《网络安全08-Window和Linux安全.pptx》由会员分享，可在线阅读，更多相关《网络安全08-Window和Linux安全.pptx（81页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、第8讲第7章Windows及Linux系统的安全主要内容7.1计算机系统的安全级别7.2Windows系统的安全防护7.3入侵Windows系统7.4Linux(Unix)的安全防护7.5入侵Linux系统Win和Linux系统安全27.1计算机系统的安全级别美 国 的 TCSEC(Trusted Computer SystemEvaluationCriteria-受受信信计计算算机机系系统统评评测测标标准准)是用于评估ADP(AutomaticDataProcessing)系统内建安全控制效率的标准。TCSEC的全称是“DEPARTMENTOFDEFENSETRUSTEDCOMPUTERSY
2、STEMEVALUATIONCRITERIA”，发表于1985年12月26日，文档代号为DoD5200.28-STD。这个119页的文档将信息系统的安全等级划分为D，C，B和A四个等级，C和B又分成多个子级。Win和Linux系统安全3D为最小保护(MINIMALPROTECTION)级C为自主保护(DISCRETIONARYPROTECTION)，分成2个子级：C1:自 主 安 全 保 护(DISCRETIONARYSECURITYPROTECTION)C2:受控的访问保护(CONTROLLEDACCESSPROTECTION)B为强制保护级(MANDATORYPROTECTION)，其下分
3、3个子级：B1:标签式安全保护(LABELEDSECURITYPROTECTION)B2:结构化保护(STRUCTUREDPROTECTION)B3:安全域(SECURITYDOMAINS)A:经过验证的保护(VERIFIEDPROTECTION)，只定义了A1：A1:经过验证的设计(VERIFIEDDESIGN)Win和Linux系统安全4从TCSEC的B2级到A1级，TCSEC要求所有对受受信信计计算算基基（TCB）的更改必须由配置管理进行控制。受信系统的配置管理包括在开发、维护和设计过程中，对TCB所有更改的识别、控制、记录和审计。TCSEC的主要目的是为受信系统的开发者提供配置管理概念
4、，及其在受信系统开发和生命周期中所需的指导。TCSEC也为其它系统开发者提供配置管理重要性及其实施方式的指导。Win和Linux系统安全5WindowsNT及Unix系统的安全级别C2级级早在1995年7月，WindowsNT的第一版带服务包3的NT3.5就取得了美国TCSEC(受信计算机系统评测标准)标准的C2安全级；Windows2000及其后续版本(如2003，vista，2008，window7)的基础安全体系结构比WindowsNT更加健壮，其安全性也能达到C2级的标准。一般认为，Unix系统(包括Linux)比Windows系统更安全，因此也达到了C2级别。英英国国ITSEC(In
5、formationTechnologySecurityEvaluationCriteria)组织的E3级别，其等同于C2级；Win和Linux系统安全6C2安全级的关键要求达到C2安全级的4项关键要求是：要求系统实现安全登录机制、自主访问控制机制、安全审计机制和对象重用保护机制。其中后者(对象重用保护机制)就是残留信息的处理机制，即，阻止一个用户利用或阅读另一个用户已删除的数据，或访问另一个用户曾使用并释放的内存。Win和Linux系统安全7NT系统的安全机制NT系统不仅实现了这些机制，同时还实现了两项B安全级的要求：一是信信任任路路径径功功能能，用于防止用户登录时被特洛伊木马程序截获用户名和
