《網(wǎng)絡安全技術》課件第3章

第3章操作系統(tǒng)安全3.1安全操作系統(tǒng)概述3.2操作系統(tǒng)帳戶安全3.3操作系統(tǒng)資源訪問安全3.4操作系統(tǒng)安全策略3.5我國安全操作系統(tǒng)現(xiàn)狀與發(fā)展3.6操作系統(tǒng)安全實例習題

3.1安全操作系統(tǒng)概述

由于計算機操作系統(tǒng)是網(wǎng)絡信息系統(tǒng)的核心，其安全性占據(jù)著十分重要的地位，因此，網(wǎng)絡環(huán)境的計算機操作系統(tǒng)的安全檢測和評估是非常重要的。國際上建立了計算機系統(tǒng)安全評估標準。評估標準是一種技術性法規(guī)，安全操作系統(tǒng)必須符合評估標準的安全規(guī)定。在信息安全這一特殊領域，如果沒有可遵循的計算機系統(tǒng)安全評估標準，則與此相關的立法、執(zhí)法就難以建立健全，就會給國家的信息安全帶來嚴重的后果。國際上已經(jīng)在操作系統(tǒng)的檢測和評估方面做了大量的工作。此外，國際標準化組織和國際電工委也已經(jīng)制定了上百項安全標準，其中包括專門針對銀行業(yè)務制定的信息安全標準。國際電信聯(lián)盟和歐洲計算機制造商協(xié)會也推出了許多安全標準。3.1.1可信計算機安全評估準則

可信計算機安全評估準則(TCSEC)于1970年由美國國防部提出，是計算機系統(tǒng)安全評估的第一個正式標準，具有劃時代的意義。TCSEC將計算機系統(tǒng)的安全劃分為4個等級(D、C、B、A)、8個級別(D1、C1、C2、B1、B2、B3、A1、超A1)，從D1開始，等級不斷提高，可信度也隨之增加，風險也逐漸減少。

1.

D類安全等級

D類安全等級又叫無保護級，它只包括D1一個級別。D1的安全等級最低，任何人無需經(jīng)過身份驗證就可以進入計算機使用系統(tǒng)中的任何資源，也沒有任何硬件保護措施，因此，硬件系統(tǒng)和操作系統(tǒng)非常容易被攻破。常見的D1級操作系統(tǒng)有DOS、Windows3.x、Windows95/98(工作在非網(wǎng)絡環(huán)境下)、Apple的MacintoshSystem7.1。

2.?C類安全等級

C類安全等級又叫自主保護級，它能夠提供審慎的保護，并為用戶的行動和責任提供審計能力。一般只適用于具有一定等級的多用戶環(huán)境，具有對主體責任及其動作審計的能力。C類安全等級可劃分為C1和C2兩類。

(1)?C1級。C1級稱為自主安全保護級。C1系統(tǒng)的可信計算基通過將用戶和數(shù)據(jù)分開來達到安全的目的，要求用戶在使用系統(tǒng)之前先通過身份驗證，保護一個用戶的文件不被另一個未授權用戶獲取。C1級的不足之處是不能控制進入系統(tǒng)的用戶的訪問級別，用戶可以擁有與系統(tǒng)管理員相同的權限，可以將系統(tǒng)中的數(shù)據(jù)隨意移動，也可以更改系統(tǒng)配置。常見的C1級操作系統(tǒng)有標準Unix。

(2)?C2級。C2級稱為控制訪問保護級，它除了具有C1系統(tǒng)中所有的安全性特征外，還完善了C1系統(tǒng)的自主存取控制，增加了用戶權限級別，系統(tǒng)管理員可以按照用戶的職能對用戶進行分組，統(tǒng)一為用戶組指派一定的權限。除此之外，C2級還增加了可靠的審計控制。系統(tǒng)通過登錄過程、安全事件和資源隔離來增強這種控制。常見的C2級操作系統(tǒng)有Unix、Xenix、Novell3.x或更高版本、WindowsNT等。

3.?B類安全等級

B類安全等級稱為強制保護級，要求TCB維護完整的安全標記，并在此基礎上執(zhí)行一系列強制訪問控制規(guī)則。B類系統(tǒng)中的主要數(shù)據(jù)結構必須攜帶敏感標記，可信計算機利用它去實施強制訪問控制。B類安全等級可分為B1、B2和B3三類。

(1)?B1級。B1級稱為標記安全保護級。B1級除了具有C1系統(tǒng)中所有的安全性特征之外，還要對網(wǎng)絡控制下的每個對象都進行靈敏度標記，系統(tǒng)使用靈敏度標記來決定強制訪問控制的結果，并且不允許文件的擁有者改變其對象的許可權限。

(2)B2級。B2系統(tǒng)稱為結構化保護級，它必須滿足B1系統(tǒng)的所有要求。同時，要求自主和強制訪問控制擴展到所有的主體與客體，只有用戶能夠在可信任通信路徑中進行初始化通信，并且可信任運算基礎體制能夠支持獨立的操作者和管理員。

(3)B3級。B3級稱為安全區(qū)域保護級，系統(tǒng)必須符合B2系統(tǒng)的所有安全需求。B3系統(tǒng)具有很強的監(jiān)視委托管理訪問能力和抗干擾能力。B3系統(tǒng)專設有安全管理員，將系統(tǒng)操作員和安全管理員的職能分離，將人為因素對計算機安全的威脅減少到最小。B3系統(tǒng)除了控制對個別對象的訪問外，還提供對對象沒有訪問權的用戶列表，并且擴充了審計機制，能夠驗證每個用戶，為每一個被命名的對象建立安全審計跟蹤。當發(fā)生與安全相關的事件時，系統(tǒng)能夠發(fā)出信號并提供系統(tǒng)恢復機制。

4.?A類安全等級

A類安全等級稱為驗證保護級，它的安全級別最高。A類的特點是使用形式化的安全驗證方法，保證系統(tǒng)的自主和強制安全控制措施能夠有效地保護系統(tǒng)中存儲和處理的秘密信息或其他敏感信息。為證明可信計算基(TrustedComputingBase，TCB)滿足設計、開發(fā)及實現(xiàn)等各個方面的安全要求，系統(tǒng)應提供豐富的文檔信息。目前，A類安全等級包含A1級和超A1級兩類。

(1)?A1級。A1級與B3級相似，對系統(tǒng)的結構和策略沒有增加特別要求。A1系統(tǒng)的顯著特征是，系統(tǒng)的設計者必須按照一個正式的設計規(guī)范來分析系統(tǒng)。對系統(tǒng)分析后，設計者必須運用核對技術來確保系統(tǒng)符合設計規(guī)范。

