操作系统安全PPT课件.ppt

1、2006 VCampus Corporation All Rights Reserved. 操作系统安全操作系统安全主讲教师主讲教师:CIW CI #Email:-2006 VCampus Corporation All Rights Reserved. 网络安全原则网络安全原则第一单元第一单元-学习目标学习目标 了解企业中对安全的需求了解企业中对安全的需求 描述应用于安全领域的行业标准描述应用于安全领域的行业标准 了解三个常规的安全级别了解三个常规的安全级别 了解帐户安全及访问控制了解帐户安全及访问控制 描述安全三要素描述安全三要素 了解常见的网络操作系统了解常见的网络操作系统-网络安全的定

2、义网络安全的定义 安全就是最大程度地减少数据和资源被攻击的可能安全就是最大程度地减少数据和资源被攻击的可能性性 。-安全的评估标准安全的评估标准 ITSEC（欧洲信息技术安全评估标准（欧洲信息技术安全评估标准 ） TCSEC（可信任计算机系统评估标准（可信任计算机系统评估标准 ） CC（公共标准）（公共标准）-ITSEC包含内容如下：包含内容如下：审核过程对文件系统审核评估风险防护病毒控制适当地管理关于商业新闻及安全发布的信息-TCSECTCSEC 安全级别安全级别描述描述D最低的级别。如MS-DOS计算机，没有安全性可言。C1灵活的安全保护。系统不需要区分用户，可提供基本的访问控制。C2灵活

3、的访问安全性。系统不仅要识别用户还要考虑唯一性。系统级的保护主要存在于资源、数据、文件和操作上。Windows NT属于C2级。B1标记安全保护。系统提供更多的保护措施包括各式的安全级别。如AT&T的SYSTEM V UNIX with MLS 以及IBM MVS/ESA。B2结构化保护。支持硬件保护。内容区被虚拟分割并严格保护，如Trusted XENIX和Honeywell MULTICS。B3安全域。提出数据隐藏和分层，阻止层之间的交往，如Honeywell XTS-200。A校验级设计。需要严格准确的证明系统不会被危害，而且提供所有低级别的安全，如Honeywell SCOMP。-CC

4、提供了两个基本功能：提供了两个基本功能：标准化描述安全必要条件，如安全需要什么，能满足哪些需求的产品和系统，以及对哪些产品和系统进行测试和评估。以可靠的技术基础来对产品和系统进行评估。-安全机制安全机制 安全机制用来实施安全系统。安全机制用来实施安全系统。 目前主要存在两种形式的安全机制：目前主要存在两种形式的安全机制： 特殊安全机制特殊安全机制 广泛安全机制广泛安全机制 -选择合适的操作系统选择合适的操作系统Windows Server 2003家族系列家族系列，包括了用户所希望的、用以支撑关键任务的功能和特性，如高安全性、高可靠性、高可用性和高可扩展性。 HP-UX 为用户提供了关键任务功

5、能的完整套件。其中包括增强的可靠性、有效性和可维护性，Internet和Web应用服务，目录和安全服务，系统管理，64路性能可测量性。 AIX符合Open group的UNIX 98行业标准，通过全面集成对32位和64位应用的并行运行支持，为这些应用提供了全面的可扩展性。它可以在所有的IBM p系列和IBM RS/6000工作站、服务器和大型并行超级计算机上运行。 红旗红旗Linux服务器是企业级的网络和应用服务器。该产品可运行在带有232路CPU的SMP架构和最大64GB内存的IA架构服务器上。它提供了标准 Linux网络服务，并能稳定运行业界主流的商业应用。此外，该产品还可以作为完整的Li

6、nux软件开发平台。-选择合适的操作系统选择合适的操作系统操作系统的共同威胁UNIX/Linux/Windows操作系统各自的特征，优缺点费用和企业需要的结合-帐户与密码安全帐户与密码安全用户帐户包含用户唯一的身份标识 密码是证实用户标识的一种有效形式-访问控制访问控制访访 问：问：访问是使信息在主体和对象间流动的一种交互方式。 主体是指主动的实体，该实体造成了信息的流动和系统状态的改变，主体通常包括人、进程和设备。 对象是指包含或接受信息的被动实体，对对象的访问意味着对其中所包含信息的访问。对象通常包括记录、块、页、段、文件、目录、目录树和程序以及位、字节、字、字段、处理器、显示器、键盘、时