6、密码；二是信信任任机机制制管管理理，支持管理功能的单独账号，例如，给管理员的分离账号、可用于备份计算机的用户账号和标准用户等。当今流行的操作系统满足C2级的设计要求，然而由于实现、配置或用户使用等方面的原因，Windows和Unix仍然不能保证高的安全性，不可避免地会存在诸多脆弱性，从而可以被利用而危害信息系统的安全。Win和Linux系统安全87.2Windows系统的安全防护Windows操作系统采用了符合C2安全等级的众多安全机制，其中最重要的有：1.对象的保护机制2.安全审计3.用户管理安全机制这些安全机制大多可以通过操作系统提供的“本地安全策略”进行配置。我们以Windows2003
7、为例，列举一些常用的安全防护措施。Win和Linux系统安全91.使用NTFSNTFS（NT文件系统）可以对文件和目录使用ACL（存取控制表），ACL可以管理共享目录的合理使用，而FAT（文件分配表）和FAT32却只能管理共享级的安全。此外，通过ACL还可以设置用户以及组用户对于文件和目录的访问权限，如图7-1所示。Win和Linux系统安全10图7-1 文件和目录的访问权限Win和Linux系统安全11出于安全考虑，用户应该设置尽可能多的安全措施。在设置共享目录时尽量对每个用户设置权限，而不是对Everyone设置权限。如图7-2所示。出于同样的安全考虑，对于Web共享目录，也要通过“编辑属
8、性”来设置合理的权限，如图7-3所示。Win和Linux系统安全12图7-2 对共享目录设置权限Win和Linux系统安全13图7-3 对Web共享目录设置权限Win和Linux系统安全142.防止穷举法猜测口令设置口令错误禁止账号机制：例如3次口令输入错误后就禁止该账号登录。将系统管理员账号的用户名由原先的将系统管理员账号的用户名由原先的“Administrator”改为一个无意义的字符串。改为一个无意义的字符串。这样企图入侵的非法用户不但要猜准口令，还要先猜出用户名，这样就大大的增大了口令攻击的难度。用于提供Internet服务的公共计算机不需要也不应该有除了系统管理用途之外的其它用户账号
9、。因此，应该废止Guest账号，移走或限制所有的其它用户账号。封锁联机系统管理员账号。这种封锁只对由网络过来的非法登录起作用，账号一旦被封锁掉，系统管理员还可以通过本地登录重新设置封锁特性。Win和Linux系统安全153.使用高强度的密码（口令）密码是防止非法登陆到Windows系统的第一道关卡，用户应该选用不容易被猜测的密码，以防止密码攻击。用户选择的密码应该包含字母、数字、特殊符号等。密码应该在隔一段时间后更换。如果长时间不改变密码，则非法用户有足够的时间试探密码或通过窥视你击键动作来猜测密码。不同的系统使用不同的密码。如果多个资源共享一个密码，则一旦某个系统密码被泄露，所有的资源都会受
10、到威胁。Win和Linux系统安全16Win和Linux系统安全17图7-4激活“密码必须符合复杂性要求”用户选择密码应避免以下情况(1)纯数字的密码，特别是123456、或者888888这样的数字，过短的密码显然是不安全的。(2)以你或者有关人的相关信息构成的密码，比如生日、电话、学号、姓名的拼音或者缩写、单位的拼音或者英文简称等等。(3)长时间不变的密码，非法用户有足够的时间试探密码或通过窥视你击键动作来猜测密码。(4)多个资源共享一个密码，这是一种把所有鸡蛋都放在一个篮子里的情况，一旦你的一个密码泄露，你所有的资源都受到威胁。Win和Linux系统安全184.正确设置防火墙Win和Lin
11、ux系统安全19图7-5设置网卡的TCP/IP筛选属性Win和Linux系统安全20图7-6Windows7和Windows8中的防火墙设置5.路由和远程访问中的限制Windows2003除了设置网卡属性外还有两处可以进行网络上的限制：一个是路由和远程访问，另一个是IPSEC的安全策略。其中第二种方法太麻烦而且设置比较复杂。通过路由和远程访问可以实现基于包过滤的防火墙(Windows2003)，如图7-7所示。演示（禁止ICMP）Win和Linux系统安全21Win和Linux系统安全22图7-7正确设置防火墙6.系统安全策略Windows2003提供了许多本地安全策略，然而许多策略是默认禁用
