程序员 google 开源 apache php Firefox Android 微软 wordpress 云计算 mysql Ubuntu centos java Python linux 编程 shell Windows nginx

高性能Linux服務器構建實戰:系統安全、故障排查、自動化運維與集群架構》——1.3 文件系統安全

1.3 文件系統安全

1.3.1 鎖定系統重要文件
系統運維人員有時候可能會遇到通過root用戶都不能修改或者刪除某個文件的情況,產生這種情況的大部分原因可能是這個文件被鎖定了。在Linux下鎖定文件的命令是chattr,通過這個命令可以修改ext2、ext3、ext4文件系統下文件屬性,但是這個命令必須由超級用戶root來執行。和這個命令對應的命令是lsattr,後者用來查詢文件屬性。
通過chattr命令修改文件或者目錄的文件屬性能夠提高系統的安全性,下面簡單介紹下chattr和lsattr兩個命令的用法。
chattr命令的語法格式如下:

chattr [-RV] [-v version] [mode] 文件或目錄
主要參數含義如下:
-R:遞歸修改所有的文件及子目錄。
-V:詳細顯示修改內容,並打印輸出。
其中mode部分用來控制文件的屬性,常用參數如表1-2所示。


這些參數中,最常用到的是a和i,a參數常用於服務器日誌文件安全設定,而i參數更為嚴格,不允許對文件進行任何操作,即使是root用戶。
lsattr用來查詢文件屬性,用法比較簡單,其語法格式如下:

lsattr [-adlRvV] 文件或目錄
常用參數如表1-3所示。


在Linux系統中,如果一個用戶以root的權限登錄或者某個進程以root的權限運行,那麽它的使用權限就不再有任何的限制了。因此,攻擊者通過遠程或者本地攻擊手段獲得了系統的root權限將是一場災難。在這種情況下,文件系統將是保護系統安全的最後一道防線,合理的屬性設置可以最大限度地降低攻擊者對系統的破壞程度,通過chattr命令鎖定系統一些重要的文件或目錄,是保護文件系統安全最直接、最有效的手段。
對一些重要的目錄和文件可以加上“i”屬性,常見的文件和目錄有:

chattr -R +i /bin /boot /lib /sbin
chattr -R +i /usr/bin /usr/include /usr/lib /usr/sbin
chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/hosts
chattr +i /etc/resolv.conf
chattr +i /etc/fstab
chattr +i /etc/sudoers
對一些重要的日誌文件可以加上“a”屬性,常見的有:

chattr +a /var/log/messages
chattr +a /var/log/wtmp
對重要的文件進行加鎖,雖然能夠提高服務器的安全性,但是也會帶來一些不便,例如,在軟件的安裝、升級時可能需要去掉有關目錄和文件的immutable屬性和append-only屬性,同時,對日誌文件設置了append-only屬性,可能會使日誌輪換(logrotate)無法進行。因此,在使用chattr命令前,需要結合服務器的應用環境來權衡是否需要設置immutable屬性和append-only屬性。
另外,雖然通過chattr命令修改文件屬性能夠提高文件系統的安全性,但是它並不適合所有的目錄。chattr命令不能保護/、/dev、/tmp、/var等目錄。
根目錄不能有不可修改屬性,因為如果根目錄具有不可修改屬性,那麽系統根本無法工作:/dev在啟動時,syslog需要刪除並重新建立/dev/log套接字設備,如果設置了不可修改屬性,那麽可能出問題;/tmp目錄會有很多應用程序和系統程序需要在這個目錄下建立臨時文件,也不能設置不可修改屬性;/var是系統和程序的日誌目錄,如果設置為不可修改屬性,那麽系統將無法寫日誌,所以也不能通過chattr命令保護。
雖然保護/dev、/tmp等目錄的安全性無法通過chattr命令實現,但是可以通過另外的方法實現,這些將在下一小節詳細介紹。
1.3.2 文件權限檢查和修改
不正確的權限設置直接威脅系統的安全,因此運維人員應該能及時發現這些不正確的權限設置,並立刻修正,防患於未然。下面列舉幾種查找系統不安全權限的方法。
(1)查找系統中任何用戶都有寫權限的文件或目錄
查找文件:find / -type f -perm -2 -o -perm -20 |xargs ls -al
查找目錄:find / -type d -perm -2 -o -perm -20 |xargs ls –ld
(2)查找系統中所有含“s”位的程序

find / -type f -perm -4000 -o -perm -2000 -print | xargs ls –al
含有“s”位權限的程序對系統安全威脅很大,通過查找系統中所有具有“s”位權限的程序,可以把某些不必要的“s”位權限的程序去掉,這樣可以防止用戶濫用權限或提升權限的可能性。
(3)檢查系統中所有suid及sgid文件