(2)超A1級。超A1級在A1級基礎上增加的許多安全措施超出了目前的技術發(fā)展，目前沒有明確的要求，今后，形式化的驗證方法將應用到源碼一級，并且時間隱蔽信道將得到全面的分析。3.1.2安全操作系統(tǒng)特征

安全操作系統(tǒng)的含義是在操作系統(tǒng)的工作范圍內(nèi)，對整個軟件信息系統(tǒng)的最底層進行保護，提供盡可能強的訪問控制和審計機制，在用戶和應用程序之間、系統(tǒng)硬件和資源之間進行符合安全政策的調(diào)度，限制非法的訪問。按照有關信息系統(tǒng)安全標準的定義，安全的操作系統(tǒng)至少要有如下的特征：

1.最小特權原則

所謂最小特權(LeastPrivilege)，指的是在完成某種操作時所賦予網(wǎng)絡中每個主體(用戶或進程)必不可少的特權。最小特權原則，則是指應限定網(wǎng)絡中每個主體所必需的最小特權，確?？赡艿氖鹿省㈠e誤、網(wǎng)絡部件的篡改等原因造成的損失最小，是系統(tǒng)安全中最基本的原則之一。最小特權原則要求每個用戶和程序在操作時應當使用盡可能少的特權，不要動輒就運用其所有的特權，以此減少錯誤的發(fā)生率，也減少入侵者的侵入機會，降低事故、錯誤或攻擊帶來的危害。同時，最小特權原則還減少了特權程序之間潛在的相互作用，降低了對系統(tǒng)內(nèi)部的影響。

2.自主訪問控制

自主訪問控制(DiscretionaryAccessControl,DAC)就是用戶可以根據(jù)文件系統(tǒng)訪問控制列表(AccessControlList，ACL)決定屬于自己的文件和目錄對于系統(tǒng)中其他用戶的訪問權限。比如，用戶可以把一個屬于自己的文件，設置為對用戶A只讀，對用戶B可寫，對其他用戶不可訪問。這樣，基于ACL的自主訪問控制細化了系統(tǒng)的權限管理，有利于多用戶系統(tǒng)的安全設置。

3.強制訪問控制

強制訪問控制(MandatoryAccessControl,MAC)是系統(tǒng)強制主體服從訪問控制政策，其主要特征是對所有主體及其所控制的客體(如進程、文件、段、設備)實施強制訪問控制。系統(tǒng)為這些主體及客體指定敏感標記，通過比較主體和客體的敏感標記來決定一個主體是否能夠訪問某個客體。用戶的程序不能改變他自己及任何其他客體的敏感標記，從而系統(tǒng)可以防止木馬的攻擊。

4.安全審計和審計管理

安全審計記錄了所有用戶關心的安全事件，包括敏感資源的訪問記錄和所有未授權的非法訪問企圖，是作為信息犯罪取證和系統(tǒng)安全監(jiān)督的不可或缺的安全機制。系統(tǒng)安全審計功能應該不會被人惡意中斷，審計記錄也應該是無法隨意刪除的并且應該可以被導入到數(shù)據(jù)庫，以方便管理、訪問和查詢。

5.安全域隔離

安全域隔離是基于業(yè)界領先的角色訪問控制技術，是由操作系統(tǒng)核心強制執(zhí)行的一種安全機制。它實現(xiàn)了對應用實行安全策略保護，這種策略規(guī)定，只有在同一安全域中的程序才可以訪問域中的那些敏感或重要的資源，比如DNS的記錄，或者是Web服務器的頁面。安全域隔離對于防止一些緩沖區(qū)溢出攻擊、系統(tǒng)重要資源完整性保護有顯而易見的作用。

6.可信通路

可信通路(TrustedPath)是終端人員能借以直接同TCB通信的一種機制。該機制只能由有關終端人員或可信計算基啟動，并且不能被不可信軟件所模仿。

有了這些最底層的操作系統(tǒng)安全功能，各種作為“應用軟件”的病毒、木馬程序、網(wǎng)絡入侵和人為非法操作才能被真正抵制。例如，對于普通的操作系統(tǒng)而言，某個蠕蟲病毒可以利用操作系統(tǒng)上某個服務的漏洞，入侵系統(tǒng)，修改系統(tǒng)命令，在某個目錄留下運行代碼，篡改網(wǎng)頁，再入侵別的服務器。而在安全操作系統(tǒng)之下，通過限制一切未經(jīng)授權的“陌生”代碼寫系統(tǒng)命令或配置文件，讓任何人對該目錄不可寫，利用安全域隔離，限制每個服務進程的“權限范圍”。這樣層層保護，使病毒沒有了生存的基礎，自然不能對系統(tǒng)進行破壞和傳播。

安全操作系統(tǒng)不但要強調(diào)安全，也要強調(diào)應用，對硬件有良好的兼容性。一個完全封閉的系統(tǒng)，也許在安全性上很優(yōu)秀，但它只能運行在特定的硬件上，也只能運行為數(shù)不多的應用程序，更只有少數(shù)專家才能控制它。除了為特定需求定制的特定系統(tǒng)之外，這樣的操作系統(tǒng)恐怕也沒有它的實際價值。所以，作為一個安全操作系統(tǒng)還應該支持廣泛的硬件和軟件平臺，易操作，并且和其他安全產(chǎn)品能良好兼容配合。

3.2操作系統(tǒng)帳戶安全

對任何操作系統(tǒng)來說，系統(tǒng)帳戶是系統(tǒng)分配給用戶進入系統(tǒng)的一把鑰匙，是用戶進入系統(tǒng)的第一關，它的安全對于系統(tǒng)安全有著關鍵的意義。

系統(tǒng)帳戶一般由用戶名和密碼組成，系統(tǒng)通過對用戶名和密碼的驗證來確定是否許可用戶訪問系統(tǒng)。下面以WindowsServer2003系統(tǒng)和Linux系統(tǒng)為例，從密碼的安全選擇及保護和帳號的管理方面講述如何加強對系統(tǒng)帳戶的保護。3.2.1密碼安全

1.安全密碼的選擇

用戶帳戶的保護一般主要圍繞著密碼的保護來進行。因為在登錄系統(tǒng)時，用戶需要輸入帳號和密碼，只有通過系統(tǒng)驗證之后，用戶才能進入系統(tǒng)。因此密碼可以說是系統(tǒng)的第一道防線，目前網(wǎng)絡上對系統(tǒng)大部分的攻擊都是從截獲密碼或者猜測密碼開始的，所以設置安全的密碼是非常重要的。安全密碼的原則之一是提高它的破解難度，也就是不能被密碼破解程序所破解。密碼破解程序?qū)⒊Ｓ玫拿艽a或者是英文字典中所有可能組合為密碼的單詞都用程序加密成密碼字，然后利用窮舉法將其與系統(tǒng)的密碼文件相比較，如果發(fā)現(xiàn)有吻合的，密碼即被破譯。