12、的，用户可以根据需要启用合适的安全策略。比如可以通过“用户权限分配”中的“禁止本地登录”选项禁止用户从本地登录，如图7-8所示。演示（win2003）（禁止从本地登录）Win和Linux系统安全23Win和Linux系统安全24图7-8拒绝某些用户从本地登录7.重要文件的权限设置默认情况下很多文件是每个人都可以访问的。为了提高安全性，对于一些容易被攻击者利用的文件应该严格设置它的访问权限。比如cmd.exe是远程缓冲区溢出攻击后经常要执行的可执行文件，应该设置权限以禁止普通用户执行，如图7-9所示。演示（win2003）（禁止CMD）Win和Linux系统安全25Win和Linux系统安全26
13、图7-9正确设置重要文件的权限8.安装第三方安全软件，及时打上补丁开通操作系统提供的自动更新服务，以便及时打上漏洞补丁。还有就是安装第三方安全软件，比如腾讯电脑管家、金山毒霸、360安全套件等。尽量选择国产软件，因为国产安全软件更切合国人的工作习惯，且技术水平不比国外软件差。Win和Linux系统安全279.断开重要的工作主机与外部网络的连接这是最安全的、也是最无奈的方法。如果实在无法做到物理隔离，可以考虑以下方法：(1)用路由器隔离内部网络与外部网络；(2)用(VMWare)虚拟机访问互联网；(3)主机设置访问控制：1)禁止访问互联网2)禁止USB端口（禁用优盘）3)设置内部ftp以分享资料
14、。Win和Linux系统安全287.3入侵Windows系统虽然Windows系统的设计符合C2安全级别的要求，但是由于系统是由人设计的，不可能完全避免错误；同时，在系统配置和使用过程中也可能存在失误。所以，存在入侵Windows系统的可能。在此介绍几种入侵Windows系统的常用方法。Win和Linux系统安全297.3.1口令破解破解口令是攻击Windows系统最常见的方法之一。只要能获得一个有效的用户名/口令字组合，则能在目标系统中获得一个立足点，以发起其它攻击。口令的破解利用了社交工程和心理学。据统计，拥有最高权限的Administrator账户的口令字是很少被修改的，不仅如此，有不少
15、系统管理员还会把同样的口令字用在多个不同的服务器以及他们自己的工作站上。供数据备份工作使用的账户和各种服务账户的口令字被频繁修改的可能性也不大。这些账户都有着相当高的权限，口令字却不经常修改，所以是“猜测口令字”攻击的理想目标。Win和Linux系统安全30另外，很多人喜欢用与自己相关的信息作为密码，比如：生日、身份证号的后6位、学号或工资号、实验室门牌号、电话号码等。从安全的角度考虑，尽量避免使用这些密码。如果目标系统开放了文件共享，则可以用netuse命令猜测“用户名/密码”组合:C:netusevictimipc$password/u:username以人工方式猜测密码比较耗时费力，为此
16、可以将常用的“用户名/密码”的组合存入一个文件，再利用操作系统的命令或工具自动进行破译，这种攻击方式称为字典攻击。字典攻击的关键在于建立高效的密码字典。NAT(NetBIOSAuditingTool),SMBGrind,enum是Windows环境的著名密码破解工具。Win和Linux系统安全317.3.2利用漏洞入侵Windows系统漏洞通常指可以被利用的目标系统缺陷。由于软件是人设计的，操作系统和运行其上的应用软件不可避免地存在许多漏洞。利用漏洞入侵windows系统是最基本的入侵方法。Windows系统由于其很高的市场占有率，其安全漏洞的挖掘和利用一直是黑客和特权部门关注的焦点。截至20
17、15年5月15日，“绿盟科技”的漏洞 库(http:/)收 集 了 4213条windows系统及应用软件的漏洞。由此可见，可被利用的漏洞是非常多的。本节以一个具体的实例说明软件漏洞的危害。Win和Linux系统安全32入侵实例：中文版输入法漏洞入侵Windows2000简体中文版存在着输入法漏洞，可以使本地用户绕过身分验证机制进入系统内部。经测试，利用远程桌面连接到Windows2000简体中文版的终端服务时仍然存在这一漏洞，因此这一漏洞使终端服务成为Windows2000的木马。也就是说，远程用户可以利用该漏洞进入系统。下面介绍利用该漏洞的几个步骤。Win和Linux系统安全33(1)获得
