0755

所有表示为大写字母的权限均为无效(故障)权限,因为缺少了相应的x权限.

几个权限位映射参考

/usr/lib/polkit-1/polkit-agent-helper-1

/usr/lib64/dbus-1/dbus-daemon-launch-helper

/usr/lib64/vte-2.91/gnome-pty-helper

/usr/libexec/openssh/ssh-keysign

/usr/libexec/sssd/selinux_child

/usr/libexec/spice-gtk-x86_64/spice-client-glib-usb-acl-helper

/usr/libexec/qemu-bridge-helper

/usr/libexec/abrt-action-install-debuginfo-to-abrt-cache

然后以超级用户或其指定切换到的用户身份执行命令执行完成后直接退回到当前用户。

当用户执行sudo时系统会主动寻找/etc/sudoers文件判断该用户是否有执行sudo的权限

--确认用户具有可执行sudo的权限后让用户输入用户自己的密码确认

1.root执行sudo时不需要输入密码(eudoers文件中有配置root

ALL(ALL)

3./etc/sudoers文件设置为允许用户在不输入该用户的密码的情况下使用所有命令

如设置允许wheel用户组中的用户在不输入该用户的密码的情况下使用所有命令

%wheel

##该文件允许特定用户像root用户一样使用各种各样的命令而不需要root用户的密码

Examples

在文件的底部提供了很多相关命令的示例以供选择这些示例都可以被特定用户或

用户组所使用

指定一系列相互关联的命令当然可以是一个的别名通过赋予该别名sudo权限

Networking

下面是规则配置什么用户在哪台服务器上可以执行哪些命令sudoers文件可以在多个系统上共享

Syntax:

允许sys中户组中的用户使用NETWORKING等所有别名中配置的命令

Allows

允许wheel用户组中的用户在不输入该用户的密码的情况下使用所有命令

%wheel

允许users用户组中的用户像root用户一样使用mount、unmount、chrom命令

%users

允许users用户组中的用户像root用户一样使用shutdown命令

四、实际案例演示

实例1让普通用户fieldyang具有/etc/init.d/nagios脚本重启的权限可以在/etc/sudoers添加如下设置

[roottest

实例2让普通用户fieldyang具有所有超级用户的权限而又不用输入密码

[roottest

实例3针对MySQL数据库的设置让test组中的test用户具备/etc/init.d/mysqld的权限

mysql

实例4针对tomcat的设置让test组中的test用户具备tomcat操作的权限

tomcat

/usr/local/tomcat/bin/shutdown.sh,/usr/local/tomcat/bin/startup.sh

test

/usr/local/tomcat/bin/shutdown.sh,/usr/local/tomcat/bin/startup.sh

[roottest

/usr/local/tomcat/bin/catalina.sh

###

/usr/local/tomcat/bin/startup.sh

[testtest

/usr/local/tomcat/bin/shutdown.sh

一SELinux简介

在SELinux访问控制体系的限制下进程只能访问那些在他的任务中所需要的文件从而实现系统的安全性。

DAC

Control任意式读取控制每个对象都会记录一个拥有者的信息。

只要是对象的拥有就可以获得该对象的完全控制权限。

DAC允许拥有者完全权限。

其他需要读取该对象的时候必须授予适当的权限。

但是每个对象仅有一组拥有者的信息如果需要更复杂的读取控制能力必须使用ACL。

ACL是DAC的延伸在ACL环境下可以为不同的用户设置一组权限对不同的用户设置不同的权限。

MAC

Control强制性读取控制为每一个对象添加一个安全的上下文。

进程和用户除了具备传统的权限之外还必须获得SELinux的授权才能读取对象。

RBAC

Control角色基础读取控制以用户所属的角色进行读取权限判定的动作。

MLS

Security多层次安全以对象的机密等级来决定进程对该对象的读取权限。

Linux安全增强型Linux是美国国家安全局NAS对于强制访问控制的实现在这种访问控制体系的限制下进程只能访问哪些在他的任务中所需的文件。

SELinux在类型强制服务器中合并了多级安全性或一种可选的多类策略并采用了基于角色的控制概念。

在SELinux中定义了许多类型TYPE每一个进程、文件、设备等都必须标识他所属的类型进程只能读取相同类型的文件如果没有相关类型并且SELinux不允许读取的时候则无法读取文件。

