独立于设备 , 即

12、程序不必肯定要明白正使用的设备的任何特性 , 存取设备也不需要记录长度, 块大小 , 传输速度 , 网络协议等 这样一些信息 , 全部烦人的细节由设备驱动程序去关怀考虑, 要存取设备 , 程序只须打开设备文件, 然后作为一般的UNIX文件来使用 . 从安全的观点来看这样处理很好 , 由于任何设备上进行的I/O 操作只经过了少量的渠道 即设备文件 . 用户不能直接地存取设备. 所以假如正确地设置了磁盘分区的存取许可 , 用户就只 能通过 UNIX 文件系统存取磁盘. 文件系统有内部安全机制 文件许可 .不幸的是 , 假如磁盘分区设备得不正确, 任何用户都能够写一个程序读磁盘分区中的每个文件, 作

13、法很简洁 : 读一 i 节点 , 然后以磁盘地址表中块号显现的次序, 依次读这些块号指出的存有文件内容的块 . 故除了 root以外 , 决不要使盘分区对任何人可写 . 由于全部者 , 文件存取许可方式这样一些信息存放于i 节点中 , 任何人只要具有已安装分区的写许可, 就能设置任何文件的 SUID 许可, 而不管文件的所有者是谁 , 也不必用 chmod 命令 , 仍可避过系统建立的安全检查 . 以上所述对内存文件mem,kmem和对换文件 swap也是一样的 . 这些文件含有用户信息 , 一个 耐心 的程序可以将用户信息提取出来. 要防止磁盘分区 以及其它设备 可读可写 , 应当在建立设备

14、文件前先用umask 命令设置文件建立屏蔽值. 一般情形下 ,UNIX 系统上的终端口对任何人都是可写的, 从而使用户可以用write命令发送信息 . 虽然 write命令易引起安全方面的问题, 但大多数用户觉得用write得到其他用户的信息很便利, 所以系统将终端设备的存取许可设置成对全部用户可写./dev目录应当是 755 存取许可方式 , 且属root全部 . 不答应除 root外的任何用户读或写盘分区的原就有一例外, 即一些程 序 通常是数据库系统 要求对磁盘分区直接存取, 解决这个问题的体会的盘分区应当由这种程序专用 担心装文件系统 , 而且应当告知使用这种程序的用户, 文件安全爱护

15、将由程序自己而不是UNIX 文件系统完成 .文档来自于网络搜寻(5) find命令find命令用于搜寻目录树 , 并对目录树上的全部文件执行某种操作, 参数是目录名表 指出从哪些起点开头搜寻 , 仍可给出一个或多个选项, 规定对每个文件执行什么操作.find . -print将列出当前工作目录下的目录树的每一个文件.find / -user bob -print将列出在系统中可找到的属于bob 用户的全部文件 .find /usr/bob -perm 666 -print将列出 /usr/bob目录树下全部存取许可为666 的文件 .如将 666 改为 -666 就将列出全部具有包含了666

16、在内的存取许可方式的文件 如 777.find /usr/bob -typeb -print将列出 /usr/bob目录树下全部块特殊文件c 为字符特殊文件.find/ -userroot-perm -4000 -exec ls-l;是一个较复杂一点的命令,-execCOMMAND; 答应对所找到的每个文件运行指定的命令COMMAN如D.所找到的文件名替换 .COMMAN必D 须以 ;终止 .COMMAN中D含有 ,就 将由 find以上举例介绍find的用法 , 各选项可组合使用以达到更强的功能.文档来自于网络搜寻(6) secure程序系统治理员应当做一个程序以定期检查系统中的各个系统文件

17、, 包括检查设备文件和SUID,SGID 程序 , 特殊要留意检查 SUID,SGID 程序 , 检查 /etc/passwd和/etc/group文件 , 查找久未登录的户头和校验各重要文件是否被修改. 源程序清单将在今后发表文档来自于网络搜寻(7) ncheck命令用于检查文件系统 , 只用一个磁盘分区名作为参数, 将列出 i 节点号及相应的文件名.i节点相同的文件为建链文件.留意 : 所列出的清单文件名与mount 命令的第一个域相同的文件名前部分将不会列出来 . 由于是做文件系统内部的检查,ncheck并不知道文件系统安装饰以上 部分的目录 .也可用此命令来搜寻文件系统中全部的SUID