find / -user root -perm -2000 -print -exec md5sum {} \;
find / -user root -perm -4000 -print -exec md5sum {} \;
將檢查的結果保存到文件中,可在以後的系統檢查中作為參考。
(4)檢查系統中沒有屬主的文件

find / -nouser -o –nogroup
沒有屬主的孤兒文件比較危險,往往成為黑客利用的工具,因此在找到這些文件後,要麽刪除,要麽修改文件的屬主,使其處於安全狀態。
1.3.3 /tmp、/var/tmp、/dev/shm安全設定
在Linux系統中,用來存放臨時文件主要有兩個目錄或分區,分別是/tmp和/var/tmp。存儲臨時文件的目錄或分區有個共同點,就是所有用戶可讀寫、可執行,這就為系統留下了安全隱患。攻擊者可以將病毒或者木馬腳本放到臨時文件的目錄下進行信息收集或偽裝,嚴重影響服務器的安全,此時,如果修改臨時目錄的讀寫執行權限,還有可能影響系統上應用程序正常運行,因此,如果要兼顧兩者,就需要對這兩個目錄或分區進行特殊設置。
/dev/shm是Linux下的一個共享內存設備,在Linux啟動的時候系統默認會加載/dev/shm,被加載的/dev/shm使用的是tmpfs文件系統,而tmpfs是一個內存文件系統,存儲到tmpfs文件系統的數據會完全駐留在RAM中,這樣通過/dev/shm就可以直接操控系統內存,這將非常危險,因此如何保證/dev/shm安全也至關重要。
對於/tmp的安全設置,需要看/tmp是一個獨立磁盤分區,還是一個根分區下的文件夾。如果/tmp是一個獨立的磁盤分區,那麽設置非常簡單,修改/etc/fstab文件中/tmp分區對應的掛載屬性,加上nosuid、noexec、nodev三個選項即可,修改後的/tmp分區掛載屬性類似如下:

LABEL=/tmp     /tmp          ext3    rw,nosuid,noexec,nodev   0 0
其中,nosuid、noexec、nodev選項表示不允許任何suid程序,在這個分區不能執行任何腳本等程序,以及不存在設備文件。
在掛載屬性設置完成後,重新掛載/tmp分區,保證設置生效。
對於/var/tmp,如果是獨立分區,安裝/tmp的設置方法是修改/etc/fstab文件即可;如果是/var分區下的一個目錄,那麽可以將/var/tmp目錄下所有數據移動到/tmp分區下,然後在/var下做一個指向/tmp的軟連接即可。也就是執行如下操作:

[root@server ~]# mv /var/tmp/* /tmp
[root@server ~]# ln -s  /tmp /var/tmp
如果/tmp是根目錄下的一個目錄,那麽設置稍微復雜,可以通過創建一個loopback文件系統來利用Linux內核的loopback特性將文件系統掛載到/tmp下,然後在掛載時指定限制加載選項即可。一個簡單的操作示例如下:

[root@server ~]# dd if=/dev/zero of=/dev/tmpfs bs=1M count=10000
[root@server ~]# mke2fs -j /dev/tmpfs
[root@server ~]# cp -av /tmp /tmp.old
[root@server ~]# mount -o loop,noexec,nosuid,rw /dev/tmpfs /tmp
[root@server ~]# chmod 1777 /tmp
[root@server ~]# mv -f /tmp.old/* /tmp/
[root@server ~]# rm -rf /tmp.old
最後,編輯/etc/fstab,添加如下內容,以便系統在啟動時自動加載loopback文件系統:

/dev/tmpfs /tmp ext3 loop,nosuid,noexec,rw 0 0
為了驗證掛載時指定限制加載選項是否生效,可以在/tmp分區創建一個Shell文件,操作如下:

[root@tc193 tmp]# ls -al|grep shell
-rwxr-xr-x   1 root root    22 Oct  6 14:58 shell-test.sh
[root@server ~]# pwd
/tmp
[root@tc193 tmp]# ./shell-test.sh 
-bash: ./shell-test.sh: Permission denied
可以看出,雖然文件有可執行屬性,但是在/tmp分區已經無法執行任何文件了。
最後介紹如何修改/dev/shm的安全設置。由於/dev/shm是一個共享內存設備,因此也可以通過修改/etc/fstab文件設置而實現,在默認情況下,/dev/shm通過defaults選項來加載,這樣保證其安全性是不夠的,需要修改/dev/shm的掛載屬性,操作如下:

tmpfs   /dev/shm    tmpfs   defaults,nosuid,noexec,rw  0 0
通過這種方式限制了任何suid程序,同時也限制了/dev/shm的可執行權限,系統安全性得到進一步提升。

延伸阅读

    评论