提高密碼的破解難度主要是通過提高密碼復雜性、增加密碼長度、提高更換頻率等措施來實現(xiàn)。如果用戶密碼設定不當或過于簡單，則極易受到密碼破解程序的威脅。一個好的密碼應遵循以下原則：

密碼長度越長越好，密碼越長，黑客猜中的概率就越小，建議采用8位以上的密碼長度。

使用英文大小寫字母和數(shù)字的組合，添加特殊字符。

不要使用英文中現(xiàn)成的或有意義的詞匯或組合，避免被密碼破解程序使用詞典進行破解。

不要使用個人信息，如自己或家人的名字作為密碼，避免熟悉用戶身份的攻擊者推導出密碼。

不要在所有機器上或一臺機器的所有系統(tǒng)中都使用同樣的密碼，避免一臺機器密碼泄漏而引起所有機器或系統(tǒng)都處于不安全的狀態(tài)。

選擇一個能夠記住的密碼，避免太復雜的密碼使得記憶困難。

再安全的密碼，都經(jīng)不起時間的考驗。因此，用戶在使用了一個安全的密碼之后，不能從此就高枕無憂了，還需要定期修改密碼，如每個月更改一次。只有這樣，才可以更好地保護自己的登錄密碼。

2.?WindowsServer2003系統(tǒng)和Linux系統(tǒng)密碼管理

在WindowsServer2003系統(tǒng)中，對密碼的管理可以通過在安全策略中設定“密碼策略”來進行。它可以針對不同的場合和范圍進行設定。例如可以針對本地計算機、域及相應的組織單元來進行設定，這將取決于該策略要影響的范圍。以域安全策略為例，其作用范圍是網(wǎng)絡中所指定域的所有成員。在域管理工具中運行“域安全策略”工具，然后就可以針對密碼策略進行相應的設定。密碼策略也可以在指定的計算機上用“本地安全設置”來設定，同時也可在網(wǎng)絡中特定的組織單元通過組策略進行設定。WindowsServer2003系統(tǒng)密碼策略配置功能如圖3.1所示。圖3.1密碼策略配置

Linux系統(tǒng)一般將密碼加密之后，存放在/etc/passwd文件中。Linux系統(tǒng)上的所有用戶都可以讀到/etc/passwd文件，因此不太安全，所以Linux設定了影子文件/etc/shadow，只允許有特殊權限的用戶閱讀該文件。

雖然文件中保存的密碼經(jīng)過加密，但設定登錄密碼仍是一項非常重要的安全措施，如果用戶的密碼設定不合適，就很容易被破解，尤其是擁有超級用戶使用權限的用戶，如果沒有有效的密碼，將給系統(tǒng)造成很大的安全漏洞。3.2.2帳號管理

除密碼安全之外，對用戶帳號的安全管理也是非常重要的。一般來說，系統(tǒng)中的每個帳號在建立后，應該有專人負責，根據(jù)需要賦予其不同的權限，并且歸并到不同的用戶組中。如果某個帳號不再使用，管理員應立即從系統(tǒng)中刪除該帳號，以防黑客借用那些長久不用的帳號入侵系統(tǒng)。

1.?WindowsServer2003系統(tǒng)的帳號管理策略

1)帳戶鎖定

為了防止非法用戶企圖猜測用戶密碼進入系統(tǒng)，管理員可以設置最多的登錄次數(shù)，如果超過該登錄次數(shù)仍未進入系統(tǒng)，則系統(tǒng)將對此帳戶進行鎖定，使其在一定的時間內(nèi)不能再次使用。在WindowsServer2003管理工具中的帳戶鎖定策略中可以設定用戶由于操作失誤造成登錄失敗，例如設為三次，如果三次登錄全部失敗，就鎖定該帳戶。設定登錄次數(shù)的時候還可以設定鎖定時間，例如設定鎖定時間為30分鐘，一旦該帳戶被鎖定，即使是合法用戶也無法使用了，只有管理員才可以重新啟用該帳戶。帳戶鎖定如圖3.2所示。

2)用戶登錄屬性的限制

運行WindowsServer2003“ActiveDirectory用戶和計算機”管理工具，然后選擇相應的用戶，可以設置其帳戶屬性。在帳戶屬性對話框中，管理員可以通過帳戶登錄時間設置允許該用戶登錄的時間，從而防止非該時間的登錄行為；還可以通過用戶登錄地點的設置指定該帳戶從哪些計算機登錄。通過對用戶登錄屬性進行限制，即使是密碼泄露，系統(tǒng)也可以在一定程度上將黑客阻擋在外，保障其用戶帳戶的安全。用戶登錄屬性限制如圖3.3所示。圖3.2帳戶鎖定配置圖3.3用戶登錄限制

2.?Linux系統(tǒng)的帳號管理策略

在Linux系統(tǒng)用戶帳號之中，擁有root權限的用戶可以在系統(tǒng)中暢行無阻，有權修改或刪除各種系統(tǒng)設置，這是黑客最喜歡擁有的帳號，因此不能輕易授予帳號root權限。但是，有些程序的安裝和維護工作必須要求有root權限，在這種情況下，可以利用其他工具，如sudo程序，讓這類用戶有部分root權限。

sudo程序經(jīng)過設定后，允許普通用戶以自己的密碼再登錄一次，取得root權限，但只能執(zhí)行有限的幾個指令，sudo會將每次執(zhí)行的指令記錄下來，不管該指令的執(zhí)行是成功還是失敗。從sudo的日志中，可以追蹤到哪些帳號對系統(tǒng)做了什么，這在系統(tǒng)的管理中是非常重用的。但是sudo并不能限制用戶的所有行為，尤其是當某些簡單的指令沒有設置限定時，就有可能被黑客濫用。

3.3操作系統(tǒng)資源訪問安全

用戶對系統(tǒng)資源訪問是通過用戶權限來限制的，即用戶是否擁有對資源的訪問權限。系統(tǒng)資源訪問安全的最終目的就是使擁有訪問權限的合法用戶能夠正確地訪問系統(tǒng)資源，而將非法訪問阻止在系統(tǒng)之外。

3.3.1Windows系統(tǒng)資源訪問控制

Windows系統(tǒng)中的各種資源都包含有控制用戶訪問的信息，當用戶登錄到系統(tǒng)，試圖訪問系統(tǒng)中的資源時，系統(tǒng)將用戶信息與資源的控制信息進行比對，以確定用戶是否有權限訪問該資源。

