笔记 | 网站安全

晓松

职位：运维开发工程师
技能：熟练Centos系统操作、管理和维护
技能：熟悉 MySQL 数据库基本使用方法
技能：熟练 SHELL 脚本的编写
技能：熟悉 LNMP 平台相关技术配置和管理
技能：熟悉 ZABBIX 监控系统的配置和使用
技能：熟悉 Prometheus 监控系统的安装配置和使用
技能：熟悉 ansible 自动化运维工具
技能：了解 HTML,CSS,JavaScript前端页面基本编写
技能：熟悉 WAF 应用防火墙的使用和配置
技能：熟悉 Linux7 firewall 防火墙的使用
技能：熟悉阿里云平台的使用
技能：熟悉Docker虚拟化技术
技能：熟悉 Redis、MongoDB NoSQL数据库使用

### su切换用户身份
#### 切换与提权的应用场景
切换用户身份，When?
- SSH远程管理
- 运维测试

提升执行权限，When?
- 管理权限细分

#### su切换的基本用法
Substitute User,换人
- 快速切换为指定的其他用户
- 普通用户执行时，需验证目标用户的口令
- root执行时，无需验证口令

命令格式
- 用法1：su [-] [目标用户]
- 用法2：su [-] -c “命令” [目标用户]

```shell
# 普通用户切换到root
su
# 或者
su - root

# root 用户使用普通用户执行命令
su -l admin -c 'id'
su - admin /bin/sh -c 'id'
```

#### 分析su切换的使用情况
安全日志/var/log/secure
- 记录su验证、Shell开启与关闭

```
[root@testserver ~]# cat /var/log/secure | tail -5
Nov 17 20:06:20 testserver sshd[7727]: pam_unix(sshd:session): session opened for user www by (uid=0)
Nov 17 21:20:45 testserver sshd[7727]: pam_unix(sshd:session): session closed for user www
Nov 18 14:56:36 testserver su: pam_unix(su-l:session): session opened for user root by www(uid=1000)
Nov 18 14:56:40 testserver su: pam_unix(su-l:session): session closed for user root
Nov 18 14:57:54 testserver su: pam_unix(su:session): session opened for user root by www(uid=1000)
```

### sudo提升执行权限
#### sudo提权的基本用法
Super or another Do，超级执行
- 管理员预先为用户设置执行许可
- 被授权用户有执行授权的命令，验证自己的口令

命令格式
- 用法1：sudo 特权命令
- 用法2：sudo [-u 目标用户] 特权命令

```
[www@testserver ~]$ sudo netstat -nutpl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name
tcp        0      0 127.0.0.1:25            0.0.0.0:*               LISTEN      1447/master
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      1161/sshd
```

#### sudo操作示例
查看自己的sudo授权
- sudo -l

以用户zengye的权限新建一个文件夹
- sudo -u zengye mkdir /tmp/mydir

配置sudo授权
修改方法
- 推荐：visudo
- 其他：vim /etc/sudoers

授权记录格式
- 用户 主机列表=命令列表 //只给莫个用户提权

分析sudo提权的使用情况
修改全局配置，启用日志
- Defaults logfile="/var/log/sudo"

sudo别名设置
主要用途
- 提高可重要性、易读性
- 简化配置、使记录更有条理

```
# vim /etc/sudoers   //系统自带别名
...
10 ## Host Aliases	//给主机定义别名
11 ## Groups of machines. You may prefer to use hostnames (perhaps using 
12 ## wildcards for entire domains) or IP addresses instead.
13 # Host_Alias     FILESERVERS = fs1, fs2  //别名的名称必须全大写
14 # Host_Alias     MAILSERVERS = smtp, smtp2
16 ## User Aliases	//给用户定义别名
17 ## These aren't often necessary, as you can use regular groups
18 ## (ie, from files, LDAP, NIS, etc) in this file - just use %groupname 
19 ## rather than USERALIAS
20 # User_Alias ADMINS = jsmith, mikem
27 # Cmnd_Alias NETWORKING = /sbin/route, /sbin/ifconfig, /bin/ping, /sbin/dhclient, 
/usr/bin/net, /sbin/iptables, /usr/bin/rfcomm, /usr/bin/wvdial, /sbin/iwconfig, /sbin/mii-tool
29 ## Installation and management of software
30 # Cmnd_Alias SOFTWARE = /bin/rpm, /usr/bin/up2date, /usr/bin/yum
38 ## Storage     //给命令定义别名
39 # Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, 
/bin/mount, /bin/umount  
```

晓松

用户切换与提权 sudo 用户提权

用户切换与提权

sudo 用户提权