System Setting Other Contents (系统设置其它内容) – Page 4

July 29, 2022November 22, 2024

[内容] Linux 文件 profile 和 bashrc （用户登录环境的设置）

内容一：profile 文件

1.1 profile 全局文件的位置（影响所有用户）

/etc/profile

1.2 profile 局部文件的位置（只影响单个用户）

~/.bash_profile

或者：

~/.bash_login

或者：

~/.profile

1.3 profile 文件的作用

在用户登录时设置用户的环境变量，只在用户登录时才会生效

1.4 登录 Linux 时执行 profile 文件的顺序

第一步，执行：

/etc/profile

第二步，按以下顺序一一尝试执行以下 3 个文件中的 1 个，当执行成功后则停止尝试下 1 个文件：

~/.bash_profile
~/.bash_login
~/.profile

第三步：开始调用解释器

（如果是调用 bash 解释器，则继续执行登录 bash 时执行 bashrc 文件的顺序）

内容二：bashrc 文件

2.1 bashrc 全局文件的位置（影响所有用户）

/etc/bashrc

或者：

/etc/bash.bashrc

2.2 bashrc 局部文件的位置（只影响单个用户）

~/.bashrc

2.3 bashrc 文件的作用

在用户使用 bash 解释器或登录 bash 解释器时设置用户的环境变量，每次调用 bash 解释器时都会生效

2.4 使用 bash 或登录 bash 时执行 bashrc 文件的顺序

第一步，执行以下 2 个文件中的 1 个：

/etc/bashrc
/etc/bash.bashrc

第二步，执行：

~/.bashrc

June 25, 2022November 22, 2024

[内容] Linux 命令安全的设置

确保以下目录的所属主和所属组是 root，且其它用户没有写入权限：

# ls -ld /usr/local/bin /usr/local/sbin /usr/bin/ /usr/sbin
dr-xr-xr-x. 2 root root 53248 Jun 24 15:09 /usr/bin/
drwxr-xr-x. 3 root root  4096 Jun 21  2021 /usr/local/bin
drwxr-xr-x. 2 root root     6 Jun 21  2021 /usr/local/sbin
dr-xr-xr-x. 2 root root 20480 Jun 24 15:09 /usr/sbin

June 17, 2022November 22, 2024

[内容] Linux 路径变量（$PATH）的设置

内容一：临时设置路径变量（$PATH）

1.1 查看当前路径变量（$PATH）值

# echo $PATH

1.2 临时设置路径变量（$PATH）值

# export PATH=$PATH:/usr/locar/new/bin

内容二：永久设置路径变量（$PATH）

2.1 给某个用户设置永久路径变量

2.1.1 切换到要永久设置路径变量（$PATH）的用户

# su - root

（补充：这里以切换到 root 用户为例）

2.1.2 配置 ~/.bashrc 配置文件

# vim ~/.bashrc

添加以下内容：

......
export PATH=$PATH:/usr/locar/new/bin

（补充：这里以将路径变量（$PATH）设置为 /usr/locar/new/bin 为例）

2.1.3 让路径变量（$PATH）设置生效

# source ~/.bashrc

2.2 全局永久设置路径变量

2.2.1 配置 /etc/profile 配置文件

# vim /etc/profile

添加以下内容：

......
export PATH=$PATH:/usr/locar/new/bin

（补充：这里以将路径变量（$PATH）设置为 /usr/locar/new/bin 为例）

2.2.2 让路径变量（$PATH）设置生效

# source /etc/profile

June 17, 2022November 22, 2024

[内容] Linux sudo 命令安全的加强

内容一：修改 sudoers 配置文件的方法

# vim /etc/sudoers

或者：

# visudo

内容二：设置 sudoers 配置文件的参数

2.1 指定命令路径

Defaults secure_path="<command>"

（补充：例如这里的值可以是 /usr/local/sbin）

2.2 设置不需要终端就可以执行 sudo 命令

Defaults !requiretty

或者：

# Defaults requiretty

（补充：如果不设置此参数则直接远程执行 sudo 命令时可能会报错 “you must have a tty to run sudo”）

2.3 设置存储 sudo 命令日志的文件

Defaults logfile="<file>"