1.安全標識符(SecurityIdentifiers，SID)

當每次創(chuàng)建一個用戶或一個組的時候，系統(tǒng)會分配給該用戶或組一個SID。SID可以用來實現(xiàn)對帳號的安全管理，安全標識在帳號創(chuàng)建時就同時創(chuàng)建，一旦帳號被刪除，SID也同時被刪除。而且SID是唯一的，即使在同一臺計算機上多次創(chuàng)建相同帳號的用戶，在每次創(chuàng)建時獲得的SID都是完全不同的，也不會保留原來的權限。

2.訪問令牌(AccessTokens)

用戶通過驗證后，登錄進程會給用戶一個包括用戶SID和用戶所屬組SID信息的訪問令牌作為用戶進程訪問系統(tǒng)資源的證件。當用戶試圖訪問系統(tǒng)資源時，Windows系統(tǒng)會檢查要訪問對象上的訪問控制列表(AccessControlLists，ACL)并與用戶的訪問令牌相比較，如果用戶被允許訪問該對象，系統(tǒng)將會分配給用戶適當?shù)脑L問權限。

3.安全描述符(SecurityDescriptors)

Windows系統(tǒng)中的任何對象、進程、線程的屬性中都有安全描述符部分，它保存對象的安全配置。一般包括對象所有者SID、組SID、任意訪問控制列表、系統(tǒng)訪問控制列表、訪問令牌等信息。

4.許可檢查(PermissionCheck)

安全系統(tǒng)根據(jù)訪問控制列表進行許可檢查，逐一檢查每個訪問控制項，查看對用戶或組是否有明確的拒絕或授予的權限，如果有，則拒絕的權限要高于授予的權限。如果對ACL檢查后，沒有明確的拒絕或授予，則該許可請求被拒絕。

例如，mary是一個用戶，屬于users組，某文件的ACL中明確說明允許users組的寫操作，但同時也明確說明拒絕用戶mary的寫操作，那么用戶mary雖然是users組的成員，但也被拒絕對該文件進行寫操作。3.3.2Linux文件系統(tǒng)安全

Linux系統(tǒng)的資源訪問是基于文件的，因為在Linux系統(tǒng)中，除了普通文件之外，各種硬件設備、端口甚至內(nèi)存也都是以文件形式存在的，對文件如何管理關系到如何對系統(tǒng)資源進行訪問控制，所以文件系統(tǒng)在Linux系統(tǒng)中顯得尤為重要。為了維護系統(tǒng)的安全性，在Linux中的每一個文件或目錄都具有一定的訪問權限，當對文件進行訪問時，內(nèi)核就檢查該訪問操作與文件所在的目錄及文件的權限位是否一致，以此來決定是否允許訪問，從而確保具有訪問權限的用戶才能訪問該文件或目錄，否則系統(tǒng)會給出permissiondenied(權限拒絕)的錯誤提示。例如，當要讀取路徑/usr/bin中的test.c文件時，就需要對/usr/bin目錄有執(zhí)行權限，對test.c文件有讀取權限。文件的屬性信息主要包括文件類型和文件權限兩個方面。文件類型可以分為：普通文件、目錄文件、鏈接文件、設備文件和管道文件五種。文件權限是指對文件的訪問權限，包括對文件的讀、寫、執(zhí)行。用“l(fā)s-l”命令查詢文件屬性得到文件清單，其中包含有文件類型、文件權限、文件屬主、文件大小、創(chuàng)建日期和時間等信息，如下所示：

drwxr-xr-x2rootroot20May322:51aa

rw-r-r-1rootroot1002May323:18note.txt

rwxr-xr-x?2rootroot106May301:25b.c

前面一列字母說明了文件的類型和權限，其中第一個字符表示文件類型，其解釋如表3.1所示。表3.1文件類型后面的九個字符分為三組(每組三個)，第一組描述了文件所有者的訪問權限；第二組描述了文件所有者所在組用戶的訪問權限；第三組描述了其他用戶的訪問權限。在每一組中，三個字符分別可以為r、w、x或-，代表的意義如表3.2所示。表3.2文件訪問權限每個用戶都擁有與自己用戶名同名的專屬目錄，通常放置在/home目錄下，這些專屬目錄的默認權限為rwx------，表示該用戶對該目錄具有所有權限，其他用戶無法進入該目錄，以保證該目錄的安全性。而執(zhí)行mkdir命令所創(chuàng)建的目錄，其默認權限為rwxr-xr-x，表示其他用戶可以進入并讀取該目錄，但不能修改其中的內(nèi)容，用戶可以根據(jù)需要修改目錄的權限。Linux提供了修改文件權限命令chmod，供文件所有者和超級用戶使用。文件所有者可以通過設定權限來任意控制一個給定的文件或目錄的訪問程度，如只允許用戶自己訪問，或允許一個預先指定的用戶組中的用戶訪問，或允許系統(tǒng)中的其他用戶訪問。超級用戶在系統(tǒng)中具有最高權力，可以對任何文件或目錄和用戶訪問權限進行任何操作，在方便了系統(tǒng)的管理的同時又是一個潛在的隱患，因此一方面要保護超級用戶的密碼，另一方面要限制超級特權被濫用，不要輕易賦予其他用戶這個權力。

3.4操作系統(tǒng)安全策略

操作系統(tǒng)經(jīng)過不斷的發(fā)展，逐步探索并制定出新的管理策略來降低系統(tǒng)風險，其安全機制也在不斷地完善。

1.系統(tǒng)安全審核

操作系統(tǒng)的安全審核機制可以對系統(tǒng)中的各類事件進行跟蹤記錄并寫入日志文件，管理員通過分析日志內(nèi)容可以查找系統(tǒng)和應用程序故障以及各類安全事件，從而發(fā)現(xiàn)黑客的入侵和入侵后的行為。以WindowsServer2003為例，在系統(tǒng)中啟用安全審核策略如圖3.4所示。圖3.4審核策略配置對系統(tǒng)安全策略進行審核策略安全設置后，符合審核條件的信息都會記錄到相關日志中，系統(tǒng)管理人員要經(jīng)常檢查各種系統(tǒng)日志文件，要注意是否有不合常理的時間記載。如，是否有正常用戶在夜深人靜時登錄；是否有用戶從陌生的網(wǎng)址進入系統(tǒng)；是否有不正常的日志記錄；是否有連續(xù)密碼嘗試但進入失敗記錄；是否有重新開機或重新啟動各項服務的記錄等。Windows2003計算機系統(tǒng)安全審核記錄的日志如圖3.5所示。圖3.5審核日志