SELinux除了约束进程读取文件的能力之外还限制进程对设备、网络联机、通信端口、跨进程通信的读取能力并提供更细致的读取控制。

MAC对访问的控制彻底化对所有的文件、目录、端口的访问都是基于策略设定的可以由管理员自行设定的。

RBAC对于用户只是赋予最小权限。

用户被划分成了一些角色即使是root用户如果不具备sysadm_r的角色的话也不能执行相关的管理。

哪一个角色可以执行哪些域是可以修改的。

安全上下文当启动SELinux的时候所有文件与对象都有安全上下文。

二SELinux状态和应用模式

使用sestatus命令查看系统运行SELinux的状态、应用模式、布尔值以及sestatus.cong文件内列出的文件和进程的安全上下文。

-b显示当前布尔值状态

修改/etc/selinux/config文件以禁用SELInux若要启用SELinux字段应设置为enforcing或permissive

SELINUXdisabled

安全上下文是一组和进程或对象有关的安全属性每一个进程或对象都会记录一条安全上下文将其作为SELinux判断进程是否能读取对象的依据。

1安全上下文格式

USER字段用来记录登录系统后所属的SELinux身份。

USER字段通常以_u为后缀。

ROLE字段

ROLE字段用来存储进程、领域或对象所扮演的角色信息使用ROLE代表多个TYPE的组合ROLE字段通常以_r为后缀。

TYPE字段

TYPE字段用来定义该对象的类别。

TYPE字段通常以_t为后缀

unconfiged_未设置类型

boot_t作为开机文件的类型/boot中的文件多数属于这个类别

sbin_t作为系统管理类型的文件/sbin中的文件属于这个类别

public_content_t公共内容类型文件比如FTP、NFS等服务器中的文件

LEVEL和CATEGORY字段

用来定义其隶属的安全等级和分类。

LEVEL字段定义为s0~S15共16个s0机密等级最低s15机密等级最高。

CATEGORY字段定义为c0~c1023共1024个。

2查看安全上下文

unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023

查看进程安全上下文

/usr/share/doc/procps-3.2.8/FAQ

LABEL

system_u:object_r:admin_home_t:s0

[rootlocalhost

system_u:object_r:admin_home_t:s0

/root

匹配所有格式的扩展属性默认的是user.xxx即^user\.。

获得所有扩展属性值

security.selinuxsystem_u:object_r:admin_home_t:s0

修改文件安全上下文

--reference参考文件使用指定参考文件的安全环境而非指定值。

-R,

使用matchpathcon命令可以得到制定文件的默认SELinux安全上下文。

-N不使用解答

file_context_file文件使用备用file_context文件

[rootlocalhost

system_u:object_r:admin_home_t:s0

使用fixfiles命令修复安全上下文

使用fixfiles命令可以修复RPM软件包里的文件的安全上下文。

-f清楚/tmp目录

RPM软件包名称使用rpm数据库以发现指定数据包中的所有文件和恢复文件的上下文

[rootlocalhost

system_u:object_r:system_cron_spool_t:s0

/etc/crontab

system_u:object_r:user_home_t:s0

/etc/crontab

system_u:object_r:user_home_t:s0-system_u:object_r:system_cron_spool_t:s0

[rootlocalhost

system_u:object_r:system_cron_spool_t:s0

/etc/crontab

使用该命令可以恢复SELinux文件属性即恢复文件的安全上下文。

-R递归处理目录

例恢复/root/anaconda-ks.cfg文件的安全上下文

[rootlocalhost

system_u:object_r:admin_home_t:s0

重新产生安全上下文

如果需要修复非常多的文件的安全上下文则建议重新产生安全上下文为Linux整个系统中的每一个文件重新产生正确的安全上下文。

Linux在开机的时候会检查是否需要启动SELinux子系统以及是否有/.autorelabel文件Linux系统使用fixfiles重新生成Linux系统文件的安全上下文。

