安全运维之：Linux系统账户和登录安全

一、合理使用Shell历史命令记录功能

在Linux下可通过history命令查看用户所有的历史操作记录，同时shell命令操作记录默认保存在用户目录下的.bash_history文件中，通过这个文件可以查询shell命令的执行历史，有助于运维人员进行系统审计和问题排查，同时，在服务器遭受黑客攻击后，也可以通过这个命令或文件查询黑客登录服务器所执行的历史命令操作，但是有时候黑客在入侵服务器后为了毁灭痕迹，可能会删除.bash_history文件，这就需要合理的保护或备份.bash_history文件。下面介绍下history日志文件的安全配置方法。

默认的history命令只能查看用户历史操作记录，并不能区分每个用户操作命令的时间，这点对于排查问题十分不便，不过可以通过下面的方法（加入四行内容）让history命令自动记录所有shell命令的执行时间，编辑/etc/bashrc文件：

HISTFILESIZE=4000

HISTSIZE=4000

HISTTIMEFORMAT='%F %T'

export HISTTIMEFORMAT

HISTFILESIZE=4000

HISTSIZE=4000

HISTTIMEFORMAT='%F %T'

export HISTTIMEFORMAT

其中，HISTFILESIZE定义了在.bash_history文件中保存命令的记录总数，默认值是1000，这里设置为4000；HISTSIZE定义了history命令输出的记录总数；HISTTIMEFORMAT定义时间显示格式，这里的格式与date命令后的“+"%F %T"”是一致的；HISTTIMEFORMAT作为history的时间变量将值传递给history命令。

通过这样的设置后，执行history命令，就会显示每个历史命令的详细执行时间，例如：

[root[@server](http://my.oschina.net/u/2391656) ~\]# history

247  2013-10-05 17:16:28 vi /etc/bashrc 

248  2013-10-05 17:16:28 top

249  2013-10-05 17:04:18 vmstat

250  2013-10-05 17:04:24 ps -ef

251  2013-10-05 17:16:29 ls -al

252  2013-10-05 17:16:32 lsattr 

253  2013-10-05 17:17:16 vi /etc/profile

254  2013-10-05 17:19:32 date +"%F %T"

255  2013-10-05 17:21:06 lsof

256  2013-10-05 17:21:21 history

为了确保服务器的安全，保留shell命令的执行历史是非常有用的一条技巧。shell虽然有历史功能，但是这个功能并非针对审计目的而设计，因此很容易被黑客篡改或是丢失。下面再介绍一种方法，可以实现详细记录登录过系统的用户、IP地址、shell命令以及详细操作时间等，并将这些信息以文件的形式保存在一个安全的地方，以供系统审计和故障排查。

将下面这段代码添加到/etc/profile文件中，即可实现上述功能。

#history

USER_IP=\`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/\[()\]//g'\`

HISTDIR=/usr/share/.history

if \[ -z $USER_IP \]

then

USER_IP=\`hostname\`

fi

if \[ ! -d $HISTDIR \]

then

mkdir -p $HISTDIR

chmod 777 $HISTDIR

fi

if \[ ! -d $HISTDIR/${LOGNAME} \]

then

mkdir -p $HISTDIR/${LOGNAME}

chmod 300 $HISTDIR/${LOGNAME}

fi

export HISTSIZE=4000

DT=\`date +%Y%m%d_%H%M%S\`

export HISTFILE="$HISTDIR/${LOGNAME}/${USER_IP}.history.$DT"

export HISTTIMEFORMAT="\[%Y.%m.%d %H:%M:%S\]"

chmod 600 $HISTDIR/${LOGNAME}/*.history* 2>/dev/null

这段代码将每个用户的shell命令执行历史以文件的形式保存在/usr/share/.history目录中，每个用户一个文件夹，并且文件夹下的每个文件以IP地址加shell命令操作时间的格式命名。下面是user01用户执行shell命令的历史记录文件，基本效果如下：

[root[@server](http://my.oschina.net/u/2391656) user01\]#  pwd

/usr/share/.history/user01

[root[@server](http://my.oschina.net/u/2391656) user01\]# ls -al

-rw------- 1 user01 wheel  56 Jul  6 17:07 192.168.12.12.history.20130706_164512

-rw------- 1 user01 wheel  43 Jul  6 17:42 192.168.12.12.history.20130706_172800

-rw------- 1 user01 wheel  22 Jul  7 12:05 192.168.12.19.history.20130707_111123

-rw------- 1 user01 wheel  22 Jul  8 13:41 192.168.12.20.history.20130708_120053

-rw------- 1 user01 wheel  22 Jul  1 15:28 192.168.12.186.history.20130701_150941

-rw------- 1 user01 wheel  22 Jul  2 19:47 192.168.12.163.history.20130702_193645

-rw------- 1 user01 wheel  22 Jul  3 12:38 192.168.12.19.history.20130703_120948

-rw------- 1 user01 wheel  22 Jul  3 19:14 192.168.12.134.history.20130703_183150

