搜索

[26318] 2020-11-30_Linux的秘密就在这18张图里面了～

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-19
2020-11-30_Linux的秘密就在这18张图里面了～ L i n u x 的 秘 密 就 在 这 1 8 张 图 里 面 了 ～ L i n u x 学 习   2 0 2 0 - 1 1 - 3 0 以 下 文 章 来 源 于 我 是 程 序 员 小 贱   ， 作 者 暖 蓝 来 自 公 众 号 ： 来 自 公 众 号 ： 我 是 程 序 员 小 贱 我 是 程 序 员 小 贱 1   L i n u x 安 全 策 略 安 全 策 略 在 生 产 环 境 几 乎 都 是 L i n u x ， 为 了 保 护 我 们 程 序 ， 防 止 我 们 功 能 被 破 坏 ， 会 采 取 一 些 列 的 措 施 ， 所 以 提 前 学 习 和 了 解 这 些 策 略 势 必 也 会 为 后 面 的 学 习 打 下 不 错 的 基 础 常 见 的 攻 击 类 型 有 哪 些 呢 密 码 暴 力 破 解 密 码 暴 力 破 解 目 的 比 较 明 确 ， 通 过 爆 破 工 具 破 解 用 户 的 密 码 ， 进 入 服 务 器 获 取 资 源 进 行 系 统 的 破 坏 。 我 们 可 以 想 象 一 个 字 典 ， 字 典 足 够 强 大 ， 逐 一 匹 配 就 可 以 找 到 服 务 器 的 密 码 拒 绝 服 务 攻 击 拒 绝 服 务 攻 击 通 过 大 量 的 请 求 来 占 用 足 够 多 的 服 务 资 源 ， 使 得 网 络 阻 塞 或 者 服 务 器 死 机 ， 导 致 L i n u x 服 务 器 无 法 给 用 户 提 供 服 务 。 常 见 的 拒 绝 服 务 攻 击 有 D o s 与 分 布 式 拒 绝 服 务 攻 击 。 黑 客 通 常 是 利 用 伪 装 的 源 地 址 或 者 控 制 其 他 的 目 标 机 器 发 出 大 量 的 连 接 请 求 ， 由 于 服 务 器 无 法 在 短 时 间 接 受 这 么 多 情 趣 ， 从 而 导 致 系 统 资 源 耗 尽 ， 服 务 挂 起 应 用 程 序 漏 洞 攻 击 应 用 程 序 漏 洞 攻 击 这 种 情 况 一 般 是 黑 客 通 过 类 似 扫 描 工 具 扫 描 服 务 器 可 能 存 在 的 漏 洞 ， 然 后 根 据 漏 洞 渗 入 到 服 务 器 进 行 相 应 的 破 坏 ， 常 见 比 如 s q l 注 入 ， 漏 洞 攻 击 ， 网 页 权 限 漏 洞 等 如 何 进 行 防 范 呢 彻 底 的 防 范 是 不 可 能 ， 但 是 可 以 尽 全 力 的 防 范 ， 通 常 需 要 一 系 列 的 安 全 设 备 和 规 则 进 行 约 束 超 简 部 署 网 络 传 输 的 安 全 网 络 传 输 的 安 全 我 是 程 序 员 小 贱 我 是 程 序 员 小 贱   . 从 面 试 出 发 ， 解 剖 各 个 知 识 点 ， 让 我 们 向 上 成 长 ！ 这 里 除 了 学 习 ， 还 有 音 乐 ， 生 活 摄 影 ， 篮 球 等 ， 期 待 你 的 加 入 ！
常 见 的 网 络 安 全 设 备 有 硬 件 防 火 墙 硬 件 防 火 墙 ， 网 络 入 侵 检 测 网 络 入 侵 检 测 ， 路 由 器 路 由 器 ， 交 换 机 交 换 机 等 。 防 火 墙 对 进 出 网 络 的 主 机 进 行 规 则 匹 配 ， 尽 量 保 证 合 法 的 主 机 进 入 网 络 ， 可 是 有 些 攻 击 行 为 是 在 防 火 墙 允 许 的 范 围 内 ， 这 个 时 候 防 火 墙 就 无 所 能 及 了 ， 就 需 要 诸 如 I D S 设 备 来 辅 助 。 