# find / -type f \( -perm -1000 -o -perm -2000 -o -perm -4000 \) -print
[步骤] Linux 密码的安全 (设置密码复杂度和加密算法) (CentOS Linux 8 & RHEL 8 版)
步骤一:设置密码必须包含大小写字母等策略
# vim /etc/security/pwquality.conf
将部分内容修改如下:
......
minlen = 15
......
dcredit = -1
......
ucredit = -1
......
lcredit = -1
......
ocredit = -1
......
dictcheck = 1
......
usercheck = 1
......
(
补充:这里以
1) 密码最小长度为 15 个字符 (minlen = 15)
2) 密码必须包含数字的个数 (dcredit = -1)
3) 密码必须包含大写字母的个数 (ucredit = -1)
4) 密码必须包含小写字母的个数 (lcredit = -1)
5) 密码必须包含特殊字符的个数 (ocredit = -1)
6) 密码不能包含字典 (dictcheck = 1)
7) 密码不能包含用户 (usercheck = 1)
为例
)
步骤二:设置新密码不能和旧密码重复的策略以及加密算法
2.1 配置 authselect 自定义认证
2.1.1 检查是否选择了 authselect 自定义认证
# authselect current | awk 'NR == 1 {print $3}' | grep custom/
custom/password-policy
(
补充:
(1)如果这条命令里没有输出则代表没有选择自定义认证
(2)从这里的输出结果可以看出这里选择的自定义认证是 custom/password-policy
)
2.1.2 如果 authselect 自定义认证存在
2.1.2.1 修改 /etc/authselect/custom/password-policy/system-auth 配置文件
# vim /etc/authselect/custom/password-policy/system-auth
将以下内容:
......
password requisite pam_pwquality.so ......
......
password sufficient pam_unix.so ......
......
修改为:
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=5 use_authtok ......
......
password sufficient pam_unix.so sha512 shadow try_first_pass use_authtok remember=24 use_authtok ......
......
(
补充:这里以
1) 新密码不能和前 5 个旧密码重复
2) 使用 SHA512 哈希算法加密密码
为例
)
2.1.2.2 修改 /etc/authselect/custom/password-policy/password-auth 配置文件
# vim /etc/authselect/custom/password-policy/password-auth
将以下内容:
......
password requisite pam_pwquality.so ......
......
password sufficient pam_unix.so ......
......
修改为:
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=5 use_authtok ......
......
password sufficient pam_unix.so sha512 shadow try_first_pass use_authtok remember=24 use_authtok ......
......
(
补充:这里以
1) 新密码不能和前 5 个旧密码重复
2) 使用 SHA512 哈希算法加密密码
为例
)
2.1.3 如果 authselect 自定义认证不存在
2.1.3.1 生成新的 authselect 自定义认证
2.1.3.1.1 备份当前的 authselect 自定义认证
# authselect apply-changes -b --backup=sssd.backup
(补充:这里以创建 sssd.backup 备份文件为例)
2.1.3.1.2 创建新的 authselect 自定义认证
# authselect create-profile password-policy -b sssd --symlink-meta --symlink-pam
(补充:这里以生成名为 password-policy 的自定义认证为例)
2.1.3.1.3 选择新的 authselect 自定义认证
2.1.3.1.3.1 选择新的 authselect 自定义认证
# authselect select custom/password-policy with-sudo with-faillock without-nullok with-mkhomedir --force
(
补充:
1) 这里以选择名为 password-policy 的自定义认证为例
2) 这里设置了 with-sudo、with-faillock、without-nullok 和 with-mkhomedir 参数
)
(注意:使用了 with-mkhomedir 参数后,会提示需要开启 oddjobd)
2.1.3.1.3.2 满足选择新的 authselect 自定义认证时 with-mkhomedir 参数的要求
# dnf install oddjob ; systemctl enable --now oddjobd.service
2.1.3.1.4 显示当前选择的 authselect 自定义认证
# authselect current
(补充:这里以生成并选择名为 password-policy 的自定义认证为例)
2.1.3.2 修改 authselect 自定义认证
2.1.3.2.1 修改 /etc/authselect/custom/password-policy/system-auth 配置文件
# vim /etc/authselect/custom/password-policy/system-auth
将以下内容:
......
password requisite pam_pwquality.so ......