2.系統(tǒng)監(jiān)視

除了通過對日志的審核來發(fā)現(xiàn)已經(jīng)發(fā)生的入侵行為外，管理員還應該掌握一些基本的實時監(jiān)視技術，以便對系統(tǒng)情況有一個更好的掌控。

1)監(jiān)視共享

為了資源訪問和系統(tǒng)管理的便利，操作系統(tǒng)中提供了資源共享和管理共享功能，但這也成為黑客常用的攻擊方法之一，只要黑客能夠掃描到IP和用戶密碼，就可以使用netuse命令連接到系統(tǒng)隱含的管理共享上。另外，當瀏覽到含有惡意腳本的網(wǎng)頁時，計算機的硬盤也可能被共享，因此，監(jiān)測本機的共享連接是非常重要的。WindowsServer2003共享資源查看如圖3.6所示。圖3.6共享資源管理如果有可疑共享，應該立即刪除，同時也應該刪除或禁止不必要的共享，如IPC$共享。IPC$共享漏洞是目前危害最廣的漏洞之一。黑客即使沒有馬上破解密碼，也仍然可以通過“空連接”連接到系統(tǒng)上，再進行其他的嘗試。關于共享資源的刪除詳見3.6.1節(jié)。2)監(jiān)視開放的端口和連接

黑客或病毒入侵系統(tǒng)后，會跟外界建立一個Socket會話連接，管理員應定期對系統(tǒng)開放的端口及連接進行檢查，使用netstat命令或?qū)Ｓ玫臋z測軟件對端口和連接進行檢測，查看已經(jīng)打開的端口和已經(jīng)建立的連接，檢查會話狀態(tài)，關閉或過濾不需要的端口以控制系統(tǒng)和外部的連接通信。WindowsServer2003會話查看如圖3.7所示。圖3.7會話管理3)監(jiān)視進程和系統(tǒng)信息

對于木馬和遠程監(jiān)控程序，除了監(jiān)視開放的端口外，還應通過任務管理器的查看功能，進行進程的查找，對可疑的進程進行刪除，如圖3.8所示。

在WindowsServer2003的支持工具中有一個進程查看工具ProcessViewer，可以幫助查看隱藏的進程。由于現(xiàn)在的木馬常常會把自己注冊成一個服務以避免在進程列表中現(xiàn)形，因此，還應結合對系統(tǒng)中的其他信息的監(jiān)視才能夠全面地查殺木馬程序。圖3.8任務管理器

3.控制系統(tǒng)服務

Windows中的服務是一種在系統(tǒng)后臺運行的應用程序類型。操作系統(tǒng)默認了一些服務的啟動并運行，但并不是所有默認服務都是用戶需要的，而且服務越多，漏洞越多，所以需要控制運行在服務器上的服務，這樣既能減少安全隱患，又減少了系統(tǒng)資源的使用，并且增強了服務器的性能。1)

WindowsServer2003系統(tǒng)服務

在WindowsServer2003中，微軟關閉了Windows2000中大多數(shù)不是絕對必要的服務，但還是有一些有爭議的服務默認運行。如分布式文件系統(tǒng)服務(DFS)、文件復制服務(FRS)、PrintSpooler服務(PSS)等。其中DFS允許用戶將分布式的資源存于一個單一的文件夾中，可以簡化用戶的工作但不是必需功能。FRS能夠在服務器之間復制數(shù)據(jù)時保持SYSVOL文件夾的同步，但會增加黑客在多個服務器間復制惡意文件的可能性。PSS服務管理所有的本地和網(wǎng)絡打印請求，并在這些請求下控制所有的打印工作，但一方面由于通常沒有人會在服務器控制臺工作，因此沒有必要使用此服務；另一方面由于PSS是系統(tǒng)級的服務，擁有很高的特權，所以容易被木馬攻擊更換其可執(zhí)行文件，從而獲得這些高級別的特權。所以管理員應該根據(jù)系統(tǒng)服務的實際需求盡可能關閉掉不需要的服務。WindowsServer2003服務配置如圖3.9所示。圖3.9服務管理2)

Linux系統(tǒng)服務

在Linux系統(tǒng)中的一些網(wǎng)絡服務，如簡單文件傳輸協(xié)議(TFTP)、簡單郵件傳輸協(xié)議(SMTP)、Inetd服務等也是黑客攻擊的重要目標。其中TFTP服務用于匿名的文件傳輸，用戶不需要登錄就可以從任何系統(tǒng)接收文件并擁有讀寫的權限，由此會帶來安全風險；SMTP服務運行后，啟動系統(tǒng)中以超級用戶身份運行的sendmail守護進程讀取用戶郵件，使黑客能夠通過該進程獲得超級用戶的訪問權限；Inetd叫做因特網(wǎng)駐留程序，是一種控制因特網(wǎng)服務的應用程序，通過/etc/inetd.conf文件來管理網(wǎng)絡訪問服務，而這個文件一旦被黑客得到，其內(nèi)容可能會被惡意取代或安裝后門程序。綜上所述，無論用戶選用哪一種操作系統(tǒng)都應該根據(jù)實際需求來選擇系統(tǒng)服務，盡可能關閉掉不需要的服務，以此來最大程度地確保系統(tǒng)安全。

4.防范網(wǎng)絡嗅探

網(wǎng)絡嗅探(NetworkSniffing)又稱為網(wǎng)絡監(jiān)聽，是通過對流經(jīng)嗅探主機的所有數(shù)據(jù)進行分析從而得到有用信息的技術。操作系統(tǒng)對于網(wǎng)絡嗅探的防御最好的辦法是使通信雙方之間采用加密傳輸手段進行會話連接，這樣即使黑客成功地進行了網(wǎng)絡嗅探，也不能從截獲的密文中分析出有效信息，因此是防范網(wǎng)絡嗅探非常有效的方法。網(wǎng)絡中進行會話加密的手段有很多，不同的操作系統(tǒng)采取的手段不同。Windows系統(tǒng)采用基于IP的網(wǎng)絡層加密傳輸技術——IPSec來對通信數(shù)據(jù)進行加密傳輸。WindowsServer2003的服務器產(chǎn)品和客戶端產(chǎn)品都提供了對IPSec的支持，部署和管理較為方便，從而增強了系統(tǒng)的安全性、可伸縮性以及可用性。另外，Windows系統(tǒng)也可以在應用層采用安全套接字層(SecureSocketsLayer,SSL)技術對數(shù)據(jù)進行加密傳輸。

