马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有账号？立即注册
×
目次
一、账号安全控制
（一）根本安全步调
（二）用户切换与提权
1. su 与 sudo 对比
2. su 安全控制
3. sudo 授权设置
二、体系引导和登录控制
（一）开关机安全控制
三、端口扫描（NMAP）
1. 常用扫描范例对比
四、端口扫描技能深度剖析
（一）NMAP 核心扫描原理
（二）高级扫描本领
2. 实战示例
（1）检测本地开放端口
（2）网段存活主机检测
（3）检测 FTP 服务主机
五、核心安全工具对比
（一）安全基线查抄清单
（二）日志 审计与应急相应
六、总结：构建多层防御体系
一、账号安全控制
（一）根本安全步调
安全步调核心目标关键下令 / 设置示例阐明体系账号清算禁用非须要登录账号grep "/sbin/nologin" /etc/passwd查抄非登任命户（如 bin、daemon）的 Shell 是否为/sbin/nologin，克制终端登录。防止用户文件被篡改chattr +i /etc/passwd /etc/shadow锁定用户信息文件，克制任何修改（包括新增用户）。暗码安全控制设置暗码有用期vi /etc/login.defs
PASS_MAX_DAYS 30全局设置新建用户暗码有用期为 30 天。逼迫用户修改暗码chage -M 30 lisi
chage -d 0 zhangsanchage -M修改已有用户有用期；chage -d 0逼迫用户下次登录时改暗码。下令汗青控制限定汗青记载条数vi /etc/profile
HISTSIZE=200全局设置汗青下令最多记载 200 条（收效需重新登录）。退出时清空汗青记载vi ~/.bash_logout
history -c用户退出时自动清空本次会话的汗青下令。自动注销设置防止终端闲置风险vi /etc/profile
export TMOUT=600全局设置终端闲置 10 分钟（600 秒）后自动注销。 （二）用户切换与提权
1. su 与 sudo 对比
特性su 下令sudo 下令权限范围完全切换用户身份仅实行授权的特定下令暗码验证须要目标用户暗码（root 除外）须要当前用户暗码安全风险大概走漏目标用户暗码最小权限原则，风险更低典范场景暂时获取 root 权限普通用户实行单次特权下令 2. su 安全控制
- 授权用户参加 wheel 组：
- gpasswd -a tsengyia wheel # 添加用户到wheel组
- grep wheel /etc/group # 确认组成员
- 修改 PAM 设置：
- vi /etc/pam.d/su # 去掉`auth required pam_wheel.so use_uid`前的#号
3. sudo 授权设置
- 根本格式：用户 主机=下令
- visudo # 编辑sudo配置文件
- jerry localhost=/sbin/ifconfig # 允许jerry执行ifconfig命令
- %wheel ALL=NOPASSWD:ALL # wheel组用户免密执行所有命令
- 通配符与取反：
- syrianer localhost=/sbin/*,!/sbin/ifconfig # 允许执行/sbin/下除ifconfig外的所有命令
二、体系引导和登录控制
（一）开关机安全控制
控制项实现方法下令示例GRUB 暗码掩护1. 生成暗码哈希：grub2-mkpasswd-pbkdf2
2. 编辑/etc/grub.d/00_header添加暗码
3. 重修 grub.cfg：grub2-mkconfig -o /boot/grub2/grub.cfg```bashgrub2-mkpasswd-pbkdf2 # 交互生成暗码哈希vi /etc/grub.d/00_header # 添加暗码设置 三、端口扫描（NMAP）
1. 常用扫描范例对比
扫描范例选项原理特点示例TCP SYN 扫描-sS发送 SYN 包，收到 SYN/ACK 则判断端口开放隐蔽性强，不创建完整毗连nmap -sS 192.168.1.1TCP 毗连扫描-sT完整三次握手创建毗连正确性高，易被日志记载nmap -sT 127.0.0.1UDP 扫描-sU探测 UDP 端口，开放端口大概无相应速度慢，需处理 ICMP 不可达消息nmap -sU -p 53 192.168.4.0/24ICMP 扫描-sP类似 ping 检测主机存活快速发现在线主机，不扫描端口nmap -sP 192.168.1.0/24端口指定-p扫描特定端口（如 21、80）针对性检测服务nmap -p 21,80 192.168.1.100 四、端口扫描技能深度剖析