（补充：这里的 <file> 值一般会设置为 /var/log/sudo.log）

2.4 让 sudo 使用伪终端执行命令，避免后台进程使用 sudo 命令

Defaults use_pty

2.5 让 sudo 使用伪终端执行命令，避免后台进程使用 sudo 命令，同时可以对应地记录所有用户的输入和输出

2.5.1 让 sudo 使用伪终端执行命令，避免后台进程使用 sudo 命令，同时可以对应地记录所有用户的输入和输出

Defaults log_input, log_output

（补充：如果存在会话序列号，则会话序列号会默认存储在 /var/log/sudo-io 文件中）

2.5.2 自定义记录所有用户的输入和输出参数存储会话序列号的文件

iolog_dir=<file>

2.6 设置执行 sudo 命令时进行提示

2.6.1 设置执行 sudo 命令时进行提示

Defaults lecture="<value>"

（补充：这里的 <value> 值可以是 always （一直提示），once （用户首次执行 sudo 命令时提示），never （从来不提示））

2.6.2 设置执行 sudo 命令时，存放自定义提示内容的文件

Defaults lecture_file="<file>"

（补充：如果没有此参数的话，则会提示默认内容）

2.7 设置自定义执行 sudo 命令后输错密码的提示

Defaults badpass_message="<prompt>"

