笔记 | 网站安全

晓松

职位：运维开发工程师
技能：熟练Centos系统操作、管理和维护
技能：熟悉 MySQL 数据库基本使用方法
技能：熟练 SHELL 脚本的编写
技能：熟悉 LNMP 平台相关技术配置和管理
技能：熟悉 ZABBIX 监控系统的配置和使用
技能：熟悉 Prometheus 监控系统的安装配置和使用
技能：熟悉 ansible 自动化运维工具
技能：了解 HTML,CSS,JavaScript前端页面基本编写
技能：熟悉 WAF 应用防火墙的使用和配置
技能：熟悉 Linux7 firewall 防火墙的使用
技能：熟悉阿里云平台的使用
技能：熟悉Docker虚拟化技术
技能：熟悉 Redis、MongoDB NoSQL数据库使用

### 信息安全概述
#### 信息安全的重要性
进几年的一些安全事件
- CSDN、开心网等数百万账号泄露
- 新网DNS被攻击致大面积网瘫
- 中文版Putty等远程管理工具被爆存后门
- 美国"棱镜计划"曝光
- 苹果IOS7开发网站遭黑客攻击
- ......

#### 信息安全分类
木桶装水多少取决于最短一块木板
- 减少短板
- 减少单点故障

倾斜木桶可以缓解短板的劣势
- 取长补短
- 注重整体均衡性

安全工作分类，根据攻击/防护的对象不同
- 物理安全：各种设备/主机、机房环境
- 系统安全：主机或设备的操作系统
- 应用安全：各种网络服务、应用程序
- 网络安全：对网络访问的控制、防火墙规则
- 数据安全：信息的备份与恢复、加密解密
- 管理安全：各种保障性的规范、流程、方法
![网站安全](/media/images/editor/operation/secure_safety_20201118142226218362.png "网站安全")![新木桶理论](/media/images/editor/operation/secure_bowie_20201118142302665180.png "新木桶理论")

#### 网站安全如何维护
文件上传安全处理
网站目录保护
网站后台管理账号
网站尽量少开放用户提交数据权限
关闭FTP
禁止在网站中输入非法参数
使用HTTPS访问 安装SSL证书
网站页面地址静态化处理
数据定期备份
不使用来历不明的程序或插件

### 用户帐号安全
#### 设置帐号有效期
使用 chage 工具
- -d 0，强制修改密码
- -E yyyy-mm-dd，指定失效日期（-1取消）
```
$ chage -l
用法：chage [选项] 登录
选项：
  -d, --lastday 最近日期        将最近一次密码设置时间设为“最近日期”
  -E, --expiredate 过期日期     将帐户过期时间设为“过期日期”
  -h, --help                    显示此帮助信息并推出
  -I, --inactive INACITVE       过期 INACTIVE 天数后，设定密码为失效状态
  -l, --list                    显示帐户年龄信息
  -m, --mindays 最小天数        将两次改变密码之间相距的最小天数设为“最小天数”
  -M, --maxdays 最大天数        将两次改变密码之间相距的最大天数设为“最大天数”
  -R, --root CHROOT_DIR         chroot 到的目录
  -W, --warndays 警告天数       将过期警告天数设为“警告天数”
```

#### 帐号的锁定/解锁
使用passwd命令
- -l 锁定、-u 解锁、-S 看状态

```
$ passwd -S www
只有根用户才能进行此操作。

# passwd -S www
www PS 2019-04-09 0 99999 7 -1 (密码已设置，使用 SHA512 算法。)

# passwd -l www
锁定用户 www 的密码 。
passwd: 操作成功
```

#### 强制定期修改密码
配置文件/etc/login.defs
- 对新建的用户有效

主要控制属性
- PASS_MAX_DAYS
- PASS_MIN_DAYS
- PASS_WARN_AGE

```
$ sudo grep -v '^#' /etc/login.defs | grep -v '^$'
MAIL_DIR	/var/spool/mail
PASS_MAX_DAYS	99999
PASS_MIN_DAYS	0
PASS_MIN_LEN	5
PASS_WARN_AGE	7
UID_MIN                  1000
UID_MAX                 60000
SYS_UID_MIN               201
SYS_UID_MAX               999
GID_MIN                  1000
GID_MAX                 60000
SYS_GID_MIN               201
SYS_GID_MAX               999
CREATE_HOME	yes
UMASK           077
USERGROUPS_ENAB yes
ENCRYPT_METHOD SHA512
```

#### 伪装登陆提示
配置文件/etc/issue、/etc/issue.net
- 分别适用于本地、远程登陆
- 默认会提示内核、系统等版本信息

#### 自定欢迎界面
配置文件/etc/motd
```
$ cat /etc/motd
#---------------------------------------------------#
#---->>   生产服务器请谨慎操作，后果自负！   <<-----#
#---------------------------------------------------#
```

#### 文件系统安全
历史命令控制
环境变量 HISTSIZE、HISTTIMEFORMAT
- 默认记录1000条
- 默认不显示命令的执行时间

#### 程序和服务控制
禁用非必要的系统服务
- 使用ntsysv、chkconfig工具(适用rhel6系统)

禁止普通用户执行init.d目录下的脚本
- 限制“other”的权限

#### 文件系统规划及挂载
合理规划系统区分
- /boot、/home、/var等采用独立的卷

mount挂载选项
- -o nosuid：禁用SUID、SGID特殊权限
- -o noexec：禁用运行二进制文件

锁定/解锁保护文件
EXT3/EXT4的文件属性控制
- chattr、lsattr

+、-、=控制方式
- 属性i：不可变（immutable）
- 属性a：仅可追加（append only）

晓松

网站安全 服务器文件安全基本操作

网站安全

服务器文件安全基本操作