18、管理员账号先对一个网段进行扫描，扫描端口设为3389，运行客户端连接管理器(远程桌面连接)，将扫描到的任一地址加入，设置好客户端连接管理器，然后与服务器连结。几秒钟后，屏幕上显示出Windows2000登录界面（如果发现是英文或繁体中文版则无法入侵），用用Ctrl+Shift键键快快速速切切换换输输入入法法至至“全全拼拼”，这时在登录界面左下角将出现输入法状态条（如果没有出现，请耐心等待，因为数据在网络上传输需要时间）。Win和Linux系统安全34然后右键点击状态条上的微软徽标，弹出“帮助”（如果发现“帮助”呈灰色，放弃，因为对方可能已经修补这个漏洞），打开“帮助”一栏中“操作指南”，在最上
19、面的任务栏点击右键，会弹出一个菜单，打开“跳至URL”。此时将出现Windows2000的系统安装路径和要求我们填入的路径的空白栏。比如，该系统安装在盘上，就在空白栏中填入“c:winntsystem32”。然后按“确定”，于是我们就成功地绕过了身份验成功地绕过了身份验证，进入了系统的证，进入了系统的SYSTEM32目录目录。Win和Linux系统安全35Win和Linux系统安全36图7-10打开“跳至URL”Win和Linux系统安全37Win和Linux系统安全38图7-11绕过Windows2000的身份验证，进入系统的SYSTEM32目录获得一个账号现在我们要获得一个账号，成为系统的
20、合法用户。在该目录下找到“net.exe”，为“net.exe”创建一个快捷方式，右键点击它，在“属性”“目标”c:winntsystem32net.exe后面空一格，填入“userguest/active:yes”点“确定”。这一步骤目的在于用net.exe激活被禁止使用的guest账户，当然也可以利用“user用户名密码add”，创建一个新账号，但容易引起网管怀疑。Win和Linux系统安全39运行该快捷方式，此时你不会看到运行状态，但guest用户已被激活。然后又修改该快捷方式，填入“userguest密码”，运行(open)，于是guest便有了密码。最后，再次修改，填入”localg
21、roupadministratorsguest/add”，将guest变成系统管理员。Win和Linux系统安全40Win和Linux系统安全41(2)创建跳板：登录终端服务器，以“guest”身份进入，此时guest已是系统管理员，拥有一切权限。可以做你任何想做的事，至此，你已经拥有一台跳板机。(3)扫除脚印删 除 为 net.exe 创 建 的 快 捷 方 式，删 除winntsystem32logfiles下的日志文件。Win和Linux系统安全427.3.3利用黑客工具进行入侵互联网上有很多免费的黑客工具，可以用来入侵有漏洞的目标操作系统。一般而言，当一个漏洞被公布以后，在几周之内就会
22、出现免费的漏洞利用工具。为了保证系统的安全，及时为系统打上补丁是非常重要的。例如：MSRPC漏洞利用工具演示：用Kaht2.exe入侵windows2000Win和Linux系统安全43演示：用Kaht2.exe入侵windows2000Kaht2是针对MSRPC（微软远程过程调用）的DCOM（分布式组件对象模型）漏洞的黑客利用工具。如果Kaht2扫描到一个有漏洞的目标系统(windows2000)，就会在攻击者的机器上获得一个以SYSTEM权限权限运行的命令行窗口。从http:/ 用户可以分为三种不同的类型用户可以分为三种不同的类型：root（超级用户）超级用户）普通用户普通用户系统系统用户
23、用户Win和Linux系统安全48root超超级级用用户户通通常常取取名名为为root，它它对对整整个个系系统统有有完全的控制权。完全的控制权。root可以存取系统的所有文件，同时只有root才能运行某些程序(例如root是惟一能够运行httpd(ApacheWeb服务器)的用户，因为httpd绑定端口80，该端口仅限root使用)。因此，黑黑客客要想完全控制系统，就要成为要想完全控制系统，就要成为root。请注意，root的的用用户户ID为为0。每每一一个个用用户户ID为为0的用户，不论其用户名是什么，都是的用户，不论其用户名是什么，都是root。Win和Linux系统安全49换句话说，如果