7、钟、打印机和网络节点。 访问控制：访问控制：访问控制决定了能够访问系统的权限，能访问系统的何种资 源以及如何使用这些资源。 -访问控制类型访问控制类型分类：防御型探测型矫正型管理型技术型操作型-访问控制手段访问控制手段 类型防御型手段探测型手段物理类控制手段文书备份 围墙和栅栏 保安 证件识别系统 加锁的门 双供电系统 生物识别型门禁系统 工作场所的选择 灭火系统 移动监测探头 温感探头 闭路监控 传感和报警系统 管理类控制手段安全知识培训 职务分离 职员雇用手续 职员离职手续 监督管理 灾难恢复和应急计划 计算机使用的登记安全评估和审核性能评估 强制假期 背景调查 职务轮换技术类控制手段访问

8、控制软件 防病毒软件 库代码控制系统 口令 智能卡 加密 拨号访问控制和回叫系统 日志审核入侵探测系统-访问控制模型访问控制模型 任意访问控制任意访问控制 强制访问控制强制访问控制 非任意访问控制非任意访问控制-访问控制管理访问控制管理 集中式：集中式：由一个管理者设置访问控制 分布式：分布式：把访问的控制权交给了文件的拥有者或创建者，通常是职 能部门的管理者 混合式：混合式：混合式管理是集中式管理和分布式管理的结合 -安全三要素安全三要素保密性保密性:简单地说就是保密。只有那些有权限的人才能接触到这些信 息。完整性完整性:确保信息不被内部人员修改或者篡改或者被意外地修改，不 管这些信息是程序

9、还是数据。可用性可用性:所有的系统和信息资源必须能够按照机构的需求启动和运 行，比如要求能抵御拒绝服务攻击。-安全策略安全策略 物理安全策略 访问控制策略 信息加密策略 网络安全管理策略 -确定系统状态确定系统状态 病毒扫描 漏洞扫描 性能和流量监控和分析-基本的基本的Windows安全安全第二单元第二单元-单元目标单元目标 理解Windows身份验证方法 了解Windows域结构基础 掌握NTFS权限的设置 了解Windows访问控制体系 了解Windows常见漏洞 阐述SMB协议的功能 了解MIME协议的功能-Windows的身份标识的身份标识SID：也就是安全标识符（Security I

10、dentifiers），是标识用户、组和计算机帐户的唯一的号码。 一个完整的一个完整的SID包括：包括：用户和组的安全描述符。48-bit的ID authority。修订版本。可变的验证值Variable sub-authority values。-实验实验2-1 利用注册表编辑器查看利用注册表编辑器查看SID-Windows安全子系统的组成安全子系统的组成Winlogon图形化鉴定和认证组件（GINA）本地安全授权（LSA）安全支持提供接口（SSPI）认证信息包安全支持提供商Netlogon服务安全帐号管理(SAM)-Windows的安全子系统的安全子系统-实验实验2-2 2-2 利用组策略

11、来强制使用强密码利用组策略来强制使用强密码-Windows的活动目录与域的活动目录与域 域：域： 是Windows网络系统的安全性边界。Windows Server 2003利用活动目录来管理域，活动目录是Windows Server 2003网络中目录服务的实现方式。目录服务是一种网络服务，它存储网络资源的信息并使得用户和应用程序能访问这些资源。 活动目录对象：活动目录对象： 主要包括用户、组、计算机和打印机，网络中的所有服务器、域控制器和站点等也认为是活动目录中的对象。-活动目录的逻辑结构活动目录的逻辑结构 活动目录的逻辑结构用来组织网络资源。包括域、活动目录的逻辑结构用来组织网络资源。包

12、括域、组织单元、树和森林组织单元、树和森林 -活动目录的物理结构活动目录的物理结构物理结构用来设置和管理网络流量，活动目录的物理结构由域控制器和站点组成 。域控制器：域控制器：是运行Windows 2000或者Windows Server 2003的计算机，用来存储目录的副本。同时，域控制器管理目录信息的变化，并把这些变化复制给该域上的其它域控制器。域控制器存储目录数据，管理用户登录、验证和目录搜索。站点：站点：由一个或多个高速连接的IP子网构成。通过定义站点，可以为活动目录配置访问和复制拓扑。-Windows的访问控制列表的访问控制列表 随机和系统两种访问控制列表随机和系统两种访问控制列表