I D S 会 对 系 统 的 整 体 运 行 情 况 进 行 监 控 ， 尽 全 力 发 现 攻 击 企 图 ， 从 而 保 证 网 络 系 统 资 源 的 机 密 性 ， 完 整 性 和 可 用 性 操 作 系 统 的 安 全 操 作 系 统 的 安 全 操 作 系 统 安 全 即 服 务 器 本 身 的 一 些 安 全 设 置 和 优 化 。 比 如 系 统 内 核 的 定 期 升 级 ， 自 带 软 件 的 更 新 ， 配 置   i p t a b l e   规 则 ， 关 闭 无 关 服 务 等 很 多 常 见 的 病 毒 程 序 ， 防 火 墙 很 难 阻 止 ， 此 时 如 果 系 统 存 在 杀 毒 工 具 也 是 可 以 直 接 破 掉 第 一 道 防 线 应 用 软 件 安 全 应 用 软 件 安 全 应 用 软 件 安 全 顾 名 思 义 即 部 署 在 服 务 器 中 应 用 的 安 全 策 略 配 置 ， 比 如 我 们 会 对 数 据 库 进 行 配 置 防 止 非 规 则 内 的 连 接 数 据 库 等 再 比 如     S Q L 注 入 ， 跨 站 脚 本 都 属 于 应 用 软 件 安 全 漏 洞 造 成 的 攻 击 那 么 常 用 的 安 全 策 略 有 哪 些 呢 软 件 及 时 更 新 软 件 及 时 更 新 这 一 块 我 估 计 很 多 人 都 不 会 在 意 ， 毕 竟 需 要 重 新 安 装 比 较 麻 烦 ， 但 是 很 多 时 候 需 要 更 新 ， 是 因 为 有 漏 洞 了 ， 意 味 着 H a c k 利 用 这 些 漏 洞 就 很 容 易 进 你 的 系 统 ， 所 以 需 要 尤 其 注 意 端 口 服 务 端 口 服 务 一 般 一 个 有 效 的 连 接 ， 即 客 户 端 和 服 务 端 端 口 的 建 立 过 程 。 而 端 口 在 系 统 中 也 是 有 一 些 规 则 的 在 L i n u x 操 作 系 统 中 ， 系 统 定 义 了 6 5 5 3 5 个 端 口 ， 这 些 端 口 又 分 为 两 个 部 分 ， 按 照 1 0 2 4 分 割 ， 分 为 只 有   r o o t   用 户 才 能 启 用 的 端 口 和 客 户 端 的 端 口 ， 对 于 只 有 r o o t 用 户 才 能 启 动 的 端 口 ： 也 就 是 0 - 1 0 2 3 的 端 口 ， 需 要   r o o t   才 能 启 用 ， 因 为 这 些 端 口 预 留 给 一 些 预 设 的 服 务 使 用 ， 不 经 常 使 用 的 端 口 最 好 关 闭 ， 比 如 F t p   的 2 1 端 口 ， 2 5 的   M a i l   服 务 端 口 客 户 端 的 端 口 客 户 端 的 端 口 1 0 2 4 端 口 以 上 的 通 常 给 客 户 端 软 件 使 用 ， 由 软 件 随 机 分 配 ， 对 于 大 于 1 0 2 4 的 端 口 不 受 r o o t 的 限 制 ， 比 如 默 认 的 3 3 0 6 就 是 数 据 库 的 默 认 端 口 如 何 查 看 端 口 的 状 态 呢 ？ 通 过   n e t s t a t   - t u n l   查 看
查 看 端 口 状 态 从 上 图 可 以 发 现 启 用 了 2 2 端 口 ， 这 是 默 认 就 打 开 了 ， 我 的 远 程 工 具 X S H E L L 即 就 是 连 接 的 这 个 端 口 如 何 查 看 链 接 的 状 态 呢 查 看 连 接 状 态 如 果 查 看 端 口 对 应 的 什 么 服 务 ， 执 行 什 么 命 令 呢 服 务 与 端 口 是 什 么 关 系 我 们 可 能 经 常 听 到 什 么 服 务 对 应 什 么 端 口 ， 他 们 两 是 一 一 对 应 的 关 心 ， 没 有 服 务 运 行 即 没 有 端 口 对 