24、你能通过某种方法把用户的ID号设置为0，则该用户就具有超级用户的权限，就是root超级用户。早期的Linux系统(redhat9.0及之前的版本)可以在创建新用户时指定UID=0；目前的Linux系统不允许直接指定UID，不能用这种方法创建UID=0的用户，但可以在获得root权限（比如通过缓冲区溢出攻击）后通过编辑口令文件来实现。演示：将一个普通用户变成演示：将一个普通用户变成root环境环境：Fedora19Win和Linux系统安全50普通用户普通用户是那些能登录到系统的用户，用于日常工作，如上网、写文档、开发软件等。普通用户拥有一个主目录(没有主目录的用户不能登录系统)，对主目录拥有读
25、写执行等权限。典型的普通用户对于其他用户的文件和目录只有受限的权限。Linux系统采用了自主访问控制策略，用户可以将主目录及子目录和文件的访问权授予其他用户。使用adduser命令添加的用户默认为一个普通用户。Win和Linux系统安全51系统用户系统用户从不登录。这些账号用于特定的系统目的，不属于任何特定的人。这类用户不登录系统，通常也没有主目录(/etc/passwd文件中这些用户的主目录字段为空有时使用“/”或某个不存在的目录。因为这些用户不能登录，所以主目录字段不起作用)。此外，它们在/etc/passwd中所指定的shell也不是合法的 登 录 shell，典 型 的 例 子 是/b
26、in/false（或/sbin/nologin）。例如ftp，apache和lp。ftp用户用于处理匿名FTP访问，apache用户通常处理HTTP请求；lp处理打印功能。他们的LoginShell=/sbin/nologin。实际系统中所存在的系统用户取决于所安装的Linux发布和相关软件。Win和Linux系统安全52用户的信息存放在/etc/passwd文件中。在早期Linux系统中，加密后的用户口令也存放在/etc/passwd文件中。由于/etc/passwd文件对所有用户具有读权限，这样会带来口令破解风险，因此 现 代 的 Linux系 统 将 加 密 后 的 口 令 存 于/et
27、c/shadow(影子)文件中，只有root才具有访问权。/etc/passwd中包含有用户的登录名，用户号，用户组号，用户注释，用户主目录和用户所用的shell程序。其中用户号(UID)和用户组号(GID)用于Unix系统唯一地标识用户和同组用户及用户的访问权限。Win和Linux系统安全53/在etc/shadow中存放加密的口令，用于用户登录时输入的口令检验，符合则允许登录，否则拒绝用户登录。用户可用passwd命令修改自己的口令，不能直接修改/etc/shadow中的口令部分。/etc/passwd是一个文本文件，口令文件中每行代表一个用户条目，格式为：LOGNAME:x:UID:GI
28、D:USERINFO:HOME:SHELLroot:x:0:0:root:/root:/bin/bashftp:x:14:50:FTPUser:/var/ftp:/sbin/nologinhadoop:x:1000:1000:hadoop:/home/hadoop:/bin/bashWin和Linux系统安全54(2)文件许可权文件属性决定了文件的被访问权限，即谁能存取或执行该文件。用ls-l可以列出详细的文件信息，如:-rwxrwxrwx.1nsns7263Mar314:31exit_asm-rw-rw-r-.1nsns140Oct615:49exit_asm.c包括了文件许可，文件联结数，