13、-ACE访问控制条目访问控制条目每个访问控制条目包含用户或组的SID，以及它们对于对象的权限。一个访问控制条目指定一个对象上分配的一种权限。访问控制条目有两种类型：允许访问或拒绝访问，在访问控制列表里拒绝访问优先。 -NTFS的优势的优势Windows 2000的特点主要体现在以下几个方面：NTFS可以支持的分区(如果采用动态磁盘则称为卷)大小可以达到2TB。而Windows 2000中的FAT32支持分区的大小最大为32GB。 NTFS是一个可恢复的文件系统。 NTFS支持对分区、文件夹和文件的压缩及加密。 NTFS采用了更小的簇,可以更有效率地管理磁盘空间。 在NTFS分区上,可以为共享资

14、源、文件夹以及文件设置访问许可权限。 在Windows 2000的NTFS文件系统下可以进行磁盘配额管理 -NTFS权限的注意事项权限的注意事项权限是累积的文件权限超越文件夹权限拒绝权限超越其他权限NTFS权限的继承性-特殊的特殊的NTFS权限权限有两个特殊权限对于管理对文件及文件夹的访问来说特别有用：更改权限：更改权限：如果为某用户授予这一权限，该用户就具有了针对该文件或文件夹修改权限的能力。获得所有权：获得所有权：如果为某用户授予这一权限，该用户就具有了获得文件和文件夹的所有权的能力。-实验实验2-32-3：NTFSNTFS权限设置权限设置-实验实验2-42-4：特殊：特殊NTFSNTFS

15、权限设置权限设置-操作系统中普遍存在的漏洞操作系统中普遍存在的漏洞空白或默认口令默认共享密钥IP 欺骗（Spoofing）窃听服务弱点应用程序弱点拒绝服务（DoS）攻击 -Windows操作系统的漏洞操作系统的漏洞Unicode漏洞.ida/.idq缓冲区溢出漏洞Microsoft IIS CGI文件名错误解码漏洞MSADCS RDS弱点漏洞FrontPage服务器扩展.Printer漏洞 系统管理权限漏洞路径优先漏洞NetDDE消息权限提升漏洞安全帐户管理漏洞-Windows注册表安全注册表安全作用：作用： 管理配置系统运行参数的一个核心数据库。在这个数据库里整合集成了全部系统和应用程序的初

16、始化信息；其中包含了硬件设备的说明、相互关联的应用程序与文档文件、窗口显示方式、网络连接参数、甚至有关系到计算机安全的网络共享设置。 -windows注册表的结构注册表的结构-实验实验2-52-5：注册表的备份和恢复：注册表的备份和恢复-SMB服务器消息块协议服务器消息块协议 SMB 协议在客户端服务器环境中用于访问文件、打印机、邮件插槽、命名管道以及应用程序编程接口 (API) 等资源的共享协议SMB 命令通常可以分为四部分： 会话控制 文件命令 打印命令 消息命令 -CIFSCIFS协议协议CIFS 是 SMB 协议的增强版本。CIFS 是一种开放式、跨平台的 SMB 版本，它是当前的准

17、Internet 标准。 -多用途网际邮件扩充协议多用途网际邮件扩充协议（MIME）该协议指明了如何安排消息的格式，使消息在不同的邮件系统内进行交换。MIME的格式灵活，允许邮件中包含任意类型的文件。 -第三单元第三单元高级高级Windows的安全的安全-单元目标单元目标 理解理解NTFS文件系统的功能及安全性文件系统的功能及安全性 了解了解Windows设置中默认值带来的风险设置中默认值带来的风险 了解了解Windows常见端口的功能常见端口的功能 掌握怎样保护注册表安全掌握怎样保护注册表安全 理解理解Windows服务包及补丁包的功能服务包及补丁包的功能-文件系统安全文件系统安全磁盘分区安

18、全：将操作系统、程序文件、数据文件单独分区并设置不同的权限-实验实验3-1 3-2 创建创建Windows的文件共享的文件共享 设置共享权限设置共享权限-NTFSNTFS权限和共享权限的关系权限和共享权限的关系原则：在NTFS分区上必须要求NTFS权限。对共享文件夹中的各个文件和子文件夹，用户除了具有该共享权限之外，还必须具有相应的NTFS权限，这样才能访问那些资源。 -WindowsWindows的默认设置的默认设置默认启动多项服务，开放多个端口NTFS权限为everyone完全控制默认共享如：admin$、ipc$、C$、D$等很多安全策略都是待定状态（没有设置）-引起重视的五个端口引起重

