Linux——配置漏洞修复

前言

日常漏洞修复,本文不定时更新

步骤

#######################################################################
###########################LINUX 配置规范###############################
######################################################################

#!/bin/bash
##检查口令最小长度
cp /etc/login.defs /etc/login.defs.back
sed -i "/^PASS_MIN_LEN/c PASS_MIN_LEN    8" /etc/login.defs

##检查口令生存周期
sed -i "/^PASS_MAX_DAYS/c PASS_MAX_DAYS   90" /etc/login.defs

##检查设备密码复杂度策略
cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
sed -i "/^password/i password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1" /etc/pam.d/system-auth


##检查是否设置文件与目录缺省权限
cp /etc/profile /etc/profile.bak
sed -i "/umask 002/c  umask 027" /etc/profile

##检查是否设置命令行界面超时退出
sed -i "/^TMOUT=1800/c TMOUT=300" /etc/profile

##检查是否限制root用户远程登录
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
sed -i "/^PermitRootLogin/c PermitRootLogin no" /etc/ssh/sshd_config
#重启sshd服务


##检查是否配置远程日志功能
cp /etc/rsyslog.conf /etc/rsyslog.conf.bak
sed -i "/*.* @@remote-host:514/c *.* @@remote-host:514" /etc/rsyslog.conf

##检查是否配置用户所需最小权限
  #检查/etc/group文件权限
    # chmod 644 /etc/group
  #检查/etc/passwd文件权限
    # chmod 644 /etc/passwd
  #检查/etc/shadow文件权限
    chmod 600 /etc/shadow

##检查是否修改系统banner
#删除"/etc"目录下的 issue.net 和 issue 文件：
mv /etc/issue /etc/issue.bak
mv /etc/issue.net /etc/issue.net.bak


##sshd弱算法
 cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
 echo "Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc" >> /etc/ssh/sshd_config
 systemctl restart sshd.service


##检查是否安装OS补丁
#可以使用OnlineUpdate或Patch CD Update等方式升级系统补丁

##检查FTP Banner设置
  #1.修改vsftp回显信息
  ## vi /etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)
  #ftpd_banner=” Authorized users only. All activity will be monitored and reported.”
  #可根据实际需要修改该文件内容。
  #重启服务：
  ## /etc/init.d/vsftpd restart
  #2.修改pure-ftp配置文件：
  ##vi /etc/pure-ftpd/pure-ftpd.conf
  #找到以下行，确保该行未被注释。
  #FortunesFile /usr/share/fortune/zippy
  #编辑/usr/share/fortune/zippy文件（如没有fortune文件夹或者zippy文件，则新建该文件夹或该文件）：
  ##vi /usr/share/fortune/zippy
  #将自定义BANNER写入其中。
  #重启服务：
  ## /etc/init.d/pure-ftpd restart



##检查FTP用户上传的文件所具有的权限
  #如果系统使用vsftp：
  #修改/etc/vsftpd.conf（或者为/etc/vsftpd/vsftpd.conf）
  ## vi /etc/vsftpd.conf
  #确保以下行未被注释掉，如果没有该行，请添加：
  #write_enable=YES //允许上传。如果不需要上传权限，此项可不进行更改。
  #ls_recurse_enable=YES
  #local_umask=022 //设置用户上传文件的属性为755
  #anon_umask=022 //匿名用户上传文件(包括目录)的 umask
  #重启网络服务
  ## /etc/init.d/vsftpd restart
  #如果系统使用pure-ftp
  #修改/etc/pure-ftpd/pure-ftpd.conf
  ## vi /etc/pure-ftpd/pure-ftpd.conf
  #确保以下行未被注释掉，如果没有该行，请添加：
  #umask 177:077
  #重启ftp服务
  ##/etc/init.d/pure-ftpd restart