29、文件所有者名，文件相关组名，文件长度，上次存取日期和文件名。其中文件许可分为四部分：-：表示文件类型。第一个rwx：表示文件属主的访问权限。第二个rwx：表示文件同组用户的访问权限。第三个rwx：表示其它用户的访问权限。Win和Linux系统安全55执行许可位的特殊权限标志s和S若某种许可被限制则相应的字母换为-。在许可权限的执行许可位置上，可能是其它字母，s，S。s和S可出现在所有者和同组用户许可模式位置上，与特殊的许可有关，后面将要讨论。小写字（x，s）表示执行许可为允许，负号或大写字母（-，S）表示执行许可为不允许。改变许可方式可使用chmod命令，并以新许可方式和该文件名为参数。新许可
30、方式以3位8进制数给出，r为4，w为2，x为1。如rwxr-xr-为754。Win和Linux系统安全56(3)目录许可在Unix系统中，目录也是一个文件，用ls-l列出时，目录文件的属性前面带一个d，目录许可也类似于文件许可，用ls列目录要有读许可，在目录中增删文件要有写许可，进入目录或将该目录作路径分量时要有执行许可，故要使用任一个文件，必须有该文件及找到该文件的路径上所有目录分量的相应许可。仅当要打开一个文件时，文件的许可才开始起作用，而rm，mv只要有目录的搜索和写许可，不需文件的许可，这一点应注意。Win和Linux系统安全57(4)设置用户ID许可和同组用户ID许可用户ID许可(S
31、UID)和同组用户ID许可(SGID)可给予可执行的目标文件(只有可执行文件才有意义)。当一个进程执行时就被赋于4个编号，以标识该进程隶属于谁、有什么权限，分别为实际和有效的UID（euid），实际和有效的GID（egid）。有效的UID和GID一般和实际的UID和GID相同(即登录到系统的用户的UID和GID)，有效的UID和GID用于系统确定该进程对于文件的存取许可。设置可执行文件的SUID许可将改变上述情况。Win和Linux系统安全58当设置了SUID时，进程的euid为该可执行文件的所有者的euid，而不是执行该程序的用户的euid，因此，由该程序创建的进程都有与该程序所有者相同的存
32、取许可。这样，程序的所有者将可通过程序的控制，在有限的范围内向用户发表不允许被公众访问的信息。同样，SGID是设置有效GID。用chmodu+s文件名和chmodu-s文件名来设置和取消SUID设置。用chmodg+s文件名和chmodg-s文件名来设置和取消SGID设置。当文件设置了SUID和SGID后，chown和chgrp命令将全部取消这些许可。Win和Linux系统安全59要慎用要慎用suid和和sgid。如果某可执行文件是root创建的，如果设置了SUID，而该可执行文件又被赋予了其他普通用户的可执行权限，则该程序被任何用户运行时，对应的进程的euid是root，该进程可以访问任何文
33、件。因此，不要随意设置属主是root的可执行文件的suid，以避免安全问题。Win和Linux系统安全60演示演示一个SUID程序危及安全的例子#include#includeintmain(intargc,char*argv)FILE*fp;char*line=NULL;size_tlen=0;ssize_tread;fp=fopen(/etc/shadow,r);if(fp=NULL)puts(Cannotopenthefile/etc/shadow);exit(EXIT_FAILURE);while(read=getline(&line,&len,fp)!=-1)printf(%s,li
34、ne);free(line);exit(EXIT_SUCCESS);将代码保存为demo.cfanpingF16x32c$gcc-otdemo.cfanpingF16x32c$./tCannotopenthefile/etc/shadowfanpingF16x32c$su密码：rootF16x32c#chownroottrootF16x32c#chmoda+strootF16x32c#exitexitfanpingF16x32c$./t将打印/etc/shadow的内容Win和Linux系统安全617.4.2Linux的安全防护(1)使用高强度的口令口令是认证用户的主要手段。为了提高安全性，要