应 ， 那 是 不 是 这 些 服 务 都 必 须 使 用 默 认 的 端 口 呢 当 然 不 是 ， 大 部 分 的 软 件 都 会 有 配 置 文 件 ， 根 据 相 应 的 配 置 就 好 了 一 定 要 记 得 关 闭 不 必 要 的 服 务 在 L i n u x 中 ， 服 务 的 启 动 和 关 闭 管 理 有 两 种 方 式 ， 第 一 种 方 式 是 直 接 启 动 脚 本 ， 在   C e n t o s 7   之 前 是 在   / e t c / i n i t . d   目 录 下 的 服 务 启 动 和 关 闭 。 在   C e n t o s 7   以 后 ， 使 用 s y s t e m c t l 工 具 来 完 成 ， 这 个 在 后 续 的 系 统 管 理 会 详 细 给 大 家 说 说 。 如 果 要 启 动   s s h d   服 务 ， 可 以 使 用 下 面 的 命 令 另 外 一 种 情 况 是 通 过 超 级 服 务 管 理 一 些 常 用 的 网 络 服 务 ， 比 如   C e n t o s   的 超 级 服 务   X i n e t d ， 这 个 服 务 可 以 管 理 的 服 务 如 V s f t p d   等 ， 我 们 可 以 通 过   / e t c / i n i t . d / x i n t e d   r e s t a r t   来 完 成 服 务 的 重 启 在 L i n u x 中 ， 通 过   c h k c o n f i g   命 令 或 者   s y s t e m c t l   判 断 服 务 是 否 开 启 n e t s t a t   - t u n n e t s t a t   - a n l p s y s t e m c t l   r e s t a r t   s s h d
我 们 怎 么 知 道 关 闭 哪 些 不 必 要 的 服 务 呢 这 里 列 出 一 个 表 格 系 统 运 行 常 用 服 务 还 有 一 些 其 他 的 安 全 设 置 禁 止 系 统 响 应 任 何 从 外 部 来 的 p i n g 请 求 p i n g 通 过 用 来 检 查 网 络 的 连 通 性 ， 如 果 能 够 p i n g 通 ， 攻 击 者 就 知 道 这 是 一 个 活 跃 的 机 器 ， 那 么 怎 么 禁 止 p i n g 请 求 呢 删 除 不 必 要 的 用 户 组 删 除 系 统 不 必 要 的 用 户   u s e r d e l   u s e r n a m e 删 除 系 统 不 必 要 的 组   g r o u p d e l   g r o u p n a m e 关 闭 s e l i n u x 首 先 它 是 内 核 强 制 访 问 控 制 安 全 系 统 ， ， 由 于 它 和 现 在 的 l i n u x 应 用 程 序 和 内 核 模 块 有 一 些 兼 容 问 题 ， 如 果 要 查 看 是 否 已 启 用 通 过 使 用   g e t e n f o r c e ， 如 果 要 关 闭 s e l i n u x ， 修 改 下 面 的 文 件 c h k c o n f i g   - - l i s t   s u s h i e c h o   " 1 "   > / p r o c / s y s / n e t / i p v 4 / i c m p _ e c h o _ i g n o r e _ a l l