##检查是否关闭不必要的服务和端口
  #检查是否关闭tftp服务
  #chkconfig [--level levels] tftp off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭sendmail服务
  #chkconfig [--level levels] sendmail off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭ypbind服务
  #chkconfig [--level levels] ypbind off
  #注:levels为运行级别,需要重启机器
  #检查是够关闭kshell服务
  #hkconfig [--level levels] kshell off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭lpd服务
  #chkconfig [--level levels] lpd off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭ident服务
  #chkconfig [--level levels] ident off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭time服务
  #chkconfig [--level levels] time off
  #chkconfig [--level levels] time-udp off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭ntalk服务
  #chkconfig [--level levels] ntalk off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭bootps服务
  #chkconfig [--level levels] bootps off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭chargen服务
  #chkconfig [--level levels] chargen off
  #chkconfig [--level levels] chargen-udp off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭nfs服务
  #chkconfig [--level levels] nfs off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭daytime服务
  #chkconfig [--level levels] daytime off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭printer服务
  #chkconfig [--level levels] printer off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭nfslock服务
  #chkconfig [--level levels] nfslock off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭echo服务
  #chkconfig [--level levels] echo off
  #chkconfig [--level levels] echo-udp off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭discard服务
  #chkconfig [--level levels] discard off
  #chkconfig [--level levels] discard-udp off
  #注:levels为运行级别,需要重启机器
  #检查是否关闭klogin服务
  #chkconfig [--level levels] klogin off
  #注:levels为运行级别,需要重启机器


##检查是否限制用户FTP缺省访问权限
  #配置方法：
  #打开/etc/vsftpd/chroot_list 文件，将需要限制的用户名加入到文件中。

##检查是否删除了潜在危险文件
  #1 是否删除.netrc 文件
  #  1.执行命令find / -maxdepth 3 -name .netrc 2>/dev/null
  #  2.进入到.netrc文件存在的目录
  #  3.执行命令：mv .netrc .netrc.bak
  #2 是否删除hosts.equiv文件
  #  1.执行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null
  #  2.进入到hosts.equiv文件存在的目录
  #  3.执行命令：mv hosts.equiv hosts.equiv.bak
  #3 是否删除.rhosts 文件
  #	1.执行命令find / -maxdepth 3 -name .rhosts 2>/dev/null
  #  2.进入到.rhosts文件存在的目录
  #  3.执行命令：mv .rhosts .rhosts.bak

##检查是否禁止root用户登录FTP
  #1 禁止root登录VSFTP
  #   编辑/etc/ftpusers(或/etc/vsftpd/ftpusers)文件
  #   添加root
  #2 禁止root登录WU-FTP
  #   在/etc/ftpusers文件中加入下列行
  #   root

##检查是否启用SSH协议，禁用telnet协议
  #1 应配置ssh协议，并安全配置sshd
  #  通过#/etc/init.d/sshd start 来启动 SSH服务
  #2 应禁用telnet协议
  #  利用命令rpm -qa |grep telnet查看是否安装telnet 和telnet server
  #  如果安装的话 编辑/etc/xinetd.d/telnet, 修改 disable = yes。
  #  激活xinetd服务。命令如下：
  #  # service xinetd restart
  #  如果没安装则说明禁用telnet服务

##检查是否启用cron行为日志功能
  #1 syslog-ng是否启用记录cron行为日志功能
  #   在/etc/syslog-ng/syslog-ng.conf中添加
  #   filter f_cron { facility(cron); };
  #   destination cron { file("/var/log/cron"); };
  #   log { source(src); filter(f_cron); destination(cron); };
  #   其中/var/log/cron为日志文件。
  #   如果该文件不存在，则创建该文件，命令为：
  #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.
  #2 rsyslog是否启用记录cron行为日志功能		编辑/etc/rsyslog.conf文件，
  #   配置：
  #   cron.* /var/log/cron ，
  #   其中/var/log/cron为日志文件。
  #   如果该文件不存在，则创建该文件，命令为：
  #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.
  #3 syslog是否启用记录cron行为日志功能		编辑/etc/syslog.conf文件，
  #   配置：
  #   cron.* /var/log/cron ，
  #   其中/var/log/cron为日志文件。
  #   如果该文件不存在，则创建该文件，命令为：
  #   touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron.


