UNIX系统管理员的安全知识 二.docVIP

UNIX系统管理员的安全知识 二 4、作为root运行的程序在UNIX系统中，有些程序由系统作为root进程运行。这些程序并不总是具有SUID许可，因为其不少程序仅由root运行，系统管理员需要清楚这些程序做什么，以及这些程序还将运行其它什么程序。(1)启动系统当某些UNIX系统(如SCO UNIX/XENIX)启动时，是以被称为单用户的方式运行，在这种方式中普通用户不能登录，唯有的进程是init，swapper，以及一些由系统管理员从控制台运行的进程。UNIX系统的单用户方式启动，使系统管理员能在允许普通用户登录以前，先检查系统操作，确保系统一切正常，当系统处于单用户方式时，控制台作为超级用户，命令揭示是#，有些UNIX系统不要确认超级用户口令就认可控制台是root，给出#提示符。这就可能成为一个安全问题。(2)init进程UNIX系统总是以某种方式或称为某种级运行，系统有若干种运行级，这些运行级由init进程控制。UNIX系统启动时以单用户方式运行，也叫1级或S级。对于其他用户登录进入系统，UNIX有一种多用户运行方式，也叫2级。init进程控制系统运行级，它读入文件/etc/inittab，该文件详细地规定了哪些进程在哪一级运行。当root敲入init n(数字)，系统就进入n级。init读该文件以确定终止哪些进程，启动哪些进程。有效的运行级的数值是从0到6与s。注意：由init建立的进程以UID为0运行(root)从/etc/inittab运行的程序也作为root运行，所以系统管理员要确保自己知道/etc/inittab中的程序做什么工作，确保这些程序以及这些程序所在的目录直到/和/etc/inittab除root外无人可写。(3)进入多用户当UNIX系统进入多用户方式时，将寝化一系列事件，接着开始执行gettys，允许其他用户登录进入系统。如果再看看/etc/inittab文件，会看到gettys定义在运行级2，至少三个shell程序/etc/brc，/etc/bcheckrc，/etc/rc*也定义在运行级2。这些程序都在gettys启动前运行。这些shell程序作为root运行，也不能仅对root可写还应当检查shell程序运行的命令，因为这些命令也将作为root运行。(4)shutdown命令用shutdown命令关系统，shutdown shell程序发送警告通知所有用户离开系统，在给定的期限时间到了后，就终止进程，拆卸文件系统，进入单用户方式或关机状态。一旦进入单用户方式，所有的gettys停止运行，用户再不能登录。进入关机状态后可将系统关电。shutdown仅能由作为root登6、/etc/group文件/etc/group文件含有关于小组的信息，/etc/passwd中的每个GID在本文件中应当有相应的入口项，入口项中列出了小组名和小组中的用户。这样可方便地了解每个小组的用户，否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组用户。/etc/group文件对小组的许可权限的控制并不是必要的，因为系统用UID，GID(取自/etc/passwd)决定文件存取权限，即使/etc/group文件不存在于系统中，具有相同的GID用户也可以小组的存取许可权限共享文件。小组就像登录用户一样可以有口令。如果/etc/group文件入口项的第二个域为非空，则将被认为是加密口令，newgrp命令将要求用户给出口令，然后将口令加密，再与该域的加密口令比较。给小组建立口令一般不是个好作法。第一，如果小组内共享文件，若有某人猜着小组口令，则该组的所有用户的文件就可能泄漏；其次，管理小组口令很费事，因为对于小组没有类似的passwd命令。可用/usr/lib/makekey生成一个口令写入/etc/group。以下情况必须建立新组：(1)可能要增加新用户，该用户不属于任何一个现有的小组。(2)有的用户可能时常需要独自为一个小组。(3)有的用户可能有一个SGID程序，需要独自为一个小组。(4)有时可能要安装运行SGID的软件系统，该软件系统需要建立一个新组。要增加一个新组，必须编辑该文件，为新组加一个入口项。由于用户登录时，系统从/etc/passwd文件中取GID，而不是从/etc/group中取GID，所以group文件和口令文件应当具有一致性。对于一个用户的小组，UID和GID应当是相同的。多用户小组的GID应当不同于任何用户的UID，一般为5位数，这样在查看/etc/passwd文件时，就可根据5位数据的GID识别多用户小组，这将减少增加新组，新用户时可能产生的混淆。7、增加，删除，移走用户(1)增加用户增加用户有三个过程：在/etc/passwd文件中写入新用户的入口项。为新登录用户建立一个HOME目录