实验一：系统账号的安全管理
1）账号清理
[[email protected] ~]# passwd -d u01
[[email protected] ~]# passwd -l u01
锁定用户 u01 的密码 。
passwd: 操作成功
[[email protected] ~]# passwd -S u01
u01 LK 2016-01-18 0 99999 7 -1 (密码已被锁定。)
[[email protected] ~]# passwd -u u01
解锁用户 u01 的密码 。
passwd: 警告：未锁定的密码将是空的。
passwd: 不安全的操作（使用 -f 参数强制进行该操作）
[[email protected] ~]# passwd -S u01
u01 LK 2016-01-18 0 99999 7 -1 (密码已被锁定。)
[[email protected] ~]# passwd -u u01 -f
解锁用户 u01 的密码 。
passwd: 操作成功
小脚本管理系统用户：
脚本一：结合计划任务防止系统用户登录系统
[[email protected] ~]#
[[email protected] ~]# vim chsh_1-499.sh
#!/bin/bash
##by linuxfan
##检测UID大于1小于500的系统用户被设置为/bin/bash,防止程序用户登录系统。
for i in $(awk -F : '$7~"bash$"{if($3 > 1 && $3 < 500) print $1}' /etc/passwd);do
chsh -s /sbin/nologin $i
done
:wq
测试：
chsh -s /bin/bash ftp
grep ftp /etc/passwd ##验证修改
chmod +x chsh_1-499.sh
./chsh_1-499.sh
grep ftp /etc/passwd ##已经修复
[[email protected] ~]# echo "1 2 * * 7 /root/bin/chsh_1-499.sh" >>/var/spool/cron/root ##设置计划任务
[[email protected] ~]# crontab -l
脚本二：结合mail命令邮件通知管理员，能登录系统的用户变化
vi chkuser.sh
#!/bin/bash
UN=$(grep /bin/bash |wc -l)
if [ $UN -gt 2 ];then
echo "user is too many." |mail -s "linux sys user alter." [email protected]
else
echo "user is ok."
fi
2）密码安全：
a.检查空密码
脚本三:检查密码为空的用户，如果有空密码的用户锁定用户并邮件通知管理员
vi chkzonepwd.sh
#!/bin/bash
ELU=$(grep /bin/bash /etc/passwd |awk -F : '{print $1}')
for i in $ELU
do
ZPWD=$(grep $i /etc/shadow |awk -F : '{print $2}')
if [ -z $ZPWD ];then
passwd -l $i
echo "$i user password is zore." |mail -s "$i user passwd zore" [email protected]
else
echo "passwd is ok."
fi
done
3)优化账号及密码安全
a.优化新建账号默认登录shell
sed -i '[email protected]/bin/[email protected]/sbin/[email protected]' /etc/default/useradd
useradd u03
tail -1 /etc/passwd ##u03的shell为非交互式
chsh -s /bin/bash u03 ##当需要u03登录时使用，作用与usermod -s 一样
b.优化密码使用时间
vi /etc/login.defs
PASS_MAX_DAYS 60
PASS_MIN_DAYS 2
PASS_MIN_LEN 8 ##密码长度最小值
PASS_WARN_AGE 5 ##密码过期提醒时间
:wq
useradd u04 ##修改后创建的账号
tail -1 /etc/shadow ##验证
针对已经建立用户：
chage -m 2 u03 ##密码使用最小值
chage -M 60 u03 ##密码使用最大值
chage -W 5 u03 ##密码过期提醒时间，在最大值前
chage -d 0 u01 ##下次登录时修改密码
tail -2 /etc/shadow
c.优化密码复杂性要求
vi /etc/pam.d/system-auth
14行后添加如下内容：
minlen=8 dcredit=-2 ucredit=-1 lcredit=-1 ocredit=-1 ##长度最小值8，至少有2个数字，至少有1个大写、小写、特殊字符
14 password requisite pam_cracklib.so try_first_pass retry=3 type= minlen=8 dcredit=-2 ucredit=-1 lcredit=-1 ocredit=-1
15 password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok remember=3 ##密码历史
:wq
su - u01 ##进入u01
passwd #修改密码验证
d.设置登录失败次数锁定账号
vi /etc/pam.d/system-auth
5行：
auth required pam_tally2.so deny=5
11行：
auth required pam_tally2.so
:wq
验证需要在tty终端
pam_tally2 -u u01 ##查看登录失败的次数
pam_tally2 -r -u u01 ##重置u01，解锁
e.修改密码加密方法
MD5与sha512加密算法：
authconfig --test |grep hashing ##查看当前系统的加密算法
authconfig --passalgo=sha512 --update ##修改系统的加密算法为sha512
vi /etc/pam.d/system-auth ##查看验证
：q
3.历史命令
a.清楚历史命令
rm -rf ~/.bash_history
ln -s /dev/null ~/.bash_history
echo 'history -c ' >> ~/.bash_logout
b.设置记录历史的数量
history >my.hist ##导出历史命令
export HISTSIZE=100 ##临时设置记录历史命令的数量
sed -i 's/HISTSIZE=1000/HISTSIZE=200/g' /etc/profile
source /etc/profile
echo $HISTSIZE ##验证
c.超时注销
echo 'export TMOUT=300' >>/etc/profile ##设置300秒后注销
source /etc/profile
unset TMOUT ##取消变量
5.锁定文件：练习
[[email protected] ~]# man chattr
[[email protected] ~]# chattr +i /etc/{passwd,shadow} ##锁定文件
[[email protected] ~]# lsattr /etc/{passwd,shadow} ##查看扩展权限
----i--------e- /etc/passwd
----i--------e- /etc/shadow
[[email protected] ~]# useradd u02 ##无法创建用户也无法修改密码
useradd: cannot open /etc/passwd
[[email protected] ~]# echo 123123 |passwd --stdin u01
更改用户 u01 的密码 。
passwd: 鉴定令牌操作错误
[[email protected] ~]# tail -2 /etc/passwd
mysql:x:500:500::/home/mysql:/sbin/nologin
u01:x:501:501::/home/u01:/bin/bash
[[email protected] ~]# ls -l /etc/{passwd,shadow} ##查看基本权限无变化
-rw-r--r-- 1 root root 982 2月 15 05:24 /etc/passwd
---------- 1 root root 666 1月 21 17:20 /etc/shadow
[[email protected] ~]# chattr -i /etc/{passwd,shadow} ##取消权限
[[email protected] ~]# lsattr /etc/{passwd,shadow} ##验证，无i权限，能创建用户
-------------e- /etc/passwd
-------------e- /etc/shadow
[[email protected] ~]# useradd u02
[[email protected] ~]# tail -2 /etc/passwd
u01:x:501:501::/home/u01:/bin/bash
u02:x:502:502::/home/u02:/bin/bash
[[email protected] ~]#