##检查是否禁止匿名用户登录FTP
  #1 禁止匿名WU-FTP用户登录
  #   在/etc/passwd文件中，删除ftp用户
  #2 禁止匿名VSFTP用户登录
  #   编辑/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件，设置：anonymous_enable=NO

##检查是否启用syslog日志审计
  #1.
  # Redhat5.x之前(包括5.x):编辑/etc/syslog.conf,
  # Redhat 6.x:编辑/etc/rsyslog.conf,
  # 配置:
  # authpriv.* /var/log/secure
  #2.
  # 创建/var/log/secure文件
  # touch /var/log/secure
  #3.
  # 重启syslog服务


##检查日志文件是否非全局可写
  #检查/var/log/mail文件是否other用户不可写		      位比较小于等于	775	  执行命令：chmod 775 /var/log/mail
  #检查/var/log/boot.log是否是否other用户不可写	    位比较小于等于	775	  执行命令：chmod 775 /var/log/boot.log
  #检查/var/log/secure文件是否other用户不可写	      位比较小于等于	775	  执行命令：chmod 775 /var/log/secure
  #检查/var/log/messages文件是否不可被其他用户修改		位比较小于等于	755	  执行命令：chmod 755 /var/log/messages
  #检查/var/log/cron日志文件是否other用户不可写		  位比较小于等于	775	  执行命令：chmod 775 /var/log/cron
  #检查/var/log/spooler文件是否other用户不可写		  位比较小于等于	775	  执行命令：chmod 775 /var/log/spooler
  #检查/var/log/maillog文件是否other用户不可写		  位比较小于等于	775	  执行命令：chmod 775 /var/log/maillog

##检查是否限制用户su到root
 #sed -i "/^auth/i auth sufficient pam_rootok.so" /etc/pam.d/su
 #sed -i "/^auth/i auth required pam_wheel.so group=wheel" /etc/pam.d/su


##检查是否按用户分配账号
  #为用户创建账号：
  #useradd username #创建账号
  #passwd username #设置密码
  #修改权限：
  #chmod 750 directory #其中750为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录)
  #使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。

##是否删除与设备运行、维护等工作无关的账号
  #删除用户:#userdel username;
  #锁定用户：
  #usermod -L username
  #只有具备超级用户权限的使用者方可使用.
  #usermod –U username可以解锁。
  #补充操作说明
  #需要锁定的用户：
  #listen,gdm,webservd,nobody,nobody4,noaccess。

##检查是否按组进行账号管理
  #1.执行备份：
  #cp -p /etc/group /etc/group.bak
  #2.创建新的用户组
  #groupadd 组名
  #usermod -g 组名 -d 用户目录 -m 用户名
  #把用户添加进入某个组(s)或参考usermod --help说明进行设置


#######################################################################
###########################NGINX 配置规范###############################
######################################################################

##检查是否启用日志功能---记录错误日志
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，去掉error_log前面的"#"号

##检查是否启用日志功能---记录访问日志
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)，设置access_log，去掉前面的注释，修改配置文件如下：
  #log_format formatname '$remote_addr - $remote_user [$time_local] '
  #' "$request" $status $body_bytes_sent "$http_referer" '
  #' "$http_user_agent" "$http_x_forwarded_for"';
  #access_log logs/access.log formantname;
  #formatname是设置配置文件格式的名称

##检查是否限制IP访问
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
  #具体设置举例如下：
  #location / {
  #deny 192.168.1.1; #拒绝IP
  #allow 192.168.1.0/24; #允许IP
  #allow 10.1.1.0/16; #允许IP
  #deny all; #拒绝其他所有IP
  #}
  #根据应用场景，设置合适的IP地址