Linux系統(tǒng)主機多采用安全殼(SecureSHell，SSH)方式及公開密鑰技術對網(wǎng)絡上兩臺主機之間的通信信息進行加密，并且用其密鑰充當身份驗證的工具，因此可以安全地被用來取代rlogin、rsh和rcp等公用程序中的一套程序組。由于SSH將網(wǎng)絡上的信息進行加密，因此它可以安全地登錄到遠程主機上，并且在兩臺主機之間安全地傳送信息。SSH不僅可以保障Linux主機之間的安全通信，也允許Windows用戶通過SSH安全地連接到Linux服務器上。

除上述加密傳輸手段以外，Windows系統(tǒng)和Linux系統(tǒng)也可以采用虛擬專用網(wǎng)絡(VirtualPrivateNetwork,VPN)技術在公用網(wǎng)絡上建立專用網(wǎng)絡，并結合加密及身份驗證等安全技術保證連接用戶的可靠性及傳輸數(shù)據(jù)的安全和保密性，是目前實現(xiàn)端對端安全通信的最佳解決方案。IPSec、SSL和SSH都是VPN技術中的典型應用。

關于IPSec和SSL、VPN技術的原理及設置將分別在第9章、第10章中敘述。

5.主機入侵檢測系統(tǒng)

主機入侵檢測系統(tǒng)(HIDS)是通過對計算機系統(tǒng)中的若干關鍵點收集信息并對其進行分析，從而發(fā)現(xiàn)系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象，其輸入的數(shù)據(jù)主要來源于系統(tǒng)的審計日志。目前比較流行的軟件入侵檢測系統(tǒng)有Snort、Portsentry、Lids等。標準的Linux發(fā)布版本最近配備了這種工具。利用Linux配備的工具和從因特網(wǎng)上下載的工具，就可以使Linux具備高級的入侵檢測能力，包括記錄入侵企圖，當攻擊發(fā)生時及時通知管理員；在規(guī)定情況的攻擊發(fā)生時，采取事先規(guī)定的措施以及發(fā)送一些錯誤信息使攻擊者采取無效的入侵，如偽裝成其他操作系統(tǒng)來誤導攻擊者。一般將IDS技術與防火墻結合起來就做到互補，并且發(fā)揮各自的優(yōu)勢。關于入侵檢測系統(tǒng)的詳細原理和配置請見第7章的相關章節(jié)。

6.系統(tǒng)的及時更新

許多操作系統(tǒng)和系統(tǒng)軟件都存在一定的安全漏洞，操作系統(tǒng)的生產(chǎn)廠商定期地為產(chǎn)品發(fā)布這些漏洞的補丁來進行修復，這些補丁可以解決系統(tǒng)中的某些特定的問題，因此要及時下載并安裝這些補丁，對系統(tǒng)進行更新。

Windows系統(tǒng)發(fā)展到現(xiàn)在一直存在著各種各樣的漏洞，微軟以更新程序或服務包的形式發(fā)布針對這些漏洞的補丁程序，來對系統(tǒng)進行升級，用戶只需要使用系統(tǒng)自動更新功能或者從微軟的網(wǎng)站上直接下載更新程序或者安裝最新版本的服務包即可。目前WindowsServer2003服務包的最新版本是SP2。Linux操作系統(tǒng)的核心稱作內(nèi)核，它常駐內(nèi)存，用于控制計算機和網(wǎng)絡的各種功能，因此，它的安全性對整個系統(tǒng)安全至關重要。在Internet上常常有最新的安全修補程序，Linux系統(tǒng)管理員還應該經(jīng)常保持對RedHat、DebianLinux、Slackware、SuSE、Fedora等優(yōu)秀Linux發(fā)行套件門戶網(wǎng)站的關注，及時更新系統(tǒng)的最新核心以及打上安全補丁，這樣能較好地保證Linux系統(tǒng)的安全。從計算機安全的角度看，任何系統(tǒng)都存在漏洞，沒有百分之百安全的計算機系統(tǒng)。要想在技術日益發(fā)展、紛繁復雜的網(wǎng)絡環(huán)境中，保證操作系統(tǒng)的安全性，需要切實做好事前預防以及事后恢復的工作，這在很大程度上取決于人的因素。人是決定系統(tǒng)安全的第一要素。系統(tǒng)防護人員為了在系統(tǒng)攻防的戰(zhàn)爭中處于有利地位，必須保持高度的警惕性和對新技術的高度關注。通過網(wǎng)站和論壇盡快地獲取有關該系統(tǒng)的一些新技術以及一些新的系統(tǒng)漏洞的信息，做到防患于未然，在漏洞出現(xiàn)后的最短時間內(nèi)對其進行封堵，這樣才能比較好地解決問題，單純地依靠一些現(xiàn)有的工具是不夠的。

3.5我國安全操作系統(tǒng)現(xiàn)狀與發(fā)展

2007年，我國的信息安全遭受了嚴峻的考驗，“熊貓燒香”、“灰鴿子”等瘋狂肆虐，造成了數(shù)以百萬計的經(jīng)濟損失，而境外網(wǎng)絡間諜對政府等關鍵信息系統(tǒng)的侵入、破壞、竊密行為，則直接危及國家安全。據(jù)國家計算機網(wǎng)絡應急技術處理協(xié)調(diào)中心的報告顯示，僅2007年上半年，就發(fā)現(xiàn)數(shù)萬個大陸地區(qū)以外的木馬控制端IP，所控制的主機遍及北京、上海等大城市，其造成的危害波及政府、金融和科研院所等關鍵領域。在黑客、病毒所發(fā)動的網(wǎng)絡攻擊中，絕大多數(shù)是針對操作系統(tǒng)進行攻擊，而只有一小部分針對應用程序進行攻擊。因此，在抵御此起彼伏的攻擊時，操作系統(tǒng)就成為關鍵部分。我國操作系統(tǒng)在使用及發(fā)展上面臨很多問題。首先，由于我國廣泛應用的主流操作系統(tǒng)長期以來都是從國外引進直接使用的產(chǎn)品，其安全性難以令人放心。其次，雖然我國在操作系統(tǒng)研發(fā)方面已經(jīng)做了一些工作，但安全操作系統(tǒng)方案缺乏整體性。此外，目前我國市場上有很多根據(jù)市場需要自己組合成的操作系統(tǒng)，基本上是利用了國外的技術甚至部分源代碼，因此不具有我們的自主版權。我國于1999年9月發(fā)布由公安部制定的中國國家標準《計算機信息安全保護等級劃分準則》，并從2001年1月1日起強制實施。該準則將計算機信息系統(tǒng)安全保護等級劃分為五個級別，從低到高依次是：