2   说 说 防 火 墙 说 说 防 火 墙 防 火 墙 有 硬 件 防 火 墙 和 软 件 防 火 墙 ， 在 这 里 主 要 介 绍 软 件 防 火 墙 。 根 据 工 作 方 式 的 不 同 又 分 为 封 包 式 防 火 墙 封 包 式 防 火 墙 和 应 用 层 网 应 用 层 网 关 防 火 墙 关 防 火 墙 硬 件 防 火 墙 使 用 专 有 的 操 作 系 统 ， 如 果 按 照 工 作 方 式 来 划 分 ， 那 么 防 火 墙 也 分 为 过 滤 式 防 火 墙 、 应 用 层 网 关 防 火 墙 两 种 ， 后 面 给 大 家 介 绍 的   i p t a b l e   即 属 于 过 滤 式 防 火 墙 过 滤 式 防 火 墙 I p t a b l e   是   L i n u x   中 内 嵌 好 的 防 火 墙 软 件 ， 集 成 在 内 核 中 ， 因 此 效 率 非 常 高 的 。 它 可 以 通 过 你 设 置 一 些 封 包 过 滤 规 则 来 定 义 什 么 数 据 包 可 以 接 受 ， 什 么 数 据 包 剔 除 i p t a b l e 的 使 用 环 境 ? 保 护 自 身 本 机 w i n d o w s 中 有 防 火 墙 软 件 ， i p t a b l e s 类 似 ， 在 L i n u x 中 的 位 置 如 下 保 护 自 身 本 机 从 上 图 可 以 发 现 ， 在 交 互 的 过 程 中 ， 首 先 要 经 过   L i n u x   自 身 的   i p t a b l e s   防 火 墙 ， 作 为 第 一 层 的 安 全 过 滤 ， 随 后 经 过 防 火 墙 的 第 二 层 的 过 滤 最 终 到 达 互 联 网 ， 所 以 可 以 说 L i n u x 自 带 的 i p t a b l e s 是 系 统 安 全 的 最 后 一 道 防 线 。 独 立 的 L i n u x 主 机 对 整 个 网 络 进 行 防 护 如 下 图 所 示 ， 部 署 在 L i n u x 路 由 器 上 对 整 个 局 域 网 进 行 安 全 防 护 独 立 的 L i n u x 主 机 对 整 个 网 络 进 行 防 护 v i   / e t c / s y s c o n f i g / s e l i n u x
从 位 置 来 看 ， 位 于 外 网 与 局 域 网 之 间 ， 防 火 墙 在 路 由 器 的 上 面 ， 所 以 先 对 进 入 局 域 网 的 数 据 包 进 行 过 滤 ， 这 样 不 就 对 局 域 网 主 机 进 行 了 访 问 控 制 ， 以 此 来 保 护 局 域 网 的 安 全 多 台 L i n u x 主 机 对 L a n 进 行 多 层 安 全 防 护 通 常 局 域 网 划 分 了 子 网 ， 在 子 网 钱 部 署 一 道 L i n u x 防 火 墙 ， 然 后 将 一 些 保 密 的 资 源 放 在 这 个 子 网 里 ， 子 网 通 过 设 置 第 二 道 L i n u x 防 火 墙 设 置 相 对 更 高 的 安 全 等 级 多 台 L i n u x 主 机 对 L a n 进 行 多 层 安 全 防 护 对 D M Z 进 行 安 全 防 护 D M Z 区 域 通 常 将 互 联 网 与 局 域 网 隔 离 开 的 一 个 特 殊 网 络 区 域 ， 通 常 部 署 一 些 不 包 含 机 密 信 息 的 服 务 器 ， 比 如 f t p ， 这 样 来 自 外 网 的 访 问 者 可 以 通 过 L i n u x 防 火 墙 来 访 问 D M Z 的 服 务 ， 即 使 D M Z 服 务 器 遭 到 破 坏 ， 也 不 会 影 响 另 一 部 分 网 络