（一）NMAP 核心扫描原理
- TCP 三次握手与扫描范例
- SYN 扫描（-sS）：
发送 SYN→吸取 SYN/ACK（端口开放）或 RST（端口关闭）→复兴 RST（不完成握手）
- 长处：隐蔽性强，不记载到目标日志
- 缺点：大概被防火墙拦截 SYN 包
- 毗连扫描（-sT）：
完整三次握手（SYN→SYN/ACK→ACK），目标会记载毗连日志
- 长处：正确性 100%，得当无状态防火墙环境
- 缺点：易被检测到攻击举动
- UDP 扫描（-sU）
- 原理：发送 UDP 数据包到目标端口，开放端口大概无相应，关闭端口返回 ICMP 端口不可达
- 挑战：UDP 协议无毗连状态，扫描速度慢（需等待超时）
- 优化：联合--min-parallelism 100进步并发度
（二）高级扫描本领
- 操纵体系辨认（-O）
- 原理：分析 TCP/IP 协议栈指纹（如 TTL、窗口巨细、选项字段）
- 示例：nmap -O 192.168.1.1
- 正确率：约 90%，依靠 NMAP 指纹库更新
- 服务版本检测（-sV）
- 作用：辨认端口对应的服务及版本（如 OpenSSH 8.0、Apache 2.4.38）
- 风险：老旧版本大概存在已知漏洞（如 OpenSSL Heartbleed）
- 脚本扫描（NMAP Scripting Engine, NSE）
- 内置脚天职类：
- vuln：检测漏洞（如 CVE-2021-44228 Log4j）
- auth：测试认证机制（如弱 FTP 暗码）
- exploit：实利用用漏洞（需审慎利用）
- 示例：检测 WordPress 弱暗码
- nmap --script http-wordpress-login 192.168.1.100 -p 80
（1）检测本地开放端口
- nmap 127.0.0.1 # 扫描TCP常用端口
- nmap -sU 127.0.0.1 # 扫描UDP端口
- nmap -n -sP 192.168.4.0/24 # 禁用DNS解析，快速ping扫描
- nmap -p 21 192.168.4.0/24 # 扫描21端口，定位FTP服务器
工具功能上风典范场景chage暗码有用期管理细粒度控制用户暗码计谋批量设置员工账号暗码有用期su/sudo用户切换与提权sudo 支持最小权限原则管理员授权普通用户实行特定下令John the Ripper弱口令检测支持多种加密算法，字典 / 暴力破解定期检测体系账号暗码强度NMAP端口扫描与服务发现支持多种扫描范例，跨平台网络安全评估，发现开放服务漏洞 （一）安全基线查抄清单
账号管理
- 定期清算逾期账号：chage -l username（查察有用期），删除 6 个月未登录账号：find /home -maxdepth 1 -type d ! -name "root" -mtime +180 -exec userdel -r {} \;
- 禁用 guest/nobody 等公共账号：usermod -s /sbin/nologin guest
- 服务加固
- 关闭危险服务：systemctl disable --now telnet.socket rpcbind.service
- 启用 HTTPS：为 Web 服务设置 SSL 证书（如 Let's Encrypt），克制 HTTP 访问
（二）日志审计与应急相应
- 关键日志监控
- 登录失败日志：grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c（定位暴力破解源 IP）
- sudo 操纵审计：tail -f /var/log/sudo（监控特权下令实行）
- 应急相应流程
- 检测：通过 NMAP 定期扫描、IDS 报警发现非常
- 隔离：防火墙封禁攻击源 IP，断开非常毗连
- 修复：补丁更新（yum update），重置弱暗码（passwd username）
- 复盘：记载变乱详情到《安全变乱陈诉》，更新安全计谋
六、总结：构建多层防御体系
用户层：最小权限原则（普通用户禁用 root 直接登录，通过 sudo 授权）
体系层：引导安全（GRUB 暗码）、登录控制（/etc/securetty）、会话安全（TMOUT/HISTSIZE）
网络层：端口扫描（NMAP 检测开放服务）、弱口令检测（John 工具修复暗码风险）
管理层面：定期审计、日志分析、应急相应预案
通过技能本领与管理计谋的联合，可有用低落体系安全风险，保障业务一连性。现实操纵中需根据场景调解设置（如生产环境禁用 UDP 扫描以淘汰误报），并连续关注安全漏洞库（如 CVE、NVD）的更新
|
发表于 2025-9-22 09:43:58