19、视的五个端口（1）135端口：被认为是危险的，但又无法实际感受到其危险性，并且难以了解其用途检查其危险性的工具：IEen 防范方法：最好办法是关闭RPC服务 -引起重视的五个端口引起重视的五个端口（2）137端口：除得到计算机名和注册用户名以外，还可以得到该机是否为主域控制器和主浏览器、是否作为文件服务器使用、IIS和Samba是否正在运行以及Lotus Notes是否正在运行等信息 -引起重视的五个端口引起重视的五个端口（3）138端口提供NetBIOS的浏览功能，该功能用于显示连接于网络中的电脑一览表。比如，在Windows 2000中由“网络邻居”中选择“整个网络”后，就会完整地显示连接

20、于网络中的电脑。在浏览功能中，被称为主浏览器的电脑管理着连接于网络中的电脑一览表的浏览列表。每台电脑在起动时或连接网络时利用138端口广播自己的NetBIOS名。收到NetBIOS名的主浏览器会将这台电脑追加到浏览列表中。需要显示一览表时，就广播一览表显示请求，收到请求的主浏览器会发送浏览列表。关闭电脑时，机器会通知主浏览器，以便让主浏览器将自己的NetBIOS名从列表中删除掉。这些信息的交换使用的是138端口。由于这里也会进行广播，因此就会将自己的电脑信息发送给同组中的所有电脑。-引起重视的五个端口引起重视的五个端口（4）139端口 进行文件共享和打印机共享等实际通信时采用SMB协议，在SM

21、B通信中，首先使用上述的计算机名解释功能，取得通信对象的IP地址，然后向通信对象发出开始通信的请求。如果对方允许进行通信，就会确立会话（Session）。并使用它向对方发送用户名和密码信息，进行认证。如果认证成功，就可以访问对方的共享文件。在这些一连串的通信中使用的就是139端口。-引起重视的五个端口引起重视的五个端口（5） SMB（服务器信息块）协议，不仅使用139端口而且还会使用445端口。 -其它默认设置存在的风险其它默认设置存在的风险Guest帐户 Administrator帐户 转储文件 -WindowsWindows的日志的日志日志文件(log)记录着Windows系统及其各种服务

22、运行的每个细节，对增强Windows的稳定和安全性，起着非常重要的作用。 -实验实验3-33-3： WindowsWindows日志查看设置日志查看设置-注册表安全注册表安全 注册表是一个存储键和值的数据库，它取代了早期Windows中的.ini系统的地位，并扩展了它的功能。编辑注册表具有潜在的风险性。一次错误的操作可能会对操作系统造成不可挽回的破坏，编辑并不是Windows注册表面临的唯一风险。 -注册表访问控制注册表访问控制类似于文件或文件夹的访问控制，Windows为注册表提供了访问控制的功能。可以为用户帐号或组分配注册表预定义项的访问权限 。-注册表的权限注册表的权限 权限描述查询数值

23、允许某用户或组从注册项中读取数值。设置数值允许某用户或组在注册项中设置数值。创建子项允许某用户或组在给定的注册项中建立子项。枚举子项允许某用户或组识别某注册项的子项。通知允许某用户或组从注册表的项中审计通知事件。创建链接赋予用户或组在特定项中建立符号连接的权限。删除允许用户或组删除选定的项。写入DAC允许用户或组获得将目录访问控制列表写入注册表项的权限。这是一种有效的更改权限。写入所有者允许用户或组具有夺取注册表项的拥有权的权限。读取控制允许用户或组获得访问选定注册表项的安全信息。-注册表的审核注册表的审核如同审核文件系统，你可以审核对特定注册表区域的访问行为，对已经加以保护的注册表区域的审核

24、尤为重要 。-实验实验3-43-4：实现注册表的审核：实现注册表的审核-服务包和补丁包服务包和补丁包 微软公司会不定期发布对已经发现的Windows问题进行修补的程序，这些被称为服务包或补丁包的程序为终端用户完善了系统安全，运用并管理好服务包是保障系统安全的重要手段。 没有绝对安全的系统与应用软件 。2004年微软发布的45个安全公告，共修补了漏洞82个，推出补丁程序45类 扫描和利用系统漏洞攻击是黑客最常用的攻击手段，针对系统漏洞最有效的方法就是安装补丁程序，因此防范病毒和攻击，我们第一步要做的就是安装系统补丁。微软公司有四种解决方案Windows Update、SUS、SMS和WUS。-W