18、 和 SGID 程序和设备文件 , 使用 -s 选项来完成此项功能 .文档来自于网络搜寻(8) 安装和拆卸文件系统UNIX 文件系统是可安装的 , 这意味着每个文件系统可以连接到整个目录树的任意节点上 根目录总是被安装上的 . 安装文件系统的目录称为安装饰./etc/mount命令用于安装文件系 统, 用这条命令可将文件系统安装在现有目录结构的任意处. 安装文件系统时, 安装饰的文件和目录都是不行存取的, 因此未安装文件系统时 , 不要将文件存入安装饰目录. 文件系统安装后 , 安装饰的存取许可方式和全部者将转变为所安装的文件根目录的许可方式和全部者. 安装文件系统时要当心: 安装饰的属性会转

19、变 . 仍要留意新建的文件 , 除非新文件系统是由标 准文件建立的 , 系统标准文件会设置适当的存取许可方式 , 否就新文件系统的存取许可将是777. 可用 -r 选项将文件系统安装成只读文件系统. 需要写爱护的带驱动器和磁盘应当以这种方式来安 装. 不带任何参数的 /etc/mount可获得系统中所安装的文件系统的有关信息. 包括 : 文件系统被安装的安装饰目录, 对应/dev中的哪个设备 , 只读或可读写 , 安装时间和日期等 . 从安全的观点来讲, 可安装系统的危急来自用户可能恳求系统治理员为其安装用户自 己的文件系统 . 假如安装了用户的文件系统, 就应在答应用户存取文件系统前, 先扫

20、描用户的文件系统 , 搜寻 SUID/SGID程序和设 备文件 . 在除了 root 外任何人不能执行的目录中安装文件系统 , 用 find命令或 secure 列出可疑文件 , 删除不属用户全部的文件的SUID/SGID 许可 . 用户的文件系统用完后, 可用 umount 命令卸下文件系统. 并将安装饰目录的全部者改回root, 存取许可改为755.文档来自于网络搜寻(9) 系统目录和文件UNIX 系统中有很多文件不答应用户写, 如:/bin,/usr/bin,/usr/lbin,/etc/passwd,/usr/lib/crontab,/unix,/etc/rc,/etc/inittab

21、这样一些文件和目录 大多数的系统目 录, 可写的目录答应移动文件, 会引起安全问题 . 系统治理员应常常检查系统文件和目录的许可权限和全部者. 可做一个程序依据系统供应的规章文件 在 /etc/permlist文件中 所描述的文件全部者和许可权规章检查各文件. 源程序清单将在今后发表留意 : 假如系统的安全治理不好,或系统是新安装的, 其安全程序不够高, 可以用 make方式在安全强的系统上运行上述程序, 将许可规章文件拷贝到新系统来, 再以设置方式在新系统上运行上述 程序 , 就可提高本系统的安全程序. 但要记住 , 两个系统必需运行相同的UNIX系统版本 .文档来自于网络搜寻4. 作为 r

22、oot运行的程序在 UNIX系统中 , 有些程序由系统作为root 进程运行 . 这些程序并不总是具有SUID许可 , 由于其不少程序仅由root运行, 系统治理员需要清晰这些程序做什么, 以及这些程序仍将运行其它什么程序 .文档来自于网络搜寻1 启动系统当某些 UNIX 系统 如 SCOUNIX/XENIX 启动时 , 是以被称为单用户的方式运行, 在这种方式中一般用户不能登录 , 唯有的进程是 init,swapper, 以及一些由系统治理员从掌握台运行的进程.UNIX 系统的单用户方式启动 , 使系统治理员能在答应一般用户登录以前, 先检查系统操作, 确保 系统一切正常 , 当系统处于单