2.8 设置执行 sudo 命令时可以输错命令的次数

Defaults passwd_tries=<time>

（补充：默认值为 3）

2.9 增加执行 sudo 命令时，系统输入密码时的等待时间

Defaults passwd_timeout=<time>

2.10 当用户执行 sudo 命令输错密码后羞辱用户

Defaults insults

June 6, 2022November 22, 2024

[内容] Linux SSH 常用安全加强配置项

内容一：SSH 的配置文件

1.1 SSH 配置文件的位置

/etc/ssh/sshd_config

1.2 SSH 配置文件的所属主、所属组和权限

1.2.1 确保 SSH 配置文件的所属主和所属组都是 root

# chown root:root /etc/ssh/sshd_config

1.2.2 确保 SSH 配置文件的权限是 640

# chmod 640 /etc/ssh/sshd_config

内容二：SSH 常用安全加强配置项

2.1 将 SSH 设置为 v2 版本

2.1.1 将 SSH 设置为 v2 版本的配置参数

Protocol 2

2.1.2 将 SSH 设置为 v2 版本的参考步骤

# sed -i 's/.*Protocol .*/Protocol 2/g' /etc/ssh/sshd_config

2.2 忽略 Rhosts 认证

2.2.1 忽略 Rhosts 认证的配置参数

IgnoreRhosts yes

2.2.2 设置忽略 Rhosts 认证的参考步骤

# sed -i 's/^.*IgnoreRhosts .*/IgnoreRhosts yes/g' /etc/ssh/sshd_config

2.3 禁止受信任的客户端通过 .rhosts 或 /etc/hosts.equiv 进行认证

2.3.1 设置禁止受信任的客户端通过 .rhosts 或 /etc/hosts.equiv 进行认证的配置参数

HostbasedAuthentication no

2.3.2 设置禁止受信任的客户端通过 .rhosts 或 /etc/hosts.equiv 进行认证的参考步骤

# sed -i 's/.*HostbasedAuthentication .*/HostbasedAuthentication no/g' /etc/ssh/sshd_config

2.4 禁止使用用户提交的 SSH 环境

2.4.1 设置禁止使用用户提交的 SSH 环境的配置参数

PermitUserEnvironment no

2.4.2 设置禁止使用用户提交的 SSH 环境的参考步骤

# sed -i 's/.*PermitUserEnvironment .*/PermitUserEnvironment no/g' /etc/ssh/sshd_config

2.5 禁止 root 用户通过 SSH 登录

2.5.1 禁止 root 用户通过 SSH 登录的配置参数

PermitRootLogin no

2.5.2 设置禁止 root 用户通过 SSH 登录的参考步骤

# sed -i 's/.*PermitRootLogin .*/PermitRootLogin no/g' /etc/ssh/sshd_config

2.6 禁止空密码 SSH 登录

2.6.1 禁止空密码 SSH 登录的配置参数

PermitEmptyPasswords no

2.6.2 设置禁止空密码 SSH 登录的参考步骤

# sed -i 's/.*PermitEmptyPasswords .*/PermitEmptyPasswords no/g' /etc/ssh/sshd_config

2.7 将 SSH 登录信息写入系统日志

2.7.1 将 SSH 登录信息写入系统日志的配置参数

SyslogFacility AUTH

2.7.2 设置将 SSH 登录信息写入系统日志的参看步骤

# sed -i 's/.*SyslogFacility .*/SyslogFacility AUTH/g' /etc/ssh/sshd_config

2.8 记录全部 SSH 信息

2.8.1 记录全部 SSH 信息的配置参数

LogLevel INFO

2.8.2 设置记录全部 SSH 信息的参考步骤

# sed -i 's/.*LogLevel .*/LogLevel INFO/' /etc/ssh/sshd_config

2.9 设置最大尝试登录失败数和触发尝试登录失败日志的登录失败数

2.9.1 设置最大尝试登录失败数和触发尝试登录失败日志的登录失败数的配置参数

MaxAuthTries 5

（补充：这里以设置最大尝试登录失败数是 5 次为例，如果此时尝试登录次数超过 2，则系统日志中会出现登录失败的记录）

2.9.2 设置最大尝试登录失败数和触发尝试登录失败日志的登录失败数的参考步骤

# sed -i 's/.*MaxAuthTries .*/MaxAuthTries 5/g' /etc/ssh/sshd_config

（补充：这里以设置最大尝试登录失败数是 5 次为例，如果此时尝试登录次数超过 2，则系统日志中会出现登录失败的记录）

2.10 设置 SSH 登录时密码输入的时间

2.10.1 设置 SSH 登录时密码输入的时间的配置参数

LoginGraceTime 600

或者：

LoginGraceTime 10m

（补充：这里以设置 SSH 登录时密码输入的时间为 600 秒为例）

2.10.2 设置 SSH 登录时密码输入的时间都参考步骤

# sed -i 's/.*LoginGraceTime .*/LoginGraceTime 600/g' /etc/ssh/sshd_config

或者：

# sed -i 's/.*LoginGraceTime .*/LoginGraceTime 10m/g' /etc/ssh/sshd_config

（补充：这里以设置 SSH 登录时密码输入的时间为 600 秒为例）

2.11 禁止 SSH 图形界面转发

2.11.1 禁止 SSH 图形界面转发的配置参数

X11Forwarding no

2.11.1 设置禁止 SSH 图形界面转发的参考步骤

# sed -i 's/.*X11Forwarding .*/X11Forwarding no/g' /etc/ssh/sshd_config

2.12 禁止 SSH TCP 转发

2.12.1 设置禁止 SSH TCP 转发的配置参数

AllowTcpForwarding no

2.12.2 设置禁止 SSH TCP 转发的参考步骤

# sed -i 's/.*AllowTcpForwarding .*/AllowTcpForwarding no/g' /etc/ssh/sshd_config

2.13 不显示上次 SSH 登录的信息，例如时间和地点等

2.13.1 设置不显示上次 SSH 登录的信息，例如时间和地点等的配置参数

PrintMotd no

或者：

PrintLastLog no

2.13.1 设置不显示上次 SSH 登录的信息，例如时间和地点等的参考步骤

# sed -i 's/.*PrintMotd .*/PrintMotd no/g' /etc/ssh/sshd_config

或者：

# sed -i 's/.*PrintLastLog .*/PrintLastLog no/g' /etc/ssh/sshd_config

2.14 设置同时只能让几个 SSH 用户登录

2.14.1 设置同时只能让几个 SSH 用户登录的配置参数

MaxStartups 10:30:60

（
补充：这里以
1) 最多同时只能让 10 个用户发起 SSH 登录请求，超过此数量的登录请求会被拒绝
2) 当 SSH 连接数超过上限时（这里设置的是 10 个），再新发起 SSH 登录请求的用户，会有 30% 的概率被拒绝
3) 当 SSH 连接数超过 60 时，再新发起 SSH 登录请求的用户全部会被拒绝，这里的 30 参数将会无效
）

2.14.2 设置同时只能让几个 SSH 用户登录的参考步骤

# sed -i 's/.*MaxStartups .*/MaxStartups 10:30:60/g' /etc/ssh/sshd_config

2.15 设置每个连接可以开启会话的个数

2.15.1 设置每个连接可以开启会话的个数的配置参数

MaxSessions 4

（补充：这里以设置每个连接可以开启 4 个会话为例，默认值为 10）

2.15.2 设置每个连接可以开启会话的个数的参考步骤

# sed -i 's/.*MaxSessions .*/MaxSessions 4/g' /etc/ssh/sshd_config

（补充：这里以设置每个连接可以开启 4 个会话为例，默认值为 10）

2.16 设置客户端 SSH 空闲超时时间

2.16.1 设置客户端 SSH 空闲超时时间的配置参数

ClientAliveInterval 100
ClientAliveCountMax 3

（补充：这里以设置客户端 SSH 空闲超时时间为 100 * 3=300 秒为例）

2.16.2 设置客户端 SSH 空闲超时时间的参考步骤

# sed -i 's/.*ClientAliveInterval .*/ClientAliveInterval 100/g' /etc/ssh/sshd_config
# sed -i 's/.*ClientAliveCountMax .*/ClientAliveCountMax 3/g' /etc/ssh/sshd_config