保存历史命令的文件夹目录要尽量隐蔽，避免被黑客发现后删除。

二、合理使用su、sudo命令

su命令是一个切换用户的工具，经常用于将普通用户切换到超级用户下，当然也可以从超级用户切换到普通用户。为了保证服务器的安全，几乎所有服务器都禁止了超级用户直接登录系统，而是通过普通用户登录系统，然后再通过su命令切换到超级用户下，执行一些需要超级权限的工作。通过su命令能够给系统管理带来一定的方便，但是也存在不安全的因素，例如系统有10个普通用户，每个用户都需要执行一些有超级权限的操作，就必须把超级用户的密码交给这10个普通用户，如果这10个用户都有超级权限，通过超级权限可以做任何事，那么会在一定程度上对系统的安全造成了威协。因此su命令在很多人都需要参与的系统管理中，并不是最好的选择，超级用户密码应该掌握在少数人手中，此时sudo命令就派上用场了。

sudo命令允许系统管理员分配给普通用户一些合理的“权利”，并且不需要普通用户知道超级用户密码，就能让他们执行一些只有超级用户或其他特许用户才能完成的任务，比如系统服务重启、编辑系统配置文件等，通过这种方式不但能减少超级用户登录次数和管理时间，也提高了系统安全性。因此，sudo命令相对于权限无限制性的su来说，还是比较安全的，所以sudo也被称为受限制的su，另外sudo也是需要事先进行授权认证的，所以也被称为授权认证的su。

sudo执行命令的流程是：将当前用户切换到超级用户下，或切换到指定的用户下，然后以超级用户或其指定切换到的用户身份执行命令，执行完成后，直接退回到当前用户，而这一切的完成要通过sudo的配置文件/etc/sudoers来进行授权。

例如，/etc/shadow文件普通用户是无法访问的：

[user01[@unknown](http://my.oschina.net/dust587) ~\]$ more /etc/shadow

/etc/shadow: Permission denied

如果要让普通用户user01可访问这个文件，可以在/etc/sudoers添加如下内容：

user01     ALL = /bin/more /etc/shadow

这样，通过如下方式user01用户就可访问/etc/shadow文件：

[user01[@unknown](http://my.oschina.net/dust587) ~\]$ sudo more /etc/shadow

[sudo\] password for user01:

执行这个命令后，需要输入user01用户的密码，然后就可访问文件内容了。在这里sudo使用时间戳文件来完成类似“检票”的系统，当用户输入密码后就获得了一张默认存活期为5分钟的“入场券”（默认值可以在编译的时候改变）。超时以后，用户必须重新输入密码才能查看文件内容。

如果每次都需要输入密码，那么某些自动调用超级权限的程序就会出现问题，此时可以通过下面的设置，让普通用户无需输入密码即可执行具有超级权限的程序。例如，要让普通用户centreon具有/etc/init.d/nagios脚本重启的权限，可以在/etc/sudoers添加如下设置：

CENTREON   ALL = NOPASSWD: /etc/init.d/nagios restart

这样，普通用户centreon就可以执行nagios重启的脚本而无需输入密码了。如果要让一个普通用户user02具有超级用户的所有权限，而又不想输入超级用户的密码，只需在/etc/sudoers添加如下内容即可：

user02 ALL=(ALL) NOPASSWD: ALL

这样user02用户登录系统后，就可以通过执行如下命令切换到超级用户下：

[user02@unknown ~\]$ sudo su -

[root@unknown ~\]# pwd

root

sudo设计的宗旨是：赋予用户尽可能少的权限但仍允许它们完成自己的工作，这种设计兼顾了安全性和易用性，因此，强烈推荐通过sudo来管理系统账号的安全，只允许普通用户登录系统，如果这些用户需要特殊的权限，就通过配置/etc/sudoers来完成，这也是多用户系统下账号安全管理的基本方式。

三、删减系统登录欢迎信息

系统的一些欢迎信息或版本信息，虽然能给系统管理者带来一定的方便，但是这些信息有时候可能被黑客利用，成为攻击服务器的帮凶，为了保证系统的安全，可以修改或删除某些系统文件，需要修改或删除的文件有4个，分别是/etc/issue、/etc/issue.net、/etc/redhat-release和/etc/motd。

/etc/issue和/etc/issue.net文件都记录了操作系统的名称和版本号，当用户通过本地终端或本地虚拟控制台等登录系统时，/etc/issue的文件内容就会显示，当用户通过ssh或telnet等远程登录系统时，/etc/issue.net文件内容就会在登录后显示。在默认情况下/etc/issue.net文件的内容是不会在ssh登录后显示的，要显示这个信息可以修改/etc/ssh/sshd_config文件，在此文件中添加如下内容即可：

Banner /etc/issue.net

其实这些登录提示很明显泄漏了系统信息，为了安全起见，建议将此文件中的内容删除或修改。

/etc/redhat-release文件也记录了操作系统的名称和版本号，为了安全起见，可以将此文件中的内容删除。

/etc/motd文件是系统的公告信息。每次用户登录后，/etc/motd文件的内容就会显示在用户的终端。通过这个文件系统管理员可以发布一些软件或硬件的升级、系统维护等通告信息，但是此文件的最大作用就、是可以发布一些警告信息，当黑客登录系统后，会发现这些警告信息，进而产生一些震慑作用。看过国外的一个报道，黑客入侵了一个服务器，而这个服务器却给出了欢迎登录的信息，因此法院不做任何裁决。