25、indows UpdateWindows UpdateWindows 2000 sp3、windows xp sp1、Windows 2003后系统自带了Auto update的组件，我们可以通过点击控制面板内的自动更新选项来配置这项服务 。-Software Update Services (SUS)微软公司的SUS是微软公司为客户提供的，致力于帮助用户对基于Windows 2000/XP/2003 等机器快速部署最新的重要更新和安全更新的免费软件。SUS由服务器组件和客户端组成。服务器组件负责软件更新服务，称为SUS 服务器，用于安装在公司内网的Windows 2000或Windows 2

26、003的服务器上。服务器提供通过基于Web 的工具管理和分发更新的管理功能。而客户端组件就是微软公司的自动更新服务（Automatic Updates），负责接收从服务器中产品更新的信息。-Systems Management Server（SMS）SMS是微软公司面向企业用户提供的网络管理软件，它基于Windows 2000动态目录管理，适用于大型企业。它能够协助系统管理员轻松收集企业内部计算机硬件配置和所安装的软件清单，准确判断哪些机器需要更新，哪些机器可以运行新的软件。SMS提供了远程故障处理工具，很大程度上减少企业维护成本。-Windows Update Services（WUS）WU

27、S是微软公司新的系统补丁发放服务器，它是SUS的继任者。WUS提供了必需的报告功能而且可以更新Office XP/2003，Exchange 2003 和SQL（以及MSDE）2000，而且在以后也会加入对其他应用程序更新的支持。目前WUS还属于公开测试阶段，只支持Windows 2000 Server和Windows 2003 Server。 -扩展实验扩展实验3-13-1：SUSSUS的部署的部署-第四单元第四单元Unix/Linux安全基础安全基础-单元目标单元目标 了解操作系统的常规漏洞 理解缓冲区溢出、配置错误和root工具包 认识UNIX的认证机制 理解UNIX的访问控制 掌握密码

28、过期和帐户停用-UNIXUNIX发展历史发展历史 它的第一个版本是1969年在AT&T贝尔实验室实现的。 1974用C语言重写的V4版，这成为计算机系统之间操作系统可移植性的一个里程碑。80年代其他厂商，以及科研机构都纷纷改进UNIX，其中以加州大学伯克利分校的BSD版本最为著名 从90年代开始，AT&T的源代码许可证创造了市场的繁荣，不同开发者开发了数百种UNIX版本，如IBM的AIX, Sun公司的Solaris, HP公司的HP-UX等。 -Linux Linux是从UNIX衍生出来的。80年代中期，芬兰赫尔辛基大学的Linus Torvalds开始了旨在代替UNIX操作系统的开发，并于

29、1991年开发成功，这就是Linux。-Unix/LinuxUnix/Linux命令基础命令基础Supwd Lsfind tar gzip cp rm DfPsshutdown-扩展实验扩展实验4-1 Unix/Linux基本命令运用基本命令运用-Unix/LinuxUnix/Linux操作系统的常规漏洞操作系统的常规漏洞RPC守护进程程序错误漏洞一些服务和应用的远程漏洞 IP欺骗窃听暴露系统信息 最近一次输入的口令被保存在历史记录中缓冲区溢出-什么是什么是rootkitrootkit rootkit是可以获得系统root访问权限的一类工具。实际上，rootkit是攻击者用来隐藏自己的踪迹和保

30、留root访问权限的工具，主要的表现形式就是修改正常的程序来实现自己的目的。 -Rootkit的组成的组成 所有的rootkit基本上都是由几个独立的程序组成的，一个典型rootkit包括： 以太网嗅探器程序，用于获得网络上传输的用户名和密码等信息。 特洛伊木马程序，例如：inetd或者login，为攻击者提供后门以便攻击者下次能够很轻松的进入。 隐藏攻击者的目录和进程的程序，例如：ps、netstat、rshd和ls等。 可能还包括一些日志清理工具，例如：zap、zap2或者z2，攻击者使用这些清理工具删除wtmp、utmp和lastlog等日志文件中有关自己行踪的条目。 一些复杂的root