23、用户方式时, 掌握台作为超级用户 , 命令揭示是 #, 有些 UNIX系统不要确认超级用户口令就认可掌握台是root,给出 #提 示符 . 这就可能成为一个安全问题 .文档来自于网络搜寻2init进程UNIX系统总是以某种方式或称为某种级运行, 系统有如干种运行级 , 这些运行级由init进程控 制.UNIX 系统启动时以单用户方式运行, 也叫 1 级或 S 级. 对于其他用户登录进入系统,UNIX 有一种多用户运行方式 , 也叫 2 级.init进程掌握系统运行级, 它读入文件 /etc/ inittab,该文件具体地规定了哪些进程在哪一级运行. 当 root敲入 initn 数字 , 系统

24、就进入 n 级.init读该文件以确定终止哪些进程, 启动哪些进程 . 有效的运行级的数值是从0 到 6 与 s.留意 : 由 init建立 的进程以 UID 为 0 运行 root从/etc/inittab运行的程序也作为 root 运行 , 所以系统治理员要确保自己知道/etc/inittab中的程序做什么工作 , 确保这些程序以及这些程序所在的目录直到/ 和/etc /inittab除 root外无人可写 .文档来自于网络搜寻(3) 进入多用户当 UNIX 系统进入多用户方式时, 将寝化一系列大事 , 接着开头执行 gettys,答应其他用户登 录进入系统. 假如再看看 /etc/ini

25、ttab文件 , 会看到 gettys定义在运行级 2, 至少三个shell程序 /etc/brc,/etc /bcheckrc,/etc/rc*也定义在运行级 2. 这些程序都在 gettys启动前运行 . 这些 shell程序作为 root运行, 也不能仅对 root可写仍应当检查 shell程序运行的命令 , 由于这些命令也将作为root运行 .文档来自于网络搜寻(4) shutdown命令用 shutdown 命令关系统 ,shutdown shell程序发送警告通知全部用户离开系统, 在 给定的期限时间 到了后 , 就终止进程 , 拆卸文件系统 , 进入单用户方式或关机状态. 一旦进

26、入单用户方式 ,全部的 gettys停止运行 , 用户再不能登录 . 进入关机状态后可将系统关电. shutdown 仅能由作为 root登录的用户从系统掌握台上运行. 所以任何的 shutdown 运行的命令仅能对root可写 .文档来自于网络搜寻(5) 系统 V 的 cron 程序cron 在 UNIX系统是多用户方式时运行, 依据规定的时间支配执行指定的命令, 每隔一分钟检查 一次文件 /usr/lib/crontab,查找是否有应当运行的程序. 假如找到要运行的程序, 就运行该程序 , 否就睡眠等待一分钟 .实际的 /usr/lib/crontab用于依据全天的规章时间表运行程序 ,

27、也可在夜晚运行白天不愿运行怕降低其他用户速度的程序. 通常由 cron 运行的 程序是如记帐 , 存文件这样的程序.cron一般在系统进入多用户后由/etc/rc启动 , 当 shutdown 运行 killall命令时便终止运行. 由 cron运行的程序作为root,所以应当留意放什么程序在crontab中, 仍要确保 /usr/lib/crontab和该表中列出的任何程序对任何人不行写 . 假如用户需要由 cron 执行一个程序 , 系统治理员可用 su 命令在 crontab表中建立一个入口, 使用户的程序不能获得 root的权限 .文档来自于网络搜寻(6) 系统 V 版本 2 之后的

28、cron 程序在系统 V 版本 2 中,cron被修改成答应用户建立自己的crontab入口 ,/usr /lib/crontab文件不再存在 , 由目录 /usr/spool/cron/crontabs中的文件代替 . 这些文件的格式与crontab相同, 但 每个文件与系统中的一个用户对应, 并以某用户的名义由cron 运行 . 假如想限制能建立crontab的用户 , 可在文件 /usr/lib/cron /cron.allow文件中列出答应运行crontab命令的用户 . 任何未列于该文件的用户不能运行crontab.反之, 如更情愿列出不答应运行 crontab命令的用户 , 就可将

