0x01 linux 基線安全

1 Linux系統埠加固

    以root許可權登入到Linux作業系統，首先執行“setup”命令，選擇“Firewallconfiguration”，在“Security Level”裡，選擇“(*) Enabled”啟用作業系統防火牆。

案例1：如果需要開放特定的服務，如需要開放mysql服務給任意主機使用，則編輯iptables配置檔案，設定開放哪些對外服務。

#vi/etc/sysconfig/iptables

加入一行：

-ARH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 3306 -j ACCEPT

其中3306為需要對外開放的服務埠。

繼而重啟IPTABLES服務即可。

#service iptablesrestart

案例2：如果需要開放特定的服務，如需要開放mysql服務給特定的一臺主機，如192.168.100.5使用，則可以：

#vi/etc/sysconfig/iptables

加入一行：

-ARH-Firewall-1-INPUT -m state --state NEW -m tcp -s 192.168.100.5 -p tcp --dport3306 -j ACCEPT

其中3306為需要對外開放的服務埠。

繼而重啟IPTABLES服務即可。

#service iptablesrestart

2  Linux網頁檔案許可權調整。

可根據實際情況，調整需要修改的檔案許可權。如，需要把 /var/www目錄下所有檔案的許可權全部改為 644,則可以輸入

find /var/www-type f |xargs chmod 644

需要把所有 777 許可權的目錄調整為700，則可以輸入：

find /var/www-type d -perm 777 |xargs chmod 700

需要把所有 php 檔案的許可權調整為600，則可以輸入：

find . -name"*.php" -type f |xargs chmod 600

3  安全加固和檢查

A  去除目錄的瀏覽、包含等指令

方法：用文字編輯器開啟Apache配置檔案httpd.conf，搜尋是否存在Indexes或者+Indexes字樣，如有應去除，改為-Indexes，如下：

<Directory/usr/local/apache/htdocs/>

Order allow,deny

Allow from all

Options  -Includes -Indexs Multiviews

</Directory>

0X02 POST方法

1 POST 方法

限制不能使用TRACE、TRACK、OPTIONS等方法，方法：用文字編輯器開啟Apache配置檔案httpd.conf，增加以下配置

如果有多個虛擬主機，需要在每個主機都要加入以上配置。

2 執行使用者和組

方法：用文字編輯器檢查httpd.conf，檢視User和Group指令對應的使用者名稱和組別名稱。這個使用者在/etc/passwd列表裡，應該為/sbin/nologin 的執行環境，而不應該有類似這樣的執行環境：/bin/bash

#如在httpd.conf裡使用者和組別為

User nobody

Group nobody

#在/etc/passwd裡為

nobody:x:99:99:Nobody:/:/sbin/nologin

3 伺服器帳號

如Linux，設定web伺服器

passwd -lwebserv
usemod -s /bin/nolo httpuser

#編輯httpd.conf配置檔案，把以下幾個指令如下設定：

ServerSignatureOff

ServerTokensProd

4 錯誤提示頁面

應該定義自己的錯誤頁面，避免由於執行出錯時洩露敏感資訊

ErrorDocument         401           /custom401.html

ErrorDocument         404           /custom404.html

ErrorDocument         500           /custom500.html

5 副檔名，如.php.gif

<Files ~"^\w+\.(gif|jpe?g|png|avi)$">
order deny,allow
allow from all
</Files>

6 不允許訪問/WEB-INF/目錄

      如果Apache後臺有使用Tomcat、WebSphere、WebLogic、Resin等應用伺服器，應該加上禁止通過Apache訪問/WEB-INF目錄的限制，以免由於Apache應用服務聯結器的設定漏洞，導致的配置檔案資訊洩露。

方法：編輯httpd.conf檔案，加入：

LoadModulerewrite_module modules/mod_rewrite.so
RewriteEngine on
RewriteRule /WEB-INF

歡迎大家分享更好的思路，熱切期待^^_^^ !