Linux服务器装机安全快速进阶指南(1)(5)

◆九、防止源路由

路由和路由协议会导致一些问题。IP源路径路由IP source routing），也就是IP包包含到达底目的地址的详细路径信息，是非常危险的，因为根据RFC 1122规定目的主机必须按原路径返回这样的IP包。如果黑客能够伪造原路径路由的信息包，那么它就能截取返回的信息包，并且欺骗你的计算机，让它觉得正在和它交换信息的是可以信任的主机。我强烈建议你禁止IP原路径路由以避免这个安全漏洞。

用下面的命令在你的服务器上禁止IP原路径路由：

for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do echo 0 > $f done

把上面的命令加到"/etc/rc.d/rc.local"文件中去，你就不用在系统重新启动之后再把这些命令敲一遍。注意，上面的命令将禁止所有的网络界面lo、ethN、pppN，等等）的源路径路由包。

◆十、使TCP SYN Cookie保护生效

"SYN Attack"是一种拒绝服务DoS）的攻击方式，会消耗掉系统中的所有资源，迫使服务器重新启动。拒绝服务这种攻击方式用巨大的信息流来消耗系统的资源，以至于服务器不能够响应正常的连接请求）是很容易被黑客利用的。在2.1系列的内核中，"syn cookie"只是一个可选项，并没有使其生效。想要使其生效必须用下面的命令：

[root@aid /]# echo 1 > /proc/sys/net/ipv4/tcp_syncookies

把这个命令加入"/etc/rc.d/rc.local"文件中，等下次系统重新启动的时候就不必重新敲一遍了。如果打算安装IPCHAINS防火墙，你就没有必要用这个命令，因为它已经包含在防火墙的脚本文件里了。

◆十一、特殊的帐号

禁止操作系统中不必要的预置帐号每次升级或安装完都要检查一下）。Linux系统中就提供这样一些你可能不需要的预置帐号。如果确实不需要这些帐号，就把它们删掉。系统中有越多的帐号，就越容易受到攻击。

我们假定你已经在系统中使用shadow口令。如果不是这样，最好在系统中加上shadow口令的支持，因为这样系统会更安全。如果你是按照上一章介绍的方法安装服务器，那么在"安全验证配置"这一步就已经选上"Enable Shaow Passwords"这个选项了。

在系统中删除一个用户可以用这个命令：

[root@deep]# userdel username

在系统中删除一个组可以用这个命令：

[root@deep]# groupdel username

第一步 用下面的命令删除一些不必要的用户：

[root@deep]# userdel adm [root@deep]# userdel lp [root@deep]# userdel sync [root@deep]# userdel shutdown [root@deep]# userdel halt [root@deep]# userdel news [root@deep]# userdel uucp [root@deep]# userdel operator [root@deep]# userdel games 如果不用X Window服务器,可以删除这个用户） [root@deep]# userdel gopher [root@deep]# userdel ftp 如果没安装匿名ftp服务器，可以删除这个用户）

第二步 输入下面的命令删除一些不必要的组：

[root@deep]# groupdel adm [root@deep]# groupdel lp [root@deep]# groupdel news [root@deep]# groupdel uucp [root@deep]# groupdel games (delete this group if you don use X Window Server). [root@deep]# groupdel dip [root@deep]# groupdel pppusers [root@deep]# groupdel popusers (delete this group if you don use pop server for email). [root@deep]# groupdel slipusers

第三步

"不允许改变"位可以用来保护文件使其不被意外地删除或重写，也可以防止有些人创建这个文件的符号连接。删除"/etc/passwd"、"/etc/shadow"、"/etc/group"或"/etc/gshadow"都是黑客的攻击方法。给口令文件和组文件设置不可改变位，可以用下面的命令：

[root@deep]# chattr +i /etc/passwd [root@deep]# chattr +i /etc/shadow [root@deep]# chattr +i /etc/group [root@deep]# chattr +i /etc/gshadow

注意：如果将来要在口令或组文件中增加或删除用户，就必须先清除这些文件的不可改变位，否则就不能做任何改变。如果没有清除这些文件的不可改变位，安装那些会自动在口令文件和组文件中加入新用户的rpm软件包的时候，在安装过程中就会出现出错的提示。