第一級用戶自主保護級——對應TCSEC中的C1級；

第二級系統(tǒng)審計保護級——對應TCSEC中的C2級；

第三級安全標記保護級——對應TCSEC中的B1級；

第四級結構化保護級——對應TCSEC中的B2級；

第五級安全域級保護級——對應TCSEC中的B3級。雖然我國在操作系統(tǒng)設計方面起步較晚，但目前以Linux為代表的國際自由軟件的發(fā)展為我國發(fā)展具有自主版權的系統(tǒng)軟件提供了良好的機遇。我們應該加強安全模型與評估方法研究，從系統(tǒng)核心的安全結構體系著手，進行全局的設計，避免之前的操作系統(tǒng)在解決安全問題的方法和策略中采用“打補丁”的做法，從根本上解決系統(tǒng)安全問題，從而真正獲得具有較高安全可信度的系統(tǒng)。另外，我們也應該從系統(tǒng)內(nèi)核做起，針對安全性要求高的應用環(huán)境配置特定的安全策略，提供靈活、有效的安全機制，并盡可能少地影響系統(tǒng)性能，提高系統(tǒng)效率，設計實現(xiàn)基于安全國際標準、符合相應安全目標的具有中國自主版權的專用安全核心系統(tǒng)。對于當前已有的并且無法從內(nèi)核進行改造的系統(tǒng)，我們可以考慮采用設計安全隔離層——中間件的方式，增加安全模塊，對系統(tǒng)進行安全加固。安全是一個系統(tǒng)工程，操作系統(tǒng)安全只是其中的一個層次，并不是只要有了安全操作系統(tǒng)就能解決所有的安全問題，應該與各種安全軟硬件解決方案，例如防火墻、殺毒軟件、加密產(chǎn)品等配合使用，才能達到信息系統(tǒng)安全的最佳狀態(tài)。更重要的是，在操作者的頭腦中，要“預裝”好安全概念，只有這樣，才能讓各種安全產(chǎn)品得到有效的應用。

3.6操作系統(tǒng)安全實例

3.6.1WindowsServer2003安全設置

【實驗背景】

WindowsServer2003作為Microsoft最新推出的服務器操作系統(tǒng)，不僅繼承了Windows2000/XP的易用性和穩(wěn)定性，而且還提供了更高的硬件支持和更加強大的安全功能，無疑是中小型網(wǎng)絡應用服務器的首選。雖然缺省的Windows2003安裝比缺省的WindowsNT或Windows2000安裝安全許多，但是它還是存在著一些不足，許多安全機制依然需要用戶來實現(xiàn)它們。

【實驗目的】

掌握WindowsServer2003常用的安全設置。

【實驗條件】

安裝了WindowsServer2003的計算機。

【實驗任務】

就WindowsServer2003在網(wǎng)絡應用中帳戶、共享、遠程訪問、服務等方面的安全性作相關設置。

【實驗內(nèi)容】

1.修改管理員帳號和創(chuàng)建陷阱帳號

Windows操作系統(tǒng)默認安裝用Administrator作為管理員帳號，黑客也往往會先試圖破譯Administrator帳號密碼，從而開始進攻系統(tǒng)，所以系統(tǒng)安裝成功后，應重命名Administrator帳號。方法如下：

(1)打開【本地安全設置】對話框，選擇“本地策略”→“安全選項”，如圖3.10所示。

(2)雙擊“帳戶：重命名系統(tǒng)管理員帳戶”策略，給Administrator重新設置一個平常的用戶名，如user1，然后新建一個權限最低的、密碼極復雜的Administrator的陷阱帳號來迷惑黑客，并且可以借此發(fā)現(xiàn)它們的入侵企圖。圖3.10重命名系統(tǒng)帳戶

2.清除默認共享隱患

WindowsServer2003系統(tǒng)在默認安裝時，都會產(chǎn)生默認的共享文件夾，如圖3.6所示。如果攻擊者破譯了系統(tǒng)的管理員密碼，就有可能通過“\\工作站名\共享名稱”的方法，打開系統(tǒng)的指定文件夾，因此應從系統(tǒng)中清除默認的共享隱患。1)刪除默認共享

以刪除圖3.6中的默認磁盤及系統(tǒng)共享資源為例，首先打開“記事本”，根據(jù)需要編寫如下內(nèi)容的批處理文件：

@echooff

netshareC$/del

netshareD$/del

netshareE$/del

netshareadmin$/del將文件保存為delshare.bat，存放到系統(tǒng)所在文件夾下的system32\GroupPolicy\User\Scripts\Logon目錄下。選擇“開始”菜單→“運行”，輸入gpedit.msc，回車即可打開組策略編輯器。點擊“用戶配置”→“Windows設置”→“腳本(登錄/注銷)”→“登錄”，如圖3.11所示。

在【登錄屬性】窗口中單擊“添加”，會出現(xiàn)【添加腳本】對話框，在該窗口的“腳本名”欄中輸入delshare.bat，然后單擊“確定”按鈕即可，如圖3.12所示。

重新啟動計算機系統(tǒng)，就可以自動將系統(tǒng)所有的隱藏共享文件夾全部取消了。圖3.11組策略編輯器圖3.12登錄屬性2)禁用IPC連接

IPC是InternetProcessConnection的縮寫，也就是遠程網(wǎng)絡連接，是共享“命名管道”的資源，它是為了進程間通信而開放的命名管道，通過提供可信任的用戶名和口令，連接雙方計算機即可以建立安全的通道，并以此通道進行加密數(shù)據(jù)的交換，從而實現(xiàn)對遠程計算機的訪問，是WindowsNT/2000/XP/2003特有的功能。打開CMD后輸入如下命令即可進行連接：

netuse\\ip\ipc$

“password”

/user:"username"

其中：ip為要連接的遠程主機的IP地址，"username"和"password"分別是登錄該主機的用戶名和密碼。默認情況下，為了方便管理員的管理，IPC是共享的，但也為IPC入侵者提供了方便，導致了系統(tǒng)安全性能的降低，這種基于IPC的入侵也常常被簡稱為IPC入侵。如果黑客獲得了遠程主機的用戶名和密碼就可以利用IPC共享傳送木馬程序到遠程主機上，從而控制遠程主機。防止IPC共享安全漏洞可以通過修改注冊表來禁用IPC連接。方法為：打開注冊表編輯器，找到HKEY_LOCAL_MACHINE\SYSTEM\Current

ControlSet\Control\Lsa中的restrictanonymous子鍵，將其值改為1即可禁用IPC連接，如圖3.13所示。圖3.13注冊表編輯器

3.清空遠程可訪問的注冊表路徑

WindowsServer2003提供了注冊表的遠程訪問功能，黑客利用掃描器可通過遠程注冊表讀取計算機的系統(tǒng)信息及其他信息，因此只有將遠程可訪問的注冊表路徑設置為空，這樣才能有效地防止此類攻擊。