......
password sufficient pam_unix.so ......
......
修改为:
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=5 use_authtok ......
......
password sufficient pam_unix.so sha512 shadow try_first_pass use_authtok remember=24 use_authtok ......
......
(
补充:这里以
1) 新密码不能和前 5 个旧密码重复
2) 使用 SHA512 哈希算法加密密码
为例
)
2.1.3.2.2 修改 /etc/authselect/custom/password-policy/password-auth 配置文件
# vim /etc/authselect/custom/password-policy/password-auth
将以下内容:
......
password requisite pam_pwquality.so ......
......
password sufficient pam_unix.so ......
......
修改为:
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=5 use_authtok ......
......
password sufficient pam_unix.so sha512 shadow try_first_pass use_authtok remember=24 use_authtok ......
......
(
补充:这里以
1) 新密码不能和前 5 个旧密码重复
2) 使用 SHA512 哈希算法加密密码
为例
)
2.2 让配置的 authselect 自定义配置认证生效
# authselect apply-changes
(注意:此步骤会刷新 /etc/authselect/system-auth 配置文件和 /etc/authselect/password-auth 配置文件)
步骤三:设置加密算法
# vim /etc/login.defs
将以下内容:
......
ENCRYPT_METHOD ......
......
修改为:
......
ENCRYPT_METHOD SHA512
......
(补充:这里以使用 SHA512 哈希算法加密密码为例)
[工具] Shell 批量修改多个远程服务器某个用户的过期密码
介绍
基本信息
作者:朱明宇
名称:批量修改多个远程服务器某个用户的过期密码
作用:批量修改多个远程服务器某个用户的过期密码
使用方法
1. 将此脚本和清单 $list 文件放在同一目录下
2. 清单 $list 里每个远程服务器名或 IP 地址占用 1 行
3. 在此脚本的分割线内写入相应的内容
4. 在执行此脚本的系统上安装 expect
5. 给此脚本添加执行权限
6. 执行此脚本
脚本分割线里的变量
1. oldpassword=123 #原密码
2. newpassword=abc #新密码
3. user=root #要修改密码的用户
4. list=servers.txt #指定服务器清单
脚本
#!/bin/bash
####################### Separator ########################
oldpassword=123
newpassword=abc
user=root
list=servers.txt
####################### Separator ########################
set timeout 5
for i in `cat $list`
do
echo $i
ssh $i "whoami"
if [ $? -eq 0 ];then
continue
fi
expect << EOF
spawn ssh $user@$i
expect "Current password:" {send "$oldpassword\r"}
expect "New password:" {send "$newpassword\r"}
expect "Retype new password:" {send "$newpassword\r"}
expect ">" {send "\r"}
EOF
echo
done
[内容] Linux Umask 的设置
内容一:Umask 值的含义
如果 Umask 的值是 0022:
创建的新目录的默认权限是:777 – 022 = 755
创建的新文件的默认权限是:666 – 022 = 644
内容二:临时设置 Umask
2.1 查看当前 Umask 值
# umask
0022
2.2 临时设置 Umask 值
2.2.1 方法一:使用权限数字设置默认权限值
# umask 0002
2.2.2 方法二:使用权限标志设置默认权限值
# umask -S u=rwx,g=rwx,o=rw
内容三:永久设置 umask
3.1 给某个用户单独永久设置 Umask
3.1.1 切换到要永久设置 Umask 的用户
# su - root
(补充:这里以切换到 root 用户为例)
3.1.2 给某个用户单独添加 Umask 参数
# vim ~/.bashrc
添加以下内容:
......
umask 022
(补充:这里以将 Umask 设置为 022 为例)
3.1.3 让 Umask 设置生效
# source ~/.bashrc
3.2 全局永久设置 Umask 的方法
3.2.1 在 /etc/login.defs 配置文件里设置默认 Umask 参数
# vim /etc/login.defs
将以下内容:
UMASK ......