29、他们列入 /usr/lib/cron/ cron.deny文件中 , 未列于该文件的其他用户将被答应建立crontab.注 意: 如两个文件都存在, 系统将使用 cron.allow,忽视 cron.deny.假如两个文件都不存在, 就只有 root可运行 crontab.所以 , 如 要答应系统中的全部用户都可运行crontab命令 , 应当建立一个空的 cron.deny文件 , 假如 cron.allow也存在 , 就删除该文件 . 这个版本 的 cron 命令的安全程度比前一个高, 由于用户只能看自己的crontab,系统治理员也不必担忧其他用户的程序是否会作为root运行 , 由于答

30、应每个系统登录用户有自己的crontab,也简化了对程序必需由 cron运行 , 但不必作为 root运行的系统程序的处理 . 必需确保 root的crontab文件仅对 root可写 , 并且该文件所在的目录及全部的父目录也仅对 root可写 .文档来自于网络搜寻7/etc/profile每当用户 包括 root在内 登录时 , 由 shell执行 /etc/profile文件 , 应确保这个文件以及从这个文件运行的程序和命令都仅对root可写 .文档来自于网络搜寻5. /etc/passwd文件/etc/passwd文件是 UNIX 安全的关键文件之一 . 该文件用于用户登录时校验用户的口

31、令, 当然应当仅对 root可写. 文件中每行的一般格式为:LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SH每ELL行的头两项是登录名和加密后的口令 , 后面的两个数是 UID 和 GID, 接着的哪一项系统治理员想写入的有关该用户的任何信息,最终两项是两个路径名: 一个是 安排给用户的 HOME目录 , 其次个是用户登录后将执行的shell如为空格就缺省为/bin/sh.文档来自于网络搜寻(1) 口令时效/etc/passwd文件的格式使系统治理员能要求用户定期地转变他们的口令. 在口令文件中可以看到 , 有些加密后的口令有逗号, 逗号后有几个字符和一个冒号

32、. 如: steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/shrestrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh pat:xmotTVoyumjls:0:0:admin:/:/bin/sh可以看到 ,steve的口令逗号后有 4 个字符 ,restrict有 2 个,pat没有逗号 . 逗号后第一个字符是口令有效期的最大周数, 其次个字符打算了用户再次修改口信之前, 原口令应使用的最小周数 这就防止了用户改了新口令后马上又 改回成老口令 . 其余字符说明口令最新修改时间. 要能读懂口令中逗号后的信息, 必需第一知道如何

33、用passwd_esc 计数, 计数的方法是 : .=0 /=1 0-9=2-11 A-Z=12-37 a-z=38-63系统治理员必需将前两个字符放进/etc/passwd文件, 以要求用户定期的修改口令, 另外两个字符当用户修改口令时, 由 passwd 命令填入 . 留意 : 如想让用户修改口令 , 可在最终一次口令被修改时 , 放两个 .,就下一次用户登录时将被要求修改自己的口令. 有两种特殊情况:.最大周数 第一个字符 小于最小周数 其次个字符 , 就不答应用户修改口令, 仅超级用户可以修改用户的口令 .第一个字符和其次个字符都是.,这时用户下次登录时被要求修改口令, 修改口令后,p

34、asswd 命令将 . 删除 , 此后再不会要求用户修改口令.文档来自于网络搜寻(2) UID和 GID/etc/passwd中 UID 信息很重要 , 系统使用 UID 而不是登录名区分用户 . 一般来说 , 用户 的UID 应当是独一无二的, 其他用户不应当有相同的UID 数值 . 依据惯例 , 从 0 到 99 的 UID 保留用作系统用户的 UIDroot,bin,uucp等. 假如在 /etc/passwd文件中有两个不同的入口项 有相同的 UID, 就这两个用户对相互的文件具有相同的存取权限.文档来自于网络搜寻6. /etc/group文件/etc/group文件含有关于小组的信息