點擊“開始”菜單→“運行”，輸入gpedit.msc，回車打開組策略編輯器，選擇“計算機配置”→“Windows設置”→“安全設置”→“本地策略”→“安全選項”，在右側窗口中找到“網(wǎng)絡訪問：可遠程訪問的注冊表路徑”，然后在打開的窗口中，將可遠程訪問的注冊表路徑和子路徑內(nèi)容全部設置為空即可，如圖3.14所示。圖3.14組策略編輯器

4.關閉不必要的端口和服務

WindowsServer2003安裝好后會默認安裝一些服務，從而打開端口，黑客利用開放的端口可以對系統(tǒng)進行攻擊，因此應關閉掉無用的服務及端口。

關閉無用的服務可以在如圖3.9所示【計算機管理】界面的“服務”窗口中雙擊某項服務，將其“啟動類型”設置為“禁止”。對于服務列表中沒有列出的服務端口，則需要通過其他的設置來關閉，如關閉139端口。

139端口是NetBIOS協(xié)議所使用的端口，它的開放意味著硬盤可能會在網(wǎng)絡中共享，而黑客也可通過NetBIOS窺視到用戶電腦中的內(nèi)容。在WindowsServer2003中徹底關閉139端口的具體步驟如下：

(1)打開【本地連接屬性】界面，取消“Microsoft網(wǎng)絡的文件和打印共享”前面的“√”，如圖3.15所示。

(2)選中“Internet協(xié)議(TCP/IP)”，單擊“屬性”→“高級”→“WINS”，選中“禁用TCP/IP上的NetBIOS”選項，從而徹底關閉139端口，如圖3.16所示。圖3.15本地連接屬性圖3.16高級TCP/IP設置

Windows系統(tǒng)中還可以設置端口過濾功能來限定只有指定的端口才能對外通信。在如圖所示【高級TCP/IP設置】界面中單擊“選項”→“TCP/IP篩選”→“屬性”，選中“啟用TCP/IP篩選(所有適配器)”，然后根據(jù)需要配置就可以了。如只打算瀏覽網(wǎng)頁，則只需開放TCP端口80。方法為，可以在“TCP端口”上方選擇“只允許”，然后單擊“添加”按鈕，輸入80再單擊“確定”按鈕即可，如圖3.17所示。圖3.17TCP/IP篩選

5.杜絕非法訪問應用程序

根據(jù)不同用戶的訪問權限來限制他們調(diào)用應用程序，可以防止由于登錄的用戶隨意啟動服務器中的應用程序，給服務器的正常運行帶來的麻煩，因此應對訪問應用程序進行設置。方法如下：

在“運行”中輸入“gpedit.msc”，打開【組策略編輯器】界面，選擇“用戶配置”→“管理模板”→“系統(tǒng)”→雙擊“只運行許可的Windows應用程序”，選中“已啟用”→單擊“允許的應用程序列表”邊的“顯示”按鈕，彈出一個【顯示內(nèi)容】對話框，單擊“添加”按鈕，添加允許運行的應用程序，使一般用戶只能運行“允許的應用程序列表”中的程序，如圖3.18所示。圖3.18添加允許的應用程序3.6.2Linux安全設置

【實驗背景】

Linux操作系統(tǒng)是一個開放源代碼的免費操作系統(tǒng)，不論在功能、價格或性能上都有很多優(yōu)點，所以受到越來越多用戶的歡迎，然而針對它的攻擊也越來越多。因此要仔細地設定Linux的各種系統(tǒng)功能，盡可能讓黑客們無機可乘。

【實驗目的】

掌握Linux常用的安全設置。

【實驗條件】

安裝了Linux的計算機。

【實驗任務】

從系統(tǒng)啟動、帳戶安全、限制遠程訪問等方面給Linux加上必要的安全措施。

【實驗內(nèi)容】

1.?LILO啟動安全

1)?Linux啟動模塊配置

LILO是LInuxLOader的縮寫，它是Linux的啟動模塊?？梢酝ㄟ^修改/etc/LILO.conf文件中的內(nèi)容來進行配置。在該文件中加上下面兩行語句，使系統(tǒng)在啟動LILO時就要求密碼驗證：

restricted

password=設置的口令

另外還需要在/etc/LILO.conf文件中加上prompt。

通過上面的設置，LILO將一直等待用戶選擇操作系統(tǒng)，但是，如果有timeout這個選項，則時間到達后，用戶沒有做出選擇，LILO就會自行引導默認的系統(tǒng)。這里列舉一個LILO.conf的例子：

prompt

timeout=50

default=linux

boot=/dev/hda1

map=/boot/map

install=/boot/boot.b

message=/boot/message

linear

image=/boot/vmlinuz-2.4.20-8

label=linux

initrd=/boot/initrd-2.4.20-8.img

read-only

append?=?“hdc=ide-scsiroot=LABEL=/”

restricted#加入這行

password=#加入這行并設置口令

LILO.conf中參數(shù)的意義為：以/boot/vmlinuz-2.4.20-8內(nèi)核來啟動系統(tǒng)，如果用參數(shù)“l(fā)inuxsingle”來啟動Linux，timeout選項將給出5秒鐘的時間用于接受口令。其中，message=

/boot/message讓LILO以圖形模式顯示，如果取消這一行，那么LILO將以傳統(tǒng)的文本模式顯示。

2)設定LILO.conf權限

因為LILO的口令是以明文形式存在的，所以一定要確保LILO.conf變成僅root可以讀寫，其設置方法是執(zhí)行：

chmod600/etc/LILO.conf

然后必須執(zhí)行下面的操作才能使LILO生效：

/sbin/LILO

將會顯示“Addedlinux”，表示LILO已經(jīng)生效。

用戶最好重新啟動一次計算機來檢查對LILO所做的修改是否真的已經(jīng)生效。

3)修改LILO.conf屬性

為了防止LILO.conf無意或由于其他原因被修改，應該將/etc/LILO.conf設置為不可更改，其設置方法是執(zhí)行：

chattr+i/etc/LILO.conf

以后若要修改LILO.conf文件，必須首先刪去該文件的不可更改的屬性：

chattr–i/etc/LILO.conf

提示：只有root用戶可以對文件設置不可更改的屬性。

4)進入單用戶模式

現(xiàn)在版本的Linux的LILO是圖形界面的，要進入單用戶模式，只需在LILO界面出現(xiàn)之后，按快捷鍵Ctrl?+?X就會進入文本模式，然后輸入“l(fā)inuxsingle”就可以了。

2.修改登錄時缺省的最短密碼的長度

在安裝Linux時，默認的最小密碼長度是五個字節(jié)，但這并不安全，可以修改最短密碼長度。通過編輯“/etc/lo