##检查是否隐藏nginx服务信息头
  #配置在http中
  server_tokens off;
  server_tag off;
  server_info off;

##检查是否自定义错误信息
  #修改nginx_install_dir/conf/nginx.conf文件
  #在每个站点server里添加自定义错误页面，例如：
  #error_page 404 /404.html;
  #404.html为具体的自定义错误页面，需要纺织在站点的根目录下，一版是nginx_install_dir/html/目录下
  #
  #配置完毕后采用nginx_install_dir/sbin/nginx -t测试配置文件是否正确。
  #之后平滑重启nginx
  #nginx_install_dir/sbin/nginx -s reload

##检查是否控制超时时间---客户端保持活动的超时时间
  #http
  #keepalive_timeout 120;
  #重新启动nginx服务
  #需要根据应用场景的需要选择合适的参数值

##检查是否控制超时时间---客户端请求读取超时时间
  #http
  #client_header_timeout 10; #设置客户端请求头读取超时时间
  #重新启动nginx服务
  #需要根据应用场景的需要选择合适的参数值

##检查是否限制客户端下载的并发连接数
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
  #具体设置如下：
  #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com
  #http {
  #……
  #limit_zone one $binary_remote_addr 10m;
  ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session
  #server
  #{
  #listen 80
  #server_name down.nsfocus.com;
  #index index.html index.htm index.php;
  #root /usr/local/nsfocus;
  ##Zone limit;
  #location / {
  #limit_conn one 1; #限制每个ip只能发起一个并发连接
  #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度
  #}
  #………
  #}
  #重启nginx服务
  #根据应用场景的需要进行并发数、速度限制
  #注：
  #limit_zone 这个变量只能在http中使用
  #limit_coon和limit_rate变量可以在http,server,location中使用

##检查是否控制超时时间---响应客户端的超时时间
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
  #具体设置如下：
  #send_timeout 10; #指定响应客户端的超时时间
  #重新启动nginx服务
  #需要根据应用场景的需要选择合适的参数值

##检查是否配置防盗链接设置
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
  #具体设置举例如下：
  #location ~* ^.+.(gif|jpg|png|swf|flv|rar|zip)$ {
  #valid_referers none blocked www.baidu.com;
  #if ($invalid_referer) {
  #rewrite ^/ [img]http://www.nsfocus.com/images/default/logo.gif[/img];
  ## return 403;
  #}
  #}
  #根据应用场景，设置合适的域名
  #重新启动nginx服务
  #注：
  #1.gif|jpg|png|swf|flv|rar|zip
  #表示对gif、jpg、png、swf、flv后缀的文件实行防盗链
  #2.www.baidu.com
  #表示对www.baidu.com这个来路进行判断
  #3.if{}里面内容的意思是，如果来路不是指定来路就跳转到错误页面，当然直接返回404也是可以的

##检查是否限制客户端的下载速度
  #编辑nginx.conf文件(eg:/usr/local/nginx/conf/nginx.conf)
  #具体设置如下：
  #例如网站存放路径为/usr/local/nsfocus/ ，服务器名称为：down.nsfocus.com
  #http {
  #……
  #limit_zone one $binary_remote_addr 10m;
  ##针对每个IP定义一个存储session状态的容器，10m的容器按照32bytes/session，可以处理320000个session
  #server
  #{
  #listen 80
  #server_name down.nsfocus.com;
  #index index.html index.htm index.php;
  #root /usr/local/nsfocus;
  ##Zone limit;
  #location / {
  #limit_conn one 1; #限制每个ip只能发起一个并发连接
  #limit_rate 20k; #限制每个连接的限制速度为20K，IP的下载速度为连接数*限制速度
  #}
  #………
  #}
  #重启nginx服务
  #根据应用场景的需要进行并发数、速度限制
  #注：
  #limit_zone 这个变量只能在http中使用
  #limit_coon和limit_rate变量可以在http,server,location中使用