35、保证口令的最小长度并限制口令的使用时间。现代的Linux系统如Ubuntu和Fedora系统默认采用了口令复杂化机制，拒绝接受长度过短和容易被破解的口令，还提供了自动生成复杂口令的功能。为安全起见，在设置口令时最好采用系统生成的口令，如图7-14所示。Win和Linux系统安全62图7-14Ubuntu系统自动生成高强度的口令Win和Linux系统安全63(2)用户超时注销如果用户离开时忘记注销账户，则可能给系统安全带来隐患。为此需要设定锁屏时间，如图7-15所示。Win和Linux系统安全64图7-15Ubuntu系统中的锁屏设置(3)禁止访问重要文件对于系统中的某些关键文件如service
36、s和lilo.conf等可修改其属性，防止意外修改和被普通用户查看。首先改变文件属性为600：#chmod600/etc/services保证文件的属主为root，然后还可以将其设置为不能改变：#chattr+i/etc/services这样，对该文件的任何改变都将被禁止。只有root重新设置复位标志后才能进行修改：#chattr-i/etc/servicesWin和Linux系统安全65(4)允许和禁止远程访问在Unix中可通过/etc/hosts.allow和/etc/hosts.deny这2个文件允许和禁止远程主机对本地服务的访问。通常的做法是：(1)编辑hosts.deny文件，加入下
37、列行：#Denyaccesstoeveryone.ALL:ALLALL则所有服务对所有外部主机禁止，除非由hosts.allow文件指明允许。(2)编辑hosts.allow文件，可加入下列行：#Justanexample:ftp:则将允许IP地址为aaa.aaa.aaa.aaa和主机名为的机器作为Client访问FTP服务。Win和Linux系统安全66(5)限制Shell命令记录大小默认情况下，bashshell会在文件$HOME/.bash_history中存放多达500条命令记录(根据具体的系统不同，默认记录条数不同)。系统中每个用户的主目录下都有一个这样的文件。强烈建议限制该文件的大
38、小。用户可以编辑/etc/profile文件，修改其中的选项如下：HISTFILESIZE=30或HISTSIZE=30Win和Linux系统安全67(6)注销时删除命令记录编辑/etc/skel/.bash_logout文件，增加如下行：rm-f$HOME/.bash_history这样，系统中的所有用户在注销时都会删除其命令记录。如果只需要针对某个特定用户，如root用户进行设置，则可只在该用户的主目录下修改/$HOME/.bash_history文件，增加相同的一行即可。Win和Linux系统安全68(7)禁止不必要的SUID程序SUID可以使普通用户以root权限执行某个程序，因此应严
39、格控制系统中的此类程序。用find找出root所属的带s位的程序禁止其中不必要的程序：#chmoda-sprogram_nameWin和Linux系统安全69(8)及时为系统的已知漏洞打上补丁一般而言，一旦Unix系统被发现存在容易受到攻击的漏洞，全世界的各个Unix组织会很快发布相关的补丁，这时需要用户有时时更新系统补丁的意识，或者关闭相应的服务。Win和Linux系统安全70(9)保证一些应用服务的安全如果不是必须需要的服务，则应该设置关闭这些服务。如果是必须使用的服务，则应该保证使用的服务程序是最新的版本。对于应用服务要提供口令认证，尽可能避免匿名登陆。另外，可以修改一些服务程序的版本信息，这样使得攻击者难以发现你的系统是否存在漏洞，从而降低遭受攻击的可能性。Win和Linux系统安全717.5入侵Linux系统7.5.1破解破解口令口令如果能获得一对Linux系统的用户名/口令，则可以入侵Linux系统。现代Linux系统的的加密口令是很难逆向破解的。通常的口令破解工具所采用的技术是仿仿真真对对比比，利用与原口令程序相同的方法，通过对比分析，用不同的加密口令去匹配原口令。目前已开发出许多口令破解工具，如下表所示。Win和Linux系统安全72工具名下载地址JohntheRipperhttp:/