对 D M Z 进 行 安 全 防 护 i p t a b l e s 的 基 本 使 用 是 如 何 的 ？ i p t a b l e s   的 前 生 后 世 L i n u x 最 早 出 现 的 防 火 墙 叫 做   i p f w ， 是 基 于 L i n u x 2 . 0 内 核 的 。 随 后 在   L i n u x 2 . 2   中 推 出 了 i p c h a i n s ， 语 法 更 容 易 理 解 且 功 能 更 强 大 ， 随 后   i p t a b l e s   在   L i n u x 2 . 4   出 现 ， 同 时 也 包 含 了   i p c h a i n s ， 但 是 两 者 无 法 兼 容 ， i p t a b l e s 防 火 墙 越 来 越 强 大 ， L i n u x 2 . 4 以 后 就 基 本 上 使 用 i p t a b l e s 防 火 墙 了 i p t a b l e s 的 组 成 i p t a b l e s = i p   t a b l e s ， 意 味 着 是 I P 表 表 的 意 思 ， 对 的 ， 它 是 由 多 个 表 组 成 ， 且 每 个 表 的 用 途 不 一 样 ， 在 每 个 表 中 定 义 了 很 多 链 ， 通 过 这 些 链 设 置 规 则 和 策 略 i p t a b l e s 呢 有 三 种 表 的 选 项 ， 管 理 本 机 数 据 进 出 的 f i l t e r 表 ， 管 理 防 火 前 内 部 主 机 的 N A T 表 和 改 变 包 头 内 容 的 m a n g l e 表 先 来 看 看 f i l t e r 进 行 信 息 表 的 过 滤 ， 分 别 包 含 了 I N P U T 、 O U T P U T 和 F O R W A R D 链
f i l t e r 表 N A T 表 主 要 用 于 网 络 地 址 转 换 ， 再 上 一 个 篇 也 有 说 过 ， 它 包 含 了 P R E R O U T I N G 、 P O S T R O U T I N G 和 O U T P U T 链 N A T 表 m a n g l e 表 包 含 了 一 些 用 于 标 记 高 级 路 由 的 信 息 报 ， 可 以 改 变 包 以 及 包 头 内 容 ， 如 T T L 、 T O S ， M A R K 。 它 知 识 在 内 核 空 间 为 包 设 置 一 个 标 记 而 已 ， 这 个 表 内 置 了 五 个 链 ： P R E R O U T I N G 、 P O S T R O U T I N G 、 O U T P U T 、 I N P U T 和 F O R W A R D 通 过 多 个 路 由 规 则 和 预 设 规 则 组 成 了 功 能 链 ， 然 后 多 个 功 能 链 组 成 功 能 表 ， 多 个 功 能 表 组 成 i p t a b l e s 防 火 墙 i p t a b l e s 的 执 行 过 程 是 怎 么 样 的 呢 ？ 当 数 据 包 到 达 L i n u x 主 机 ， 首 先 进 行   i p t a b l e s   过 滤 ， 如 果 数 据 包 满 足 规 则 1 指 定 的 条 件 则 直 接 执 行 相 应 的 操 作 ， 后 面 的 2 ， 3 规 则 就 不 再 理 会
基 本 过 滤 规 则 举 个 例 子 举 个 例 子 假 设 目 前 这 个   L I n u x   可 以 对 外 提 供   w w w   的 服 务 ， 对 于 网 络   1 9 2 . 1 6 8 . 5 0 . 0 / 2 4   中 的 网 络 主 机 开 放 访 问 w w w 服 务 ， 但 是 禁 止 1 9 2 . 1 6 8 . 5 0 . 1 3 3 访 问 w w w 服 务 ， 规 则 如 下 规 则 1 ： 禁 止 1 9 2 . 1 6 8 . 5 0 . 1 3 3 主 机 访 问 w w w 服 务 规 则 2 ： 允 许 本 地 网 络 访 问 w w w 服 务 这 样 子 设 置 完 规 则 后 ， 本 地 的 网 络 除 了 1 3 3 不 能 访 问 以 外 ， 其 他 的 都 能 访 问 。 