搜索

[7856] 2014-03-10_Linux下的常见错误配置

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2014-03-10_Linux下的常见错误配置 L i n u x 下 的 常 见 错 误 配 置 F r e e B u f   2 0 1 4 - 0 3 - 1 0     经 过 对 大 量 客 户 的 配 置 审 计 与 渗 透 测 试 ， 我 们 总 结 出 了 一 些 经 过 对 大 量 客 户 的 配 置 审 计 与 渗 透 测 试 ， 我 们 总 结 出 了 一 些 L i n u x 系 统 下 的 常 见 配 置 错 误 。 我 们 相 信 总 结 、 回 顾 这 系 统 下 的 常 见 配 置 错 误 。 我 们 相 信 总 结 、 回 顾 这 些 常 见 错 误 可 以 在 以 后 为 我 们 节 省 更 多 时 间 与 资 源 ， 更 重 要 的 是 可 以 帮 助 系 统 管 理 员 ， 使 其 服 务 器 更 加 安 全 可 靠 。 些 常 见 错 误 可 以 在 以 后 为 我 们 节 省 更 多 时 间 与 资 源 ， 更 重 要 的 是 可 以 帮 助 系 统 管 理 员 ， 使 其 服 务 器 更 加 安 全 可 靠 。         五 个 常 见 配 置 错 误 如 下 ： 1 、 用 户 / h o m e 目 录 的 权 限 2 、 系 统 中 的 g e t g i d 与 s e t u i d 程 序 3 、 全 局 可 读 / 可 写 的 文 件 / 目 录 4 、 使 用 包 含 漏 洞 的 服 务 5 、 默 认 的 N F S 挂 载 选 项 或 不 安 全 的 导 出 选 项 1 、 用 户 的 、 用 户 的 / h o m e 目 录 权 限 目 录 权 限         在 大 部 分 L i n u x 发 行 版 中 ， / h o m e 目 录 的 默 认 权 限 是 7 5 5 ， 即 任 何 登 录 系 统 的 用 户 都 可 以 访 问 其 他 用 户 的 / h o m e 目 录 。 而 某 些 用 户 如 管 理 员 或 开 发 者 ， 可 能 会 在 他 们 自 己 的 用 户 目 录 下 存 放 某 些 敏 感 信 息 ， 如 密 码 、 访 问 当 前 或 其 它 网 络 服 务 器 的 k e y 等 。 2 、 系 统 中 的 、 系 统 中 的 s e t g i d 与 与 s e t u i d 程 序 程 序         文 件 的 s e t   u i d 位 非 常 危 险 ， 因 为 它 可 能 允 许 文 件 以 一 种 特 权 用 户 的 身 份 运 行 ， 如 r o o t 用 户 ： 如 果 某 个 文 件 的 所 有 者 是 r o o t ， 并 且 设 置 了 s e t u i d 位 ， 那 么 在 其 运 行 时 就 是 以 r o o t 权 限 运 行 的 。 这 意 味 着 如 果 攻 击 者 找 到 了 该 文 件 的 漏 洞 ， 或 者 以 一 种 非 预 期 的 方 式 运 行 了 该 程 序 ， 那 他 很 有 可 能 能 够 以 r o o t 权 限 执 行 自 己 构 造 的 命 令 ， 那 么 整 个 系 统 的 权 限 就 沦 陷 了 。 3 、 全 局 可 读 、 全 局 可 读 / 可 写 的 文 件 可 写 的 文 件 / 目 录 目 录         全 局 可 读 与 可 写 的 文 件 和 目 录 产 生 的 问 题 与 之 前 介 绍 的 因 用 户 主 目 录 权 限 配 置 不 当 引 起 的 问 题 类 似 ， 但 其 影 响 范 围 可 能 涉 及 到 整 个 系 统 。 