35、,/etc/passwd中的每个 GID 在本文件中应当有相应的入口项 , 入口项中列出了小组名和小组中的用户 . 这样可便利地明白每个小组的用户, 否就必需依据 GID在/etc/passwd文件中从头至尾地查找同组用户./etc/group文件 对小组的许可权限的掌握并不是必要的, 由于系统用 UID,GID 取自/etc/passwd打算文件存取权 限, 即使 /etc/group文件不存在于系统中 , 具有相同的 GID用户也可以小组的存取许可权限共享文件 . 小组就像登录用户一样可以有口令. 假如 /etc/group文件入口项的其次个域为非 空, 就将被认为是加密口令,newgrp

36、 命令将要求用户给出口令, 然后将口令加密 , 再与该域的加密口令比较 . 给小组建立口令一般不是个好作法. 第一 , 假如 小组内共享文件 , 如有某人猜着小组口令 , 就该组的全部用户的文件就可能泄漏; 其次 , 治理小组口令很费事 , 由于对于小组没有类似的passwd 命令 . 可用 /usr/lib/makekey生成一个口令写入 /etc/group.以下情形必需建立新组 :(1) 可能要增加新用户, 该用户不属于任何一个现有的小组.(2) 有的用户可能常常需要独自为一个小组.(3) 有的用户可能有一个SGID程序 , 需要独自为一个小组 .(4) 有时可能要安装运行SGID的软件

37、系统 , 该软件系统需要建立一个新组.要 增加一个新组 , 必需编辑该文件 , 为新组加一个入口项 .由于用户登录时 , 系统从/etc/passwd文件中取 GID, 而不是从 /etc/group中取 GID, 所以 group 文件和口令文件应当具有一样性 .对于一个用户的小组 ,UID 和 GID 应当是相同的 . 多用户小组的GID 应当不同于任何用户的 UID, 一般为 5 位数, 这样在查看 /etc/passwd文件 时, 就可依据 5 位数据的 GID 识别多用户小组 , 这将削减增加新组, 新用户时可能产生的混淆.文档来自于网络搜寻7. 增加 , 删除, 移走用户(1) 增

38、加用户增加用户有三个过程 :.在/etc/passwd文件中写入新用户的入口项.为新登录用户建立一个HOME目录 .在/etc/group中为新用户增加一个入口项.在 /etc/passwd文件中写入新的入口项时, 口令部分可先设置为NOLOGIN以,免有人做为此新用户登录 . 在修改文件前 , 应 mkdir/etc/ptmp,以免他人同时修改此文件. 新用户一般独立为一个新组 ,GID 号与 UID号相同 除非他要加入目前已存在的一个新组,UID 号必需和 其他人不同 ,HOME目录一般设置在 /usr或/home 目录下建立一个以用户登录名为名称的目录做为其主目录 .文档来自于网络搜寻(

39、2) 删除用户删除用户与加用户的工作正好相反, 第一在 /etc/passwd和/etc/group文件中删除用户的入口 项, 然后删除用户的 HOME目录和全部文件 .rm -r/usr/loginname删除整个目录树 . 假如用户在 /usr/spool/cron/crontabs中有 crontab文件 , 也应当删除 .文档来自于网络搜寻(3) 将用户移到另一个系统这是一个复杂的问题 , 不只是拷贝用户的文件和用户在/etc/passwd文件中的入口项 . 第一一个问题是用户的 UID 和 GID可能已经用于另一个系统, 如是显现这种情形, 必需给要移的用户安排另外的UID 和 GI

40、D, 假如转变了用户的UID 和 GID, 就必需搜寻该用户的全部文件, 将文件的原 UID 和 GID 改成新的 UID 和 GID. 用 find命令可以完成这一修改:find . -user olduid -exec chown newuid ; find . -group oldgid -exec chgrp newgid ;也 许仍要为用户移走其它一些文件:/usr/mail/user和/usr/spool/cron/crontabs/user.假如用户从一个不是本系统治理员的系统移来, 就应对该用户的目录结构运行程序来检查. 一个担心全系统的用户, 可能有与该用户其它文件存在一起的

