FreeBSD handbook中文版 10 安全|数据恢复|北亚数据恢复中心电话:4006-505-808


	您当前的位置:首页>>技术中心>>数据恢复文章>>正文

FreeBSD handbook中文版 10 安全

作者: 来源: 日期:2007-6-19 11:28:55 点击次数：

寻找可疑的资源地址。
假定，一个入侵者已经访问到了一个用户的帐户，入侵者就会使超级用户失效。然而，
事实是在一个安全的系统中，访问用户的帐户不应该给入侵者访问root 的权限。这个区别
是很重要的，因为没有访问root 的权限，入侵者是无法隐藏它的轨迹的，但可能不需要做
什么，就可以把用户的文件弄乱或使机器崩溃。窃取用户帐户是很普遍的事情，因为用户往
第2 页FreeBSD 使用手册
往不会对系统管理员的警告采取措施。
系统管理员应该牢牢记住，可能有许多潜在的方法会使root 失效。入侵者可能知道root
的密码，可以在一个以root 权限运行的服务器上找到一个错误（bug），就可以通过网络连
接到那台服务器上使root 失效，或者一旦入侵者已经侵入了一个用户的帐户，可以在自己
的机器上运行一个程序来发现服务器的漏洞，从而让他侵入到服务器使root 失效。如果入
侵者已经找到了方法使root 失效，入侵者就不需要安装一个后门。许多root 漏洞被找到之
后，入侵者会想尽办法去删除日期来清除自己的访问痕迹，所以很多入侵者会安装后门。后
门能给入侵者提供一个简单的重新获取访问系统的root 权限，但它也会给聪明的系统管理
员一个探测入侵的简便方法。认为入侵者不可能安装了后门，这种思想事实上对你的系统安
全是有害的，因为这样他就不会隔离从一开始就侵入系统的黑客发现的漏洞。
安全的管理方法应当使用象剥洋葱皮一样多层次，层层逼近的方法来实现，可以按下面
的方式进行分类：
1，确保root 用户和其它用户帐户的安全；
2，确保root 用户---以root 用户权限运行的服务器和suid/sgid 二进制程序的安全；
3，确保用户帐户的安全；
4，确保密码文件的安全；
5，确保内核中内核设备和文件系统的安全；
6，快速检测系统中发生的不适当的变化；
7，偏执狂；
这一章的下一节将比较深入地讲述上面提到的每一个条目。
10.3 确保FreeBSD 的安全
下面这节将讲述确保系统安全的方法。
10.3.1 确保root 用户和其它用户帐户的安全
首先，如果你没有确保root 帐户的安全，请不要为确保其它用户的安全而烦恼。绝大
多数系统都会指派一个密码给root 用户帐户。第一件事是假定密码总是不安全。这并不意
味着你要把密码删掉。密码通常对用控制台访问机器是必须的。也就是说，你不应当让它用
到控制台以外的密码，即使是使用su 命令。例如，确信你的pty’s 作为不安全的因素已经被
第3 页FreeBSD 使用手册
记录在/etc/ttys 文件中，以至直接通过telnet 或rlogin 登陆root 会不被接受。如果使用(如sshd)
其它的登陆服务，确认直接登陆root 根本不行。考虑到每一种访问方法--（如FTP 服务）通
过cracks 经常失败。直接登陆root 应当只有通过系统控制台被允许。
当然，作为一个系统管理员，你应当获得root 权限，所以我们公开几个漏洞。但我们
确信这些漏洞需要额外的密码确认才能操作。一种成为root 访问的是增加适当用户的帐户
到wheel 组（在/etc/group 中）。Wheel 组中的用户可以使用su 命令来访问root。在它们的密
码登陆口，通过把它们放置在wheel 组中，你就永远不会给用户成员访问本地wheel 的权限。
用户帐户应当被放置在staff 组中，然后通过/etc/group 文件加入到wheel 组。事实上，那些
需要访问root 的用户成员将会被放置在wheel 组中。当然也会有可能，用一个如kerberos
的认证方法。在root 帐户中使用kerberos 的.k5login 文件，可以不需要把任何人放置在wheel
组中就允许ksu 访问root.如果入侵者已经获得了密码文件，或者已侵入了一个用户帐户，这
可能是一个比较好的解决方法，因为wheel 机制仍然可能会使入侵者break root。虽然wheel