产 生 全 局 可 读 的 文 件 的 主 要 原 因 是 ， 创 建 文 件 的 默 认 u m a s k 掩 码 是 0 0 2 2 或 0 0 0 2 ， 正 是 由 于 这 种 不 当 的 配 置 ， 那 些 可 能 包 含 敏 感 信 息 的 文 件 可 能 被 登 录 系 统 的 任 何 人 读 取 到 。 如 果 文 件 是 全 局 可 写 的 ， 那 么 也 可 能 被 任 何 人 修 改 ， 也 因 此 可 能 导 致 攻 击 者 有 机 会 修 改 某 些 文 件 或 脚 本 来 隐 藏 自 己 ， 并 通 过 修 改 管 理 员 经 常 使 用 的 脚 本 来 执 行 某 些 敏 感 命 令 。 4 、 配 置 不 当 的 服 务 或 设 置 、 配 置 不 当 的 服 务 或 设 置         应 该 运 行 那 些 最 小 化 配 置 的 服 务 。 经 常 会 看 到 有 些 服 务 配 置 不 当 或 使 用 默 认 的 证 书 与 配 置 ， 使 用 不 安 全 的 通 信 渠 道 的 现 象 也 非 常 常 见 ， 加 重 了 服 务 器 被 攻 击 的 风 险 。 在 使 用 某 项 服 务 时 ， 需 要 对 其 选 项 和 配 置 进 行 复 审 ， 以 确 保 部 署 的 安 全 或 配 置 恰 当 。 但 同 时 也 经 常 看 到 有 些 服 务 被 绑 定 到 多 个 端 口 ， 而 不 是 只 进 行 本 地 监 听 或 只 监 听 某 个 特 定 端 口 。 5 、 默 认 的 挂 载 选 项 或 不 安 全 的 导 出 选 项 、 默 认 的 挂 载 选 项 或 不 安 全 的 导 出 选 项         所 有 挂 载 的 默 认 选 项 都 是 “ r w ,   s u i d ,   d e v ,   e x e c ,   a u t o ,   n o u s e r ,   a s y n c ” 。 但 是 使 用 这 些 默 认 选 项 是 不 恰 当 的 ， 因 为 它 们 允 许 如 N F S 协 议 等 外 部 挂 载 的 文 件 系 统 中 的 文 件 被 设 置 s u i d 位 和 g u i d 位 。 当 导 出 N F S 共 享 时 ， 建 议 不 要 设 置 n o _ r o o t _ s q u a s h 选 项 。 通 常 默 认 为 r o o t _ s q u a s h 选 项 ， 但 我 们 经 常 看 到 其 在 实 际 使 用 中 会 被 修 改 。 如 果 设 置 了 n o _ r o o t _ s q u a s h 选 项 ， 当 用 户 以 r o o t 用 户 登 录 时 ， 对 这 个 共 享 目 录 来 说 就 拥 有 了 r o o t 权 限 ， 可 以 作 任 何 事 。 这 些 不 当 设 置 如 果 保 持 默 认 ， 就 会 允 许 r o o t 用 户 登 录 服 务 器 ， 但 本 来 不 应 该 允 许 这 种 权 限 的 用 户 登 录 的 。         这 些 设 置 在 配 置 L i n u x 服 务 器 时 经 常 会 被 忽 视 ， 而 恰 恰 是 这 些 不 当 配 置 ， 使 攻 击 者 或 恶 意 用 户 可 以 非 法 获 得 大 量 信 息 ， 或 者 提 升 自 己 在 服 务 器 中 的 权 限 。 掩 耳 盗 铃 和 一 叶 障 目 总 比 老 老 实 实 地 加 固 系 统 来 得 简 单 ， 但 是 如 果 不 想 在 自 己 睡 得 正 香 的
时 候 服 务 器 被 人 X X O O ， 就 去 踏 踏 实 实 地 加 固 你 的 系 统 吧 。 作 者   T a s k i l l e r   [ v i a   i n f o s e c i n s t i t u t e ]   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理