31、kit还可以向攻击者提供telnet、shell和finger等服务。 还包括一些用来清理/var/log和/var/adm目录中其它文件的一些脚本。 -lrk 目前最常见的 rootkit 是 Linux Rootkit(lrk)，以 lrk 为例，列出这些程序及其功用，lrk工作集包含有: fix - 改变文件的 timestamp(时间戳) 和 checksum（校验和），用来把窜改过的程序的timestamp 和 checksum，变更为和原先的系统中的程序相同。 linsniffer - 窃取特定网络信息(ftp / telnet / imap.)的sniffer。 sniffchk

32、 - 检查 linsniffer 是否在运行。 wted - 查阅或移除 wtmp 中指定的栏位。 z2 - 移除某个使用者最后的 utmp/wtmp/lastlog 纪录 -防范和发现防范和发现rootkitrootkit 不要在网络上使用明文传输密码，或者使用一次性密码。 使用Tripwire和aide等检测工具能够及时地帮助你发现攻击者的入侵，它们能够很好地提供系统完整性的检查。 如果怀疑自己可能已经被植入 rootkit，可以使用 chkrootkit 来检查，chkrootkit 是专门针对rootkit的检测工具 。-访问控制的基本概念访问控制的基本概念主体（主体（Subject）

33、 主体是指主动的实体，是访问的发起者，它造成了信息的流动和系统状态的改变，主体通常包括人、进程和设备。客体（客体（Object） 客体是指包含或接受信息的被动实体，客体在信息流动中的地位是被动的，是处于主体的作用之下，对客体的访问意味着对其中所包含信息的访问。客体通常包括文件、设备、信号量和网络节点等对象或是资源。访问（访问（Access） 访问（Access）是使信息在主体（Subject）和客体（Object）之间流动的一种交互方式。访问包括读取数据，更改数据，运行程序，发起连接等。访问许可（访问许可（Access Permissions） 访问控制决定了谁能够访问系统，能访问系统的何种资

34、源以及如何使用这些资源。 -访问控制分类访问控制分类基本理念基本理念 强制访问控制（Mandatory access control）自主访问控制（Discretionary access control）应用环境应用环境 网络访问控制主机、操作系统访问控制应用程序访问控制 -用户管理的命令和工具用户管理的命令和工具useradd ：添加用户adduser ：添加用户passwd ：为用户设置密码usermod ：修改用户命令，可以通过usermod 来修改登录 名、用户的家目录等等；pwcov ：同步用户从/etc/passwd 到/etc/shadowpwck ：pwck是校验用户配置文件

35、/etc/passwd 和 /etc/shadow 文件内容是否合法或完整；finger ：查看用户信息工具id ：查看用户的UID、GID及所归属的用户组chfn ：更改用户信息工具su ：用户切换工具-用户和密码的相关文件用户和密码的相关文件/etc/passwd文件含有全部系统需要知道的关于每个用户的信息(加密后的口令存于/etc/shadow文件中)。/etc/passwd中包含有用户的登录名,经过加密的口令、用户号、用户组号、用户注释、用户主目录和用户所用的shell程序。其中用户号(UID)和用户组号(GID) 用于UNIX系统唯一地标识用户和同组用户及用户的访问权限。-/etc/

36、passwd文件内容文件内容 第一字段：用户名（也被称为登录名） 第二字段：口令 第三字段：UID 第四字段：GID 第五字段：用户名全称 第六字段：用户的home目录所在位置 第七字段：用户所用SHELL 的类型-设置密码安全的命令设置密码安全的命令passwd : -k, ：保留即将过期的用户在期满后能仍能使用； -d, ：删除用户密码，仅能以root权限操作； -l, ：锁住用户无权更改其密码，仅能通过root权限操作； -u, ：解除锁定； -f, ：强制操作；仅root权限才能操作； -x, ：两次密码修正的最大天数，后面接数字；仅能root权限操作； -n, ：两次密码修改的最小天

37、数，后面接数字，仅能root权限操作； -w, ：在距多少天提醒用户修改密码；仅能root权限操作； -i, ：在密码过期后多少天，用户被禁掉，仅能以root操作； -S, ：查询用户的密码状态，仅能root用户操作；chage 命令；命令；chage 语法格式：chage OPTION. -m mindays ：设定使用者必须要更改密码的最短天数。如果值为 0，表示密码永不过 期。 -M maxdays ：指定密码最长的有效天数。-d lastday ：指定上次更改密码的天数 -I inactive ：指定在密码过期后与账号锁定前的天数，假如指定值为 0 的话，在密码 过期后，帐号将不会被锁

