10、系统安全及应用

1、账号安全

用户的账号是计算机使用者的身份凭证或标识，每个要访问系统资源的人，必须凭借其用户账号才能进入计算机。

1.1 系统账号清理

在Linux系统中，除了用户手动创建的各种账号之外，还包括随系统或程序安装过程而生成的其他大量账号。除了超级用户root之外，其他大量账号只是用来维护系统运作、启动或保持服务进程，一般是不允许登陆的，因此也称为非登录用户账号。

注：常见的非登录用户账户包括bin、daemon、adm、lp、mail等，为了确保系统安全，这些用户账号的登录Shell通常是/sbin/nologin——表示禁止终端登录，应确保不被人为改动。

使用useradd去创建一个账户的时候，使用-s，可以指定用户的登录Shell。默认情况下在创建账户的时候为用户分配的是/bin/bash环境，使用-s可指定一个nologin的环境，命令是：useradd aaa -s /sbin/nologin。
（用nologin的环境创建出来的账号，这样的环境会使得该用户无法执行任何的指令，并且它连登系统都登不进去）

所以对于程序用户来讲，通常我们在创建用户的时候会给它指定一个nologin的环境。

对于那些临时不用的账号，我们要使用usermod -L命令给它锁定起来，锁定之后该账号是不能登系统的，

在各种非登录用户账号中，还有相当一部分是很少用到的，如games。这些用户账户可以被视为冗余账号，直接删除即可。另外，还有一些随应用程序安装的用户账户，若卸载程序后未能自动删除，则需要管理员手动进行清理。

对于那些在Linux服务器中长期不用的用户账户，若无法确定是否应该删除，可以暂时将其锁定。例如，下图中是锁定、解锁名为zhangsan的用户账号（passwd、usermod命令都可以用来锁定、解锁账号）：

如果服务器中的用户账号已经固定，不再进行更改，还可以采取锁定账号配置文件的方法。

使用chattr命令，分别结合+i、-i选项来锁定、解锁文件，使用lsattr命令可以查看文件的锁定情况，如下图：

注：

chattr命令是为文件添加特殊权限用的，i只是这些特殊权限中的一种。
chattr命令中有两个属性只能由root用户来给它设置，一个是i（锁定文件）的属性，另一个是a的属性。

当设置+a属性后，文件只能增加数据，既不能删除也不能修改数据，只有root才能设置这个属性。（用lsattr命令可以查看文件的属性）如下图是为text.txt添加一个a的属性：

chattr的属性：

设置c属性后，会自动将文件压缩，在读取时自动解压缩。

lsattr命令可以查看文件的特殊属性，如下图，第二个文件就有特殊的属性：

lsattr（显示文件隐藏属性）命令的选项有：

注：用lsattr命令查看目录的属性时，会显示出该目录的一级子目录和子文件。

-a：将隐藏文件的属性也显示出来

-d：如果接的是目录，仅列出目录本身的属性而不是目录内的文件名

-R：连同子目录的数据也显示出来

补充：如下图，使用echo命令回显出aaa这个字符串，然后把他放置在test.txt这个文件里（单个大于号是覆盖的意思，即不管你现在的文件里有多少东西，我只要用覆盖的指令就会完全替代文件中的内容，即文件里现在就只剩aaa了）：

系统会提示：不允许这样的操作。

如果还是用echo这个命令，后面使用两个大于号（双个大于号本身就是一种追加的操作，即在文件的末尾追加aaa的内容）：

不要用vi编辑器打开去改内容，要用echo的命令去编辑文件内容。因为用vi编辑器那不是改，是编辑。

在账号文件被锁定的情况下，其内容将不允许变更，因此无法添加、删除账号，也不能更改用户的密码、登录Shell、宿主目录等属性信息。如下图：

2、密码安全

为了降低密码被猜出或被暴力破解的风险，用户应养成定期更改密码的习惯，避免长期使用同一个密码。

注：所设置的密码策略，对root管理员是无效的。

chage命令用于设置密码时限，执行以下操作可将密码的有效期设为30天：

例如执行下图中的命令可强制要求用户zhangsan下次登陆时重设密码：

3、命令历史、自动注销

Shell环境的命令历史机制为用户提供了极大的便利，但另一方面也给用户带来了潜在的风险。只要获得用户的命令历史文件，该用户的命令操作过程将会一览无余，如果曾经在命令行输入明文的密码，则无意中服务器的安全壁垒又多了一个缺口。

在Bash终端环境中，历史命令的记录条数由变量HISTSIZE控制，默认为1000条。通过修改/etc/profile文件中的HISSIZE变量值，可以影响系统中的所有用户。如下图，可以设置最多只记录200条历史命令：

除此之外，还可以修改用户宿主目录中的~/.bash_logout文件，添加清空历史命令的操作语句。这样一来，当用户退出已登录Bash环境后，所记录的历史命令将自动清空：

注：在Bash终端环境中，还可以设置一个闲置超时时间，当超过指定的时间没有任何输入时即自动注销终端，这样可以避免当管理员不在时其他人员对服务器的误操作风险（限制超时由变量TMOUT来控制，默认单位为秒s）:

4、用户切换与提权

Linux系统为我们提供了su、sudo两种命令，其中su命令主要用来切换用户，而sudo命令来提升执行权限。

4.1 su命令——切换用户

使用su命令，可以切换为指定的另一个用户，从而具有该用户的所有权限。（切换时需要对目标用户的密码进行验证，从root用户切换为其他用户时除外）。

例如当前登录的用户为jerry，若要切换为root用户，可执行下图中的命令：

注：在上图中的命令中，选项-等同于--login或-l——表示切换用户后进入目标用户的登录Shell环境（若缺少此选项，则仅切换身份，不切换用户环境）

对于切换为root用户的情况，“root”可以省略。

默认情况下，任何用户都可以使用su命令，从而有机会反复尝试其他用户的登陆密码，这样就带来了安全风险。可以借助于pam_wheel认证模块，加强对su命令的使用控制，只允许极个别用户使用su命令进行切换。如下图中，将授权使用su命令的用户添加到wheel组，修改/etc/pam.d/su认证配置以启用pam_wheel认证：