Linux服务器安全初始化Shell脚本

下面的这段Linux系统安全Shell脚本用于Linux系统的安全初始化脚本,可以在服务器系统安装完毕之后立即执行以快速建立起服务器的安全防护。最初的脚本由晓辉撰写,在数次修改之后已经大量应用在某大型媒体网站体系中。修改了一些bug,已经在CentOS 5.5 x86_64下通过,目前在一些没有硬件防火墙的服务器上使用。
使用方法:将其复制,保存为一个shell文件,比如 security.sh。将其上传到linux服务器上,执行sh security.sh,就可以使用该脚本了。建议大家在系统初始化后立即执行,然后创建了用户帐号和密码后就不要再改动了,以免影响重要文件的初始 md5值。
脚本内容(以下内容为了方便阅读,对注释进行了翻译):

1#!/bin/sh 2# desc: setup linux system security 3# author:coralzd 4# powered by www.baidu.org.tw 5# version 0.1.2 written by 2011.05.03 6#设置账号 7passwd -l xfs 8passwd -l news 9passwd -l nscd 10passwd -l dbus 11passwd -l vcsa 12passwd -l games 13passwd -l nobody 14passwd -l avahi 15passwd -l haldaemon 16passwd -l gopher 17passwd -l ftp 18passwd -l mailnull 19passwd -l pcap 20passwd -l mail 21passwd -l shutdown 22passwd -l halt 23passwd -l uucp 24passwd -l operator 25passwd -l sync 26passwd -l adm 27passwd -l lp 28# 用chattr给用户路径更改属性。chattr命令用法参考文末说明[1] 29chattr +i /etc/passwd 30chattr +i /etc/shadow 31chattr +i /etc/group 32chattr +i /etc/gshadow 33# 设置密码连续输错3次后锁定5分钟 【 Linux公社 www.Linuxidc.com 】 34sed -i ‘s#auth required pam_env.so#auth required pam_env.so\nauth required pam_tally.so onerr=fail deny=3 unlock_time=300\nauth required /lib/security/$ISA/pam_tally.so onerr=fail deny=3 unlock_time=300#’ /etc/pam.d/system-auth 35# 5分钟后自动登出,原因参考文末说明[2] 36echo “TMOUT=300>>/etc/profile 37# 历史命令记录数设定为10条 38sed -i “s/HISTSIZE=1000/HISTSIZE=10/” /etc/profile 39# 让以上针对 /etc/profile 的改动立即生效 40source /etc/profile 41# 在 /etc/sysctl.conf 中启用 syncookie 42echo “net.ipv4.tcp_syncookies=1>> /etc/sysctl.conf 43sysctl -p \# exec sysctl.conf enable 44# 优化 sshd_config 45sed -i “s/\#MaxAuthTries 6/MaxAuthTries 6/” /etc/ssh/sshd_config 46sed -i ”s/\#UseDNS yes/UseDNS no/” /etc/ssh/sshd_config 47# 限制重要命令的权限 48chmod 700 /bin/ping 49chmod 700 /usr/bin/finger 50chmod 700 /usr/bin/who 51chmod 700 /usr/bin/w 52chmod 700 /usr/bin/locate 53chmod 700 /usr/bin/whereis 54chmod 700 /sbin/ifconfig 55chmod 700 /usr/bin/pico 56chmod 700 /bin/vi 57chmod 700 /usr/bin/which 58chmod 700 /usr/bin/gcc 59chmod 700 /usr/bin/make 60chmod 700 /bin/rpm 61# 历史安全 62chattr +a /root/.bash_history 63chattr +i /root/.bash_history 64# 给重要命令写 md5 65cat > list << "EOF" && 66/bin/ping 67/usr/bin/finger 68/usr/bin/who 69/usr/bin/w 70/usr/bin/locate 71/usr/bin/whereis 72/sbin/ifconfig 73/bin/vi 74/usr/bin/vim 75/usr/bin/which 76/usr/bin/gcc 77/usr/bin/make 78/bin/rpm 79EOF 80for i in `cat list` 81do 82if [ ! -x $i ];then 83echo$i not found,no md5sum!84else 85md5sum $i >> /var/log/`hostname`.log 86fi 87done 88rm -f list 89

知识点[1]:有关chattr命令
chattr 命令可以修改文件属性,达到保护文件和目录的作用。相比改变文件读写、执行权限的chmod命令,chattr命令可以控制更底层的文件属性。该命令十分强大,其中一些功能是由Linux内核版本来支持的,如果Linux内核版本低于2.2,那么许多功能不能实现。同样-D检查压缩文件中的错误的功能,需要2.5.19以上内核才能支持。另外,通过chattr命令修改属性能够提高系统的安全性,但是它并不适合所有的目录。chattr命令不能保护/、 /dev、/tmp、/var目录。
此类属性的查看可以通过lsattr命令完成。
chattr命令的用法:chattr [ -RV ] [ -v version ] [ mode ] files…
最关键的是在[mode]部分,,即文件属性部分。[mode]部分是由+-=和[ASacDdIijsTtu]这些字符组合的。

  • :在原有参数设定基础上,追加参数。
  • :在原有参数设定基础上,移除参数。

= :更新为指定参数设定。
A:文件或目录的 atime (access time)不可被修改(modified), 可以有效预防例如手提电脑磁盘I/O错误的发生。
S:硬盘I/O同步选项,功能类似sync。
a:即append,设定该参数后,只能向文件中添加数据,而不能删除,多用于服务器日志文 件安全,只有root才能设定这个属性。
c:即compresse,设定文件是否经压缩后再存储。读取时需要经过自动解压操作。
d:即no dump,设定文件不能成为dump程序的备份目标。
i:设定文件不能被删除、改名、设定链接关系,同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助。
j:即journal,设定此参数使得当通过mount参数:data=ordered 或者 data=writeback 挂 载的文件系统,文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为 data=journal,则该参数自动失效。
s:保密性地删除文件或目录,即硬盘空间被全部收回。
u:与s相反,当设定为u时,数据内容其实还存在磁盘中,可以用于undeletion.
各参数选项中常用到的是a和i。a选项强制只可添加不可删除,多用于日志系统的安全设定。而i是更为严格的安全设定,只有superuser (root) 或具有CAP_LINUX_IMMUTABLE处理能力(标识)的进程能够施加该选项。
应用实例:
1、用chattr命令防止系统中某个关键文件被修改

# chattr +i /etc/fstab
然后试一下rm mv rename等命令操作于该文件,都是得到Operation not permitted 的结果
2、让某个文件只能往里面追加内容,不能删除,一些日志文件适用于这种操作

# chattr +a /data1/user_act.log
知识点[2]:为何要设置5分钟后自动登出
由于客户的维护人员常常登陆上去后通过直接关闭TERM端口非法退出telnet,造成系统的pts进程越来越多,一个月下来竟然近百,当进程过多的时候系统就会产生报警。规范操作应该是用exit或者ctrl+D,但是其他人并不这样操作,所以我们定义了echo “TMOUT=300″ >& gt;/etc/profile这一项内容,是让服务器自动剔除300秒没有任何动作的客户端。当然了这一项大家可以根据实际需求而决定是否添加。

代码交流 2021