资源描述：
《centos_linux系统安全配置、php安全配置》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。
1、centoslinux系统安全配置、php安全配置一.centos安全篇1,最小化安全系统,删除不必要的软件,关闭不必要的服务.#ntsysv以下仅列出需要启动的服务，未列出的服务一律推荐关闭,必要运行的服务再逐个打开.atdcrondirqbalancemicrocode_ctlnetworksshdsyslog2,删除finger程序,具体方法如下Finger是UNIX系统中用于查询用户情况的实用程序#rpm–efinger3,BOIS安全设置4,帐号安全设置修改/etc/login.def文件PASS_MAX_DAYS 120设置密码过期日期à设
2、置密码最少更改日期àPASS_MIN_DAYS 0 PASS_MIN_LEN 10 设置密码最小长度àPASS_WARN_AGE 设置过期提前警告天数à 7 确保/etc/shadow为root只读确保/etc/passwd为root读写定期用密码工具检测用户密码强度5,/etc/exports如果通过NFS把文件共享出来,那么一定要配置”/etc/exports”文件,使得访问限制尽可能的严格.这就是说,不要使用通配符,不允许对根目录有写权限,而且尽可能的只给读权限.在/etc/exports文件加入:/dir/to/exporthost1.
3、mydomain.com(ro,root_squash)/dir/to/exporthost2.mydomain.com(ro,root_squash)建议最好不要使用NFS.6,inetd.conf或xinetd.conf如果是inetd.conf建议注释掉所有的r开头的程序,exec等7,TCP_Wrappers在/etc/hosts.allow中加入允许的服务,在/etc/hosts.deny里加入这么一行ALL:ALL8,/etc/aliases文件Aliases文件如果管理错误或管理粗心就会造成安全隐患.把定义”decode”这个别名的行从al
4、iases文件中删除.编辑aliases,删除或注释下面这些行:#games:root#ingres:root#system:root#toor:root#uucp:root#manager:root#dumper:root#operator:root#decode:root运行/usr/bin/newaliases重新加载.9,防止sendmail被没有授权的用户滥用编辑sendmail.cf把PrivacyOptions=authwarnings改为PrivacyOptions=authwarnings,noexpn,novrfy10,不响应ping
5、echo1>/proc/sys/net/ipv4/icmp_echo_ignore_all11,使TCPSYNCookie保护生效Echo1>/proc/sys/net/ipv4/tcp_syncookies12,删除不必要的用户和组用户删除的用户,如adm,lp,sync,shutdown,halt,news,uucp,operator,games,gopher等删除的组,如adm,lp,news,uucp,games,dip,pppusers,popusers,slipusers等可以设置不可更改位chattr+i/etc/passwdchattr+
6、i/etc/shadowchattr+i/etc/groupchattr+i/etc/gshadow13,防止任何人都可以用su命令成为root编辑su文件(vi/etc/pam.d/su),加入如下两行authsufficient/lib/security/pam_rootok.sodebugauthrequired/lib/security/pam_wheel.sogroup=wheel把能su为root的用户加入wheel组usermod -G10username14,使Control+Alt+Delete关机键无效编辑/etc/inittab文
7、件,注释掉Ca:ctrlaltdel:/sbin/shutdown–t3–rnow运行/sbin/initq使设置生效15,创建所有重要的日志文件的硬拷贝如果服务器比较重要,可以考虑把ssh,mail,引导信息等打印出来.在/etc/syslog.conf文件中加入一行.:Authpriv.*;mail.*;local7.*;auth.*;daemon.info/dev/lp0执行/etc/rc.d/init.d/syslogrestart或者把日志发送到其它服务器保存如authpriv.* /var/log/secure要把它发送
8、到192.168.0.2,就可以这样修改authpriv.*@192.168.0