修改为:
UMASK 022
(补充:这里以将 Umask 的默认值设置为 022 为例)
3.2.2 在 /etc/profile 配置文件里设置全局 Umask 参数
# vim /etc/profile
将以下内容:
......
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask ......
else
umask ......
fi
......
修改为:
......
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask 002
else
umask 022
fi
......
(补充:这里以将 UID 小于 199 的用户 Umask 设置为 002,UID 大于等于 199 的用户 Umask 设置为 022 为例)
(注意:openSUSE & SLES 的 /etc/profile 配置文件里没有这些内容,所以如果是对 openSUSE & SLES 进行操作时则需要手动创建这些内容)
或者:
# vim /etc/profile
添加以下内容:
......
umask 022
(补充:这里以将所有用户的全局 Umask 设置为 022 为例)
3.2.3 在 /etc/bashrc 配置文件里设置全局 Umask 参数
# vim /etc/bashrc
将以下内容:
......
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask ......
else
umask ......
fi
......
修改为:
......
if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then
umask 002
else
umask 022
fi
......
(补充:这里以将 UID 小于 199 的用户 Umask 设置为 002,UID 大于等于 199 的用户 Umask 设置为 022 为例)
(注意: openSUSE & SLES 没有 /etc/bashrc 配置文件,所以如果是对 openSUSE & SLES 进行操作时则需要手动创建此文件和这些内容)
或者:
# vim /etc/bashrc
添加以下内容:
......
umask 022
(补充:这里以将所有用户的全局 Umask 设置为 022 为例)
(注意: openSUSE & SLES 没有 /etc/bashrc 配置文件,所以如果是对 openSUSE & SLES 进行操作时则需要手动创建此文件)
3.2.4 让永久设置的 Umask 设置生效
# source /etc/bashrc ; source /etc/profile
(
注意:
1) 当永久设置的 Umask 生效后,用户必须要重新登录后才会刷新 Umask
2) 当 /etc/login.defs 配置文件、/etc/bashrc 配置文件和 /etc/profile 配置文件里设置的 Umask 值不一致时,会以 /etc/profile 文件里设置的为准
3) 当同一个文件里设置了多个 Umask 个值时,会以最后一个值为准
)
[命令] Linux 命令 lsblk (显示硬盘信息)
内容一:硬盘信息显示命令 lsblk 的选项
-a 或者 –all 显示所有设备
-b 或者 –bytes 以字节为单位而非易读的格式来显示 SIZE
-d 或者 –nodeps 不显示从属设备(slave)或占位设备(holder)
-D 或者 –discard 显示时丢弃能力
-z 或者 –zoned print zone model
-e 或者 –exclude <列表> 根据主设备号排除设备(默认:内存盘)
-f 或者 –fs 输出文件系统信息
-i 或者 –ascii 只使用 ascii 字符
-I 或者 –include <列表> 只显示有指定主设备号的设备
-J 或者 –json 使用 JSON 输出格式
-l 或者 –list 使用列表格式的输出
-T 或者 –tree use tree format output
-m 或者 –perms 输出权限信息
-n 或者 –noheadings 不显示标题
-o 或者 –output <列表> 输出列
-O 或者 –output-all 输出所有列
-p 或者 –paths 显示完整设备路径
-P 或者 –pairs 使用 key=“value” 输出格式
-r 或者 –raw 使用原生输出格式
-s 或者 –inverse 反向依赖
-S 或者 –scsi 输出有关 SCSI 设备的信息
-t 或者 –topology 输出拓扑信息
-x 或者 –sort <列> 按<列>对输出排序
–sysroot <dir> 使用指定目录当作根 “/” 目录
-h 或者 –help 显示帮助
-V 或者 –version 显示版本
内容二:信息显示命令 lsblk 的使用
2.1 使用案例一:使用 lsblk 命令显示所有硬盘情况
# lsblk
2.2 使用案例二:使用 lsblk 命令显示所有硬盘的格式化信息
# lsblk -f
或者:
# lsblk --fs