linux系统安全杂记三

07网络配置

检查网络参数

sysctl命令 -a 查看当前网络参数

1. net.ipv4.icmp_echo_ignore_broadcasts = 1
   忽略ICMP广播：不会对ping请求做出回应，这样别人就不会通过ping来发现该主机
2. net.ipv4.icmp_echo_ignore_all = 1
   忽略ICMP echo请求
3. net.ipv4.ip_default_ttl = 128
   修改TTL为128，隐藏当前操作系统的正确类型，有些扫描器通过系统返回的TTL值来确定当前操作系统的类型
   sysctl -p 使更改生效

自定义规则

iptables命令使linux上常用的防火墙软件，使netfilter项目的一部分

从防火墙中增加、删除规则等，参数选项：

规则链名包括：
INPUT链：处理输入数据包
OUTPUT链：处理输出数据包
PORWARD链：处理转发数据包
动作包括
accept：接收数据包
DROP：丢弃数据包
REDIRECT:重定向、映射、透明代理

限制进入连接

（对ssh服务起到了防护）限制了访问本机的ip地址只能使从192.168.10.0到24的才能从22端口进入本机

限制外发连接

eth0网卡无法向外发起tcp连接

向外的udp包都会被丢弃掉
iptables -list查看规则，（内发规则链，外发规则链等）

08日志审计

配置rsyslog. conf 启用安全事件日志记录
编辑/etc/rsyslog.conf
配置：

其中 /var/adm/messages为日志文件

系统的日志目录保存在 ls /var/log中

系统日志

1. message日志：/var/log/messages
   messages中记录有运行信息和认证信息，对于追查恶意用户的登陆行为有很大帮助
2. cron日志：/var/log/cron
   记录crontab守护进程crond所派生的子进程的动作，前面加上用户、登录时间和PID，以及派生出的进程的动作
3. secure日志：/var/log/
   若日志中出现连续大量的登录错误信息，则可能意味着远程主机在尝试破解ssh登录口令
   如：
   
   可能使有ssh爆破口令，将日志导出做分析，看有没有登录成功，做回应账号定位
4. last日志（直接输入last、lastlog命令）
   查看最近用户登录情况，last命令读取wtmp内容
   lastlog命令，查看系统内所有账户最后一次登录信息，该命令读取/var/log/lastlog内容

09安全工具

分析工具

系统自带的工具或命令

通过定位关键字查看恶意……

1. grep命令的使用
   查找一句话木马 <?php eval($_post[cmd]);?>
   假设网站的目录为/app/website/,我们需要查看该目录下是否包含该形式的一句话木马文件：
   方法1—>
   
   方法2—>
   
   手工排查webshell

弱口令审计

弱口令就是用户名和密码都是系统默认的,没有改。或者只是一些简单的数字组合.很容易被黑客破解的加密强度不高的口令

工具一 john the ripper

john the ripper使用该工具时需要权限,能获取到目标系统的系统文件才可以。如果不能提取到一个加密后的密码文件是无法使用该工具的。
除了可以审计linux系统的还可以审计oracle数据库的弱口令
http://www.openwall.com/john/
步骤： 提取弱口令文件，按照格式，将密文中账号名对应后一一爆破
#john /etc/shadow --single
#john /etc/shadow --wordlist=pass.dic
两种常见的：

1. john加上爆破的加密文件（etc shadow）和爆破参数single（提取账户名，利用账户名的格式变换来爆破对应的密码，比如会使用账户名的变体来作为密码）
2. 搜集内部常见的弱口令，收集成字典做爆破
   
   例如这里显示有8个hashes被爆破成功、

工具二 Hydra

Hydra不需要提取口令加密（密码）文件，通过在线爆破
缺点：可能会导致一些账户被锁定，需要跟系统管理员确定好相关安全配置再做对应的审计

-l 制定账号名，-p指定密码字典，192.168.0.1指定爆破的IP地址，ftp指定爆破的主机上的服务
这个命令是使用login（要破解的用户名）账户还有passlist（密码字典库）来爆破192.168.0.1上的ftp服务的login账户的密码

爆破的是192.168.0.1上面的smb服务的login账户的密码
举例：

用的是pw.txt密码字典

后门程序检测（工具）

后门程序一般是指那些绕过安全性控制而获取对程序或系统访问权的程序方法。在软件的开发阶段，程序员常常会在软件内创建后门程序以便可以修改程序设计中的缺陷。但是，如果这些后门被其他人知道，或是在发布软件之前没有删除后门程序，那么它就成了安全风险，容易被黑客当成漏洞进行攻击。

chkrootkit

用于UNIX/LINUX的本地rootkit检查工具
http://www/chkrootkit.org/
目前的工具能够进行rootkit检测的类型可以有60多种
检测命令： ./chkrootkit -q -r /再加上一个操作系统的根，就会对当前操作系统根下面所有目录的文件进行后门程序检测
官方说明的能够检测的rootkit的类型

rootkit hunter

http://rkhunter.sourceforge.net/
检测命令：rkhunter -check
在检查过程中，程序会随时打印出每一项检查结果是否会发生异常的恶意文件，检查结果生成一份报告，报告文件放在/var/log/rkhunter.log文件中。