[rootlocalhost

SELinux策略是用来定义SELinux的读取规则比如哪一个安全上下文的进程允许或禁止读取哪一个对象。

Linux会把每一个Linux策略类型的资料存储在/etc/selinux策略类型名中的文件或子目录都是用来存储SELinux策略类型的数据

[rootlocalhost

policy.24是该策略类型数据库文件文件名后的数子是该策略类型数据库的版本

2安装和使用策略类型

查看策略类型需要安装setools-console和setools-libs软件包然后才能使用seinfo命令查看。

安装装setools-console和setools-libs软件包

[rootlocalhost

-A列出SELinux的状态、规则布尔值、身份识别、角色、类型等所有信息。

[rootlocalhost

/etc/selinux/targeted/policy/policy.24

Statistics

/etc/selinux/targeted/policy/policy.24

Policy

使用seinfo命令可以查询SELinux的策略提供多少相关规则如果查到的相关类型或者布尔值想要知道详细规则时使用sesearch命令查询。

sesearch命令选项

-T搜索type_transition、type_member和type_change规则

--role_allow搜索角色允许规则

--role_trans搜索role_transition规则

--range_trans搜索range_transition规则

--all搜索所有规则类型

例搜索targeted策略类型中httpd_t读取etc_t类型时所有的规则

[rootlocalhost

/etc/selinux/targeted/policy/policy.24

Found

例查看httpd_can_network_connect布尔值

[rootlocalhost

setsebool命令是用来修改SElinux策略内各项规则的布尔值。

setsebool命令和getsebool命令是SELinux修改和查询布尔值的一套工具组。

当值设置为1、on、true是标识启用布尔值当值为0、false、off时为禁用布尔值。

使用setsebool修改SELinux的布尔值时只能改变当前运行的布尔值Linux系统重启后将继续加载默认配置如果需要永久改变需要使用-P选项。

例启用httpd_can_network_connect的布尔值

[rootlocalhost

例子禁用httpd_can_network_connect的布尔值

[rootlocalhost

使用semodule命令可以管理SELinux策略模块比如显示、安装、升级、删除、激活以及禁用策略模块。

semodule命令选项

【系统】à【管理】à【SELinux管理】打开SELinux维护界面在application-o***r-selinx。

。

1状态

当我们不想让其他用户知道我们的系统版本和内核信息只限登录时就可以修改issue文件当我们想修改登录提示信息时可以修改motd文件。

#修改成其他防止泄漏系统信息

防火墙一种高级访问控制设备置于不同网络安全域之间它通过相关的安全策略来控制允许、拒绝、监视、记录进出网络的访问行为。

防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成。

实质上是指由软硬件组合成的一个在内外网之间构造的一种保护屏障它是一种隔离技术。

因此从物理上区分可以分为软件和硬件防火墙从逻辑上区分可以分为主机和网络防火墙而我们现在要讲到的iptables是属于防火墙中的软件防火墙的范畴但它只是一个命令行工具或者说是一种客户端代理并不是真正的防火墙用户通过这个代理把安全设定执行到真正的防火墙框架中这个框架叫做Netfilter。