如 果 反 过 来 规 则 1 ： 允 许 本 地 网 络 1 9 2 . 1 6 8 . 5 0 . 0 / 2 4 访 问 w w w 服 务 规 则 2 ： 禁 止 1 9 2 . 1 6 8 . 5 0 . 1 3 3 主 机 访 问 w w w 服 务 、 此 时 的 规 则 1 允 许 所 有 主 机 访 问 L i n u x 服 务 器 的 w w w 服 务 ， 自 然 也 包 含 了 1 3 3 主 机 ， 规 则 2 将 显 得 毫 无 意 义 i p t a b l e s 的 使 用 语 法 是 怎 么 样 的 呢 启 动 和 关 闭 i p t a b l e s i p t a b l e s 的 防 火 墙 规 则 如 何 查 看 以 及 如 何 清 除 修 改 ？ s e r v c i e   i p t a b l e s   s t a r t / / 启 动 s e r v i c e   i p t a b l e s   s t o p / / 关 闭 c h k c o n f i g   - - l e v e l   3 5   i p t a b l e s   o n   / / 设 置 i p t a b l e s 开 机 默 认 启 动 格 式 ： i p t a b l s   [ - t   t a b l e s ]   - L   - v n   - F X Z
查 看 当 前 系 统 f i l t e r 表 的 几 条 链 规 则 3   用 户 以 及 用 户 组 的 管 理 用 户 以 及 用 户 组 的 管 理 用 户 组 用 户 组 L i n u x 是 一 个 真 实 且 多 用 户 多 任 务 的 操 作 系 统 ， 意 味 着 张 三 王 五 李 四 都 可 以 同 时 使 用 同 一 个 L i n u x 操 作 系 统 ， 但 是 他 们 三 儿 不 能 互 相 访 问 各 自 的 内 容 ， 不 同 的 用 户 有 不 同 的 权 限 ， 每 个 用 户 在 权 限 范 围 内 完 成 不 同 的 任 务 ， L i n u x 正 是 通 过 这 样 的 权 限 划 分 和 管 理 实 现 多 用 户 的 运 行 机 制 L i n u x 用 户 的 分 类 是 怎 么 样 的 呢 超 级 用 户 超 级 用 户 ， 默 认 为 r o o t ， 具 有 最 高 的 权 限 普 通 用 户 只 能 对 自 己 目 录 下 的 文 件 进 行 访 问 虚 拟 用 户 最 大 的 特 点 是 不 能 访 问 登 录 系 统 ， 他 们 的 存 在 主 要 是 为 了 方 便 系 统 管 理 ， 满 足 相 关 系 统 进 程 对 文 件 属 性 的 要 求 用 户 和 组 用 户 和 组 用 户 通 过 向 L i n u x 申 请 用 户 访 问 系 统 ， 这 样 可 以 合 理 的 利 用 和 控 制 系 统 ， 同 时 也 可 以 帮 助 用 户 组 织 文 件 ， 达 到 提 供 对 用 户 文 件 的 安 全 性 保 护 的 目 的 什 么 是 用 户 组 呢 有 时 候 需 要 协 同 办 公 ， 假 设 一 共 1 0 个 人 ， 让 这 1 0 个 人 对 文 件 的 操 作 具 有 相 同 的 权 限 ， 需 要 给 每 个 用 户 授 权 ， 这 样 岂 不 是 太 麻 烦 了 ， L i n u x 就 使 用 组 组 的 概 念 ， 让 属 于 组 的 用 户 都 具 有 相 同 的 权 限 用 户 和 组 的 关 系 用 户 和 组 的 关 系 可 以 是 一 对 一 ， 也 可 以 是 一 对 多 设 置 多 对 多 i p t a b l e s   - L   - n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理