38、定。 -E expiredate ：指定要锁定帐号的日期（以 YYYY-MM-DD 格式） -W warndays ：指定密码过期前要警告使用者的天数。 -危害密码的行为危害密码的行为 网络侦听（sniffer）口令字猜测（password guessing） -密码的安全防范密码的安全防范密码长度密码复杂性定期更改-扩展实验扩展实验4-2用户和密码管理相关命令用户和密码管理相关命令-扩展实验扩展实验4-3查看用户和密码相关文件查看用户和密码相关文件-第五单元第五单元 Unix/Linux的高级安全的高级安全-单元目标单元目标深入掌握UNIX权限了解可拔插的认证模块PAM了解易受攻击的服务了解

39、NFS的安全问题掌握Telnet的安全掌握Apache的安全SSH简介及运用了解FTP安全掌握UNIX 日志管理-Unix/LinuxUnix/Linux的系统目录结构的系统目录结构/bin bin是Binary的缩写。这个目录存放着最经常使用的命令。 /boot这里存放的是启动Linux时使用的一些核心文件，包括一些链接文件以及镜像文件，有些类似于windows系统中的boot.ini文件。 /dev dev是Device(设备)的缩写。该目录下存放的是Linux的外部设备，在Linux中访问设备的方式和访问文件的方式是相同的，如磁盘设备在Linux中叫做/dev/fda0,磁盘称为/dev

40、/hda0或/dev/scsi0,磁带设备称为/dev/rmt0。 /etc 这个目录用来存放所有的系统管理所需要的配置文件和子目录,比如大家都非常熟悉的init程序，httpd、smb、ssh等配置文件,。 /home用户的主目录，在Linux中，每个用户都有一个自己的目录，一般该目录名是以用户的账号命名的，这和Windows系统中的主目录是一个概念，类似每个用户的我的文档这个文件夹。 /lib这个目录里存放着系统最基本的动态链接共享库，其作用类似于Windows里的DLL文件。几乎所有的应用程序都需要用到这些共享库。 /lost+found这个目录一般情况下是空的，当系统非法关机后，这里就

41、存放了一些文件。 /mnt在这里面中有四个目录，系统提供这些目录是为了让用户临时挂载别的文件系统的，我们可以将光驱挂载在/mnt/cdrom上，然后进入该目录就可以查看光驱里的内容了。 /proc这个目录是一个虚拟的目录，它是系统内存的映射，我们可以通过直接访问这个目录来获取系统信息。/root该目录为系统管理员，也称作超级权限者的用户主目录。 /sbin s就是Super User的意思，这里存放的是系统管理员使用的系统管理程序。 /tmp这个目录是用来存放一些临时文件的。 /var这个目录中存放着在不断扩充着的东西，我们习惯将那些经常被修改的目录放在这个目录下。包括各种日志文件。 -Lin

42、ux Linux 文件属性概述文件属性概述第一字段：inodeinode 的值是：90297第二字段：文件种类和权限；文件类型：文件类型是-，表示这是一个普通文件； d表示目录类 型；l表示链接文件类型。文件权限：文件权限是-rw-r-r- ，表示文件属主可读、可写， 文件所归属的用户组可读，其它用户可读。第三字段：硬链接个数；硬链接个数：DCOPserver_linux_0这个文件没有硬链接；因为数 值是1，就是他本身；第四字段：属主；文件属主：也就是这个文件归于哪个用户，它归于root，也就是第 一个root；第五字段：所归属的组；文件属组：也就是说，对于这个文件，它归属于哪个用户组，在这

43、 里是root用户组；第六字段：文件或目录的大小；文件大小：文件大小是52个字节；第七字段和第八字段：最后访问或修改时间； 访问可修改时间 ：这里的时间是最后访问的时间，最后访问和文 件被修改或创建的时间，有时并不是一致的； 例:90297 -rw-r-r- 1 root root 52 Aug 22 16:56 .DCOPserver_linux_0-文件权限位文件权限位-改变权限的命令改变权限的命令 chmodchmod 数字法数字法八进制数字权限0-1-x2-w-3-wx4r5r-x6rw-7rwx-改变权限的命令改变权限的命令 chmodchmod助记法助记法 助记法标记代表的意义u代