防火墙扫描流经它的网络通信通过这样的做法能够过滤掉一些攻击以免其在目标计算机上被执行。

防火墙还可以关闭不使用的端口而且还能禁止特定端口的流出通信封锁特洛伊木马。

最后它可以禁止来自特殊站点的访问从而防止来自不明入侵者的所有通信。

工作于主机或网络的边缘对于进出本主机或网络的报文根据定义好的检查规则作匹配检测对于能够被规则匹配到的报文做出相应处理的组件

主机防火墙

最大优点是它可以配置有状态的防火墙有状态的防火墙能够指定并记住为发送或接收信息包所建立的连接的状态。

防火墙可以从信息包的连接跟踪状态获得该信息。

在决定新的信息包过滤时防火墙

所使用的这些状态信息可以增加其效率和速度。

这里有4种有效状态名称分别为ESTABLISHED、INVALID、NEW和RELATED。

filter

新发出的请求连接追踪模板中不存此连接相关的信息条目因此将其识别为第一次发出的请求。

ESTABLISHED

状态之后连接追踪模板中为其建立的条目失效之前期间内所进行的通信的状态

INVALIED

Netfilter是Linux中的一个子项目它的主要功能是进行数据包过滤、连接跟踪、地址转换等而iptables则是netfilter提供的对用户数据包进行过滤、修改等操作的一种命令行工具当数据包通过网卡进入进入内核时它得先经过iptables的五条链这些链都有相应的处理数据包的规则而我们正是通过在这些链上设置规则来控制管理数据包从而达到防火墙的功能。

每当数据包到达一个链时iptables就会从链中的所有规则逐一开始校验该数据包是否符合规则中限定的条件。

若满足系统就会根据每个规则定义的方法来处理该数据包若不满足iptables则继续检查下一条规则如果该数据包不符合链中的任意规则iptables则会该链的默认策略去处理该数据包。

防火墙4种类型特殊设计的硬件防火墙、数据包过滤型、电路层网关和应用级网关。

安全性能高的防火墙系统都是组合运用多种类型防火墙构筑多道防火墙“防御工事”。

华为、天融信、深信服、H3C、网域、思科、山石网科、中科网威、飞塔、Juniper、绿盟科技、锐捷网络、启明星辰、佑友、网康、网御星云、NETGEAR、中新金盾、梭子鱼、清信安、D-Link、网神、SonicWALL、迪普科技、东软、博达、paloalto、交大捷普、Check

1、金盾抗DDOS防火墙

金盾抗DDOS防火墙是一款针对ISP接入商、IDC服务商开发的专业性比较强的专业防火墙。

测试的效果表明目前的防御算法对所有已知的拒绝服务攻击是免疫的也就是说是完全可以抵抗已知DoS/DDoS攻击的。

(下图金盾硬件防火墙价格大约88W一台)

2、深信服防火墙

深信服防火墙可以彻底解决所有dos/ddos攻击(synflood、ackflood、udpflood、icmpflood、igmpflood、arpflood、全连接等)针对CC攻击已推出DosNipe

V8.0版本此核心极其高效安全在以往抵御一切拒绝服务攻击的基础上新增加了抵挡CC攻击新算法可以高效的抵御所有CC攻击及其变种识别准确率为100%没有任何误判的可能性。

(深信服防火墙)

3、绿盟黑洞抗DDoS防火墙

绿盟黑洞抗DDoS防火墙是国内高防服务器机房中应用比较广泛的一款抗DoS、DDoS攻击产品其技术比较成熟而且防护效果显著已经得到各大IDC机构的共同认可。

黑洞目前分百兆、千兆两款产品分别可以在相应网络环境下实现对高强度攻击的有效防护性能远远超过同类防护产品。

(下图绿盟防火墙)

·能够对SYN

·可以有效防止连接耗尽主动清除服务器上的残余连接提高网络服务的品质、抑制网络蠕虫扩散。

Query

·可以给各种端口扫描软件反馈迷惑性信息因此也可以对其它类型的攻击起到防护作用

4、Dosnipe防火墙

Dosnipe防火墙硬件架构部分主体采取工业计算机(工控机)可以承受恶劣的运行环境保障设备稳定运行;软件平台是FreeBSD核心部分算法是自主研发的单向一次性非法数据包识别方法所有的Filter机制都是在挂在驱动级。

