1. <i id='35wpm'><div id='35wpm'><ins id='35wpm'></ins></div></i>
      <fieldset id='35wpm'></fieldset>
      <i id='35wpm'></i>
      <span id='35wpm'></span><dl id='35wpm'></dl>

      <code id='35wpm'><strong id='35wpm'></strong></code>
      1. <tr id='35wpm'><strong id='35wpm'></strong><small id='35wpm'></small><button id='35wpm'></button><li id='35wpm'><noscript id='35wpm'><big id='35wpm'></big><dt id='35wpm'></dt></noscript></li></tr><ol id='35wpm'><table id='35wpm'><blockquote id='35wpm'><tbody id='35wpm'></tbody></blockquote></table></ol><u id='35wpm'></u><kbd id='35wpm'><kbd id='35wpm'></kbd></kbd>
        1. <ins id='35wpm'></ins><acronym id='35wpm'><em id='35wpm'></em><td id='35wpm'><div id='35wpm'></div></td></acronym><address id='35wpm'><big id='35wpm'><big id='35wpm'></big><legend id='35wpm'></legend></big></address>

            Linux临时文件目录安全配置实例

            • 时间:
            • 浏览:6
            • 来源:124软件资讯网

              在一个典型的Linux系统中  ,至少有两个目录或分区保持着暂时文件  。其中之一是/tmp目录  ,再者是/var/tmp  。在更新的Linux内核的系统中  ,还可能有/dev/shm  ,它是用tmpfs文件系统装载的 。

                存储暂时文件的目录存在着一个问题  ,即这些目录可以成为损害系统宁静的僵尸和rootkit的温床  。这是由于在多数情形下  ,任何人(或任何历程)都可以向这些目录写入工具  ,另有不宁静的允许问题  。我们知道都sticky bit ,该位可以明白为防删除位  。若是希望用户能够添加文件但同时不能删除文件  , 则可以对文件使用sticky bit位  。设置该位后  ,就算用户对目录具有写权限  ,也不能删除该文件 。多数Linux刊行版本在暂时目录上设置sticky位 ,这意味着用户A不能扫除属于用户B的一个文件 ,反之亦然 。可是  ,凭据文件自身的允许  ,用户A有可能检察并修改谁人文件的内容  。

                一个典型的Linux安装将/tmp设置为mode 1777  ,这意味着它设置了sticky位 ,而且可被所有的用户读取、写入、执行  。多数情形下 ,这犹如其设置的宁静一样 ,主要是由于/tmp目录仅仅是一个目录  ,而不是一个自己的文件系统  。/tmp目录依赖于/分区  ,这样一来它也就必须遵照其装载选项 。

                一个越发宁静的解决方案可能是将/tmp设置在其自己的分区上  ,这样一来它就可以自力于/分区装载  ,而且可以拥有更多的限制选项  。/tmp分区的/etc/fstab项目的一个例子看起来是这样的:

                /dev/sda7 /tmp ext3 nosuid  ,noexec ,nodev  ,rw 0 0

                这就设置了nosuid、noexec、nodev选项  ,意味着不允许任何suid法式 ,从这个分区不能执行任何内容  ,而且不存在装备文件 。

                你可以扫除/var/tmp目录  ,并建立一个symlink指向/tmp目录 ,云云一来  ,/var/tmp中的暂时文件就可以使用这些限制性的装载选项  。

                /dev/shm虚拟文件系统也需要保障其宁静  ,这可以通过改变/etc/fstab而实现  。典型情形下  ,/dev/shm通过defaults选项加载 ,对保证其宁静性是很不够的  。就像/tmp的fstab一样 ,它应当具备限制性更强的加载选项:

                none /dev/shm tmpfs defaults  ,nosuid  ,noexec  ,rw 0 0

                在一个典型的Linux系统中  ,至少有两个目录或分区保持着暂时文件 。其中之一是/tmp目录  ,再者是/var/tmp  。在更新的Linux内核的系统中  ,还可能有/dev/shm ,它是用tmpfs文件系统装载的  。

                最后 ,若是你没有能力在现有的驱动器上建立一个最新的/tmp分区  ,你可以通过建立一个loopback文件系统来使用Linux内核的 loopback特征  ,这个文件系统可被装载为/tmp  ,并可以使用相同的限制加载选项 。要建立一个1GB的loopback文件系统 ,需要执行:

                # dd if=/dev/zero of=/.tmpfs bs=1024 count=1000000

                # mke2fs -j /.tmpfs

                # cp -av /tmp /tmp.old

                # mount -o loop  ,noexec ,nosuid  ,rw /.tmpfs /tmp

                # chmod 1777 /tmp

                # mv -f /tmp.old/* /tmp/

                # rmdir /tmp.old

                一旦完成 ,需要编辑/etc/fstab  ,以便于在启动时自动加载loopback文件系统:

                /.tmpfs /tmp ext3 loop ,nosuid  ,noexec ,rw 0 0

                保障适当的允许和使用限制性加裁选项等要领能够防止对系统的许多损害  。若是一个僵尸在一个不能执行的文件系统上安了家 ,那么它从本质上讲也是不值得担忧的