41、SUID/SGID 程序 , 而这个SUID/SGID 程序属于另一个用户 . 在这种情形下 , 假如用 cpio 或 tar命令将用户的目录结构 拷贝到本系统 ,SUID/SGID 程序也将会拷贝到本系统而没有任何警告信息. 应当在答应用户使用新系统以前先删除这种文件的SUID/SGID 许可 . 总之 , 始终坚持检查所移用户的文件总是更安全些 . 也可以用 su 命令进入用户的户头, 再拷贝用户文件, 这样文件的全部者就是该用户 , 而不是 root.文档来自于网络搜寻8. 安全检查像 find和 secure 这样的程序称为检查程序, 它们搜寻文件系统, 查找出 SUID/SGID文件

42、 , 设备文件 , 任何人可写的系统文件, 设有口令的登录用户 , 具有相同 UID/GID 的用户等等 .文档来自于网络搜寻(1) 记帐UNIX 记帐软件包可用作安全检查工具 , 除最终登录时间的记录外 , 记帐系统仍能储存全天运行的全部进程的完整记录 , 对 于一个进程所存贮的信息包括 UID, 命令名 , 进程开头执行与终止的时间 ,CPU 时间和实际消耗的时间 , 该进程是否是 root 进程 , 这将有助于系统治理员明白系统中的用户在干什么 .acctcom 命令可以列出一天的帐目表 . 有明, 系统中有多个记帐数据文件 , 记帐信息储存在文件 /usr/adm/pacct* 中,/

43、usr/adm/pacct 是当前记录文件,/usr/adm/pacctn是以前的记帐文件n 为整型数 . 如有如干个记帐文件要查看, 可在acctcom 命令中指定文件名: acctcom /usr/adm/pacct./usr/adm/pacct要检查的问题的其中之一是 : 在 acctcom 的输出中查找一个用户过多的登录过程, 如有 , 就说明可能有人一遍遍地尝试登录 ,推测口令 , 妄想非法进入系统 . 此外, 仍应查看 root进程 , 除了系统治理员用su 命令从终端进入root,系统启动 , 系统停止时间 , 以及由 init通常 init只启动 getty,login,登录

44、shell,cron启动的进程和具有root SUID许可的命令外 , 不应当有任何 root进程 . 由记帐系统也可获得有关每个用户的CPU利用率 , 运行的进程数等统计数据.文档来自于网络搜寻(2) 其它检查命令*du: 报告在层次目录结构 当前工作目录或指定目录起 中各目录占用的磁盘块数 . 可用于检查用户对文件系统的使用情形 .*df:报告整个文件系统当前的空间使用情形. 可用于合理调整磁盘空间的使用和治理.*ps:检查当前系统中正在运行的全部进程. 对于用了大量CPU时间的进程 ,同时运行了许多进程的用户 , 运行了很长时间但用了很少 CPU时间的用户进程应当深化检查 . 仍可以查出

45、运行了一个无限制循环的后台进程的用户 , 未注销户头就 关终端的用户 一般发生在直接连线的终端 .*who: 可以告知系统治理员系统中工作的进展情形等等很多信息, 检查用户的登录时间 , 登录终端 .*su: 每当用户试图使用su 命令进入系统用户时 , 命令将在 /usr/adm/sulog文件中写一条信息, 如该文件记录了大量试图用su 进入 root的无效操作信息 , 就说明白可能有人妄想破译root口令 .*login:在一些系统中 ,login程序记录了无效的登录妄想 如本系统的 login程序不做这项工作而系统中有 login源程序 , 就应修改 login.每天总有 少量的无效登录 , 如无效登录的次数突然增加了两倍 , 就说明可能有人妄想通过推测登录名和口令, 非法进入系统 .文档来自于网络搜寻(3) 安全检查程序的问题关于以上的检查方法的一个警告, 如有诱骗 , 就这些方法中没有几个能防诱骗. 如 find命令, 假如碰 到路径名长于 256 个字符的文件或含有多于200 个文件的目录 , 将舍弃处理该文件或 目录 , 用户就有可