可以彻底解决所有dos/ddos攻击(synflood、ackflood、udpflood、icmpflood、igmpflood、arpflood、全连接等)针对CC攻击已推出DosNipe

V8.0版本此核心极其高效安全在以往抵御一切拒绝服务攻击的基础上新增加了抵挡CC攻击新算法可以高效的抵御所有CC攻击及其变种识别准确率为100%没有任何误判的可能性。

·最新升级彻底高效的解决所有DDOS攻击cc攻击的识别率为100%

主要类型

应用层防火墙可以拦截进出某应用程序的所有封包并且封锁其他的封包通常是直接将封包丢弃可分为包过滤型防火墙、应用层网关型防火墙、服务器型防火墙。

**数据库防火墙

**是一款基于数据库协议分析与控制技术的数据库安全防护系统。

基于主动防御机制实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

应用代理工作在应用层

网络防火墙就是一个位于计算机和它所连接的网络之间的防火墙。

该计算机流入流出的所有网络通信均要经过此防火墙。

防火墙对流经它的网络通信进行扫描这样能够过滤掉一些攻击以免其在目标计算机上被执行。

防火墙还可以关闭不使用的端口。

而且它还能禁止特定端口的流出通信封锁特洛伊木马。

最后它可以禁止来自特殊站点的访问从而防止来自不明入侵者的所有通信

2、应用层防火墙

时的数据流都是属于这一层。

应用层防火墙可以拦截进出某应用程序的所有封包并且封锁其他的封包通常是直接将封包丢弃。

理论上这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

因为应用层防火墙的算法会更复杂过虑更为严格所以在部署防火墙的时候要把应用层防火墙部署到网络防火墙的里边。

Linux防火墙体系主要工作在网络层针对TCP/IP数据包实施过滤和限制属于典型的包过滤防火墙网络层防火墙。

1、iptables简介

平时说iptables是防火墙其实iptables是iptables/netfilter组合中的一个只有iptables/netfilter才应该叫做防火墙它是基于软件方式工作的网络防火墙。

iptables工作于用户空间是防火墙的规则编写工具使用iptables编写规则并且发送到netfilter防火墙的规则刚放到netfilter中它是一个能够让规则生效的网络架构工作于内核空间。

【四个表】

iptables的结构是由tables组成而tables是由链组成链又是由具体的规则组成。

因此我们在编写iptables的规则时通过要先指定表再指定链。

tables的作用是区分不同功能的规则并且存储这些规则。

iptables是由四表五链组成的想要配置iptables必须先了解这四表五链

优先级raw表

RAW表只使用在PREROUTING链和OUTPUT链上,因为优先级最高从而可以对收到的数据包在连接跟踪前进行处理。

一但用户使用了RAW表,在某个链上,RAW表处理完后,将跳过NAT表和ip_conntrack处理,即不再做地址转换和数据包的链接跟踪处理了。

RAW表可以应用在那些不需要做nat的情况下以提高性能。

如大量访问的web服务器可以让80端口不再让iptables做数据包的链接跟踪处理以提高用户的访问速度。

②、mangle表

比如在网络的转发过程中数据包要从X到Z中间夹了一个Y当数据从X到Y的时候Y要运行拆包看是不是自己的如果是就收下了如果不就是重新封装把源IP改为自己的而不再是X的了再进行转发。

mangle表中含五个链PREROUTING、INPUT、FORWARD、OUTPUT、POSTROUTING

③、nat表

主要用来处理一些将要到达本机路由和将要离开本机路由的数据包修改数据包中的源、目标IP地址或端口其对应的模块为iptable_nat。

nat表内含三个链PREROUTING、POSTROUTING、OUTPUT

④、filter表

一看名字就知道是用来做过滤用的。

filter表是iptables的默认表如果在设置规则时不指定表则默认就是在filter表上操作

filter表内含三个链INPUT、FORWARD、OUTPUT

2五链

对于转发数据包做如何处理因为本机可能是一台代理服务器网络内的其它主机在与互联网通信时都需要经过这台服务器的转发

⑤、POSTROUTING

INPUT、OUTPUT链主要用在“主机型防火墙”中即主要针对服务器本机进行保护的防火墙而FORWARD、PREROUTING、POSTROUTING链多用在“网络型防火墙”中