44、表属主g代表属组o代表其它用户a代表属主、属组和其它用户，也就是上面三个用户（或组）的所有；-改变目录权限改变目录权限如果想改变的仅仅是目录的权限，只需要跟上所需的权限位和目录名就可以了 ，不用加任何参数。如果想把目录以下的所有文件或子目录改变，应该加-R参数；-默认权限分配的命令默认权限分配的命令 umask umask 是通过八进制的数值来定义用户创建文件或目录的默认权限。umask 表示的是禁止权限。不过文件和目录有点不同。对于文件来说，umask 的设置是在假定文件拥有八进制666权限上进行，文件的权限就是666减去umask的掩码数值；对于目录来说，umask 的设置是在假定文件拥有

45、八进制777权限上进行，目录八进制权限777减去umask的掩码数值；-改变文件的当属关系的工具改变文件的当属关系的工具 chownchown chown 所接的新的属主和新的属组之间应该以.或:连接，属主和属组之一可以为空。如果属主为空，应该是 :属组 ；如果属组为空就不必需要.或:了。chown 也提供了-R参数，这个参数对目录改变属主和属组极为有用，我们可以通过加-R参数来改变某个目录下的所有文件到新的属主或属组； -改变文件的属组工具改变文件的属组工具 chgrpchgrp 它的用户和chown 类似，只不过它仅是用来改变文件或目录的属组的；-R参数用于目录及目录下所有文件改变属组的。

46、它和chown的用法是一样的。 -扩展实验扩展实验5-1设置文件和目录权限相关命令设置文件和目录权限相关命令-PAMPAM（可插拔认证模块）方式允许系统管理员设置多种认证措施而无须重新编译要进行认证的程序，这就使得管理员能根据当前需求的变化而变更用户认证的方法 。-PAM的模块类型的模块类型PAM定义了四种类型的模块： auth模块提供实际的认证过程，可能是提示口令输入并检查输入的口令，设置保密字如用户组或KERBEROS通行证。 account模块负责检查并确认是否可以进行认证（比如，帐户是否到期，用户此时此刻是否可以登入，等等）。 password模块被用来设置口令。 session模块将

47、被用来做用户使用其帐户前的初始化工作，如安装用户的HOME目、使用用户的电子邮箱等。-举例举例auth required /lib/security/pam_securetty.soauth required /lib/security/pam_pwdb.so shadow nullokauth required /lib/security/pam_nologin.soaccount required /lib/security/pam_pwdb.sopassword required /lib/security/pam_cracklib.sopassword required /lib/se

48、curity/pam_pwdb.so shadow nullok use_authtoksession required /lib/security/pam_pwdb.so-TelnetTelnet安全安全 telnet有以下几个严重缺陷： 口令没有加密，第三者可用嗅探器捕获到口令。 Telnet没有采用强用户认证。 Telnet不进行会话完整性检查。 Telnet会话没有加密。 -SSH SSH(secure Shell)是一个用来替代TELNET、FTP以及R命令的工具包，旨在解决口令在网上明文传输的问题。 -扩展实验扩展实验5-2 SSH安装和使用安装和使用-NFS安全安全NFS(net

49、work file system)是由SUN公司开发, 并于1984年推出，NFS的功能在于提供不同机器间的档案分享与共用 .NFS的不安全性主要体现于以下4个方面: 新手对NFS的访问控制机制难于做到得心应手,控制目标的精确性难以实现 NFS没有真正的用户验证机制,而只有对RPC/Mount请求的过程验证机制 较早的NFS可以使未授权用户获得有效的文件句柄 在RPC远程调用中,一个SUID的程序就具有超级用户权限-NFS安全安全禁止NFS服务,或以AFS服务取而代之(Andrew File System)如果一定要开NFS,不要让一个单机可以既是client,也是serverexport出的

50、文件系统只设置为只读禁止那些有SUID特性的程序的执行不要export home 目录不要export可执行特性-扩展实验扩展实验5-3设置设置NFS共享及安全共享及安全-ApacheApache服务器安全服务器安全 Apache服务器是Internet网上应用最为广泛的Web服务器软件之一。Apache服务器源自美国国家超级技术计算应用中心（NCSA）的Web服务器项目中。目前已在互联网中占据了领导地位。 主要的安全缺陷： （1）使用HTTP协议进行的拒绝服务攻击(denial of service)的安全缺陷 （2）缓冲区溢出的安全缺陷 （3）被攻击者获得root权限的安全缺陷 -正确维护