简化版【五条链】

链也称为钩子函数它是一系列规则的一个组合当数据包经过这些狗子函数时她必须完全匹配每一个钩子函数中的所有规则方能进入下一个钩子函数。

【语法规则】

LOG在/var/log/messages文件中记录日志然后将数据包传递给下一条规则

REDIRECT

源地址转换修改包来源IP为某IP或IP范围做内网和公网之间的转换。

1、状态匹配-m

4、只允许管理员从202.13.0.0/16网段使用SSH远程登录防火墙主机。

iptables

允许转发来自192.168.0.0/24局域网段的DNS解析请求数据包。

iptables

8、屏蔽从从123.45.0.1到123.45.255.254

iptables

http://blog.51cto.com/linuxgentoo/1542782

在centos6上我们用的是iptables服务iptables

同样的centos6上安装的是iptables包而centos7上安装的是firewalld包。

centos6还是centos7核心其实都是netfilternetfilter是linux的一个内核模块iptables命令是linux内核自带的。

从软、硬件形式上分为

#SELINUXenforcingSELINUXdisabled

修改为disabled#

临时采取的防范措施就是利用iptables阻止服务器向外发送udp数据包。

然后再查找应用查找漏洞清除木马文件。

iptables

这个规则就是阻止了除了DNS要用到的53端口的其他一切udp端口因为在此之前做了只是封掉7000端口等会儿发现攻击改变了端口。

netstat

iptables更多介绍http://www.cnblogs.com/MYue/p/7000821.html

CentOS

firewalld有图形界面和工具界面由于我在服务器上使用图形界面请参照官方文档本文以字符界面做介绍

firewall-cmd

#查看默认防火墙状态关闭后显示notrunning开启后显示running

firewalld默认配置文件有两个/usr/lib/firewalld/

系统配置尽量不要修改和

#查看默认防火墙状态关闭后显示notrunning开启后显示running;关闭状态(disabled

zone

firewall-cmd--zone--add-service

firewall-cmd--zone--remove-service

firewall-cmd

firewall-cmd--zone--remove-port

firewall-cmd--zone--add-forward-port

firewall-cmd--zone--remove-forward-port

firewall-cmd

/etc/firewalld/zones/public.xml

firewall-cmd

是zone类型开头.xml格式文件。

还有前面文件.old结尾的文件的备份。

例如

public.xml

public.xml.old。

分别保存了现在的文件和修改之前的备份用于恢复。

/usr/lib/firewalld/

目录里分别保存了模板文件。

用于手动添加firewalld规则。

work

/usr/lib/firewalld/services/ftp.xml

vim

/etc/firewalld/services/ftp.xml

修改为

/usr/lib/firewalld/zones/work.xml

vim

7默认使用的是firewall作为防火墙使用iptables必须重新设置一下

1、直接关闭防火墙

前阵子在虚拟机上装好了CentOS6.2并配好了apachephpmysql但是本机就是无法访问。

一直就没去折腾了。

具体情况如下

检查是不是服务器的80端口被防火墙堵了可以通过命令telnet

server_ip

查看CentOS防火墙信息/etc/init.d/iptables

status

关闭CentOS防火墙服务/etc/init.d/iptables

stop

原文链接https://www.linuxidc.com/Linux/2016-12/138979.htm

iptables规则持久化

保存iptables规则也就是说将/etc/sysconfig/iptables文件清空

iptables-save