File Permissions and Masks

编辑=/etc/fstab=，我们关注列2(挂载点),3(文件系统类型),4(挂载参数)。给所有满足下列条件的行：

• 文件系统是=ext2=或=ext3=
• 挂载点不是=/=

在列4添加=,nodev=。

=nodev=参数防止用户在任何不该挂载设备的分区上挂载设备。只有=/dev=应该挂载设备，所以不要在=/=上设置这个参数。

然而，如果系统程序在=chroot jail=中运行，需要在=chroot=文件夹内创建设备文件，这个建议就不这么适用。

编辑=/etc/fstab=，如果行中包含=floppy=或者=cdrom=字样就说明这些是可移除媒体的文件系统。

对其中每个找到的挂载点，在列4添加=noexec,nodev,nosuid=参数。

挂载到可移除介质的文件系统也为恶意可执行文件提供了潜在的进入系统方式，因此应该用最小权限挂载。用户不能引入任意设备或者suid程序。另外=noexec=禁止用户直接在可移除介质上运行程序，这能阻止一些特殊蠕虫和恶意代码。

/etc/fstab=上的挂载点也许在某些典型硬件的现代系统上不存在。动态挂载机制需要通过其它方式控制(也许可以也许不能控制挂载选项)。如果你需要在可移动介质中执行什么，就别加=noexec.

临时存储分区比如=/tmp=和=/dev/shm=为恶意程序执行提供了潜在存储空间。尽管添加这些参数不能防止其它分区的程序解释存储在这些分区的代码，但对某些恶意代码也有作用。

编辑=/etc/fstab=，向列4添加=,nodev,nosuid,noexec=。

编辑=/etc/fstab=，添加以下行：

/tmp    /var/tmp    none    rw,noexec,nosuid,nodev,bind 0 0

这一行绑定挂载任何人都可写的=/var/tmp=目录到=/tmp=，使用用上文中用的选项。参见mount的man页面获取更多关于绑定挂载的信息。

默认系统配置批准控制台用户提升到root用户权限，包括暂时拥有大部分系统设备。如果不必要，禁用这个权限，限制到root。

将设备所有者限定到root

(RHEL6)中并无这些，神奇的消失了。Removed references to 50-default.perms, since this file was removed in Red Hat Enterprise Linux 6, per Bugzilla

USB闪存或硬盘可能为攻击者物理接触系统拷贝大量数据提供便利。

#vi /etc/modprobe.d/no-usb.conf                           #Create this file if it doesn’t exist
install usb-storage /bin/true                             #Add this line
:wq!

rm /lib/modules/kernelversion(s) /kernel/drivers/usb/storage/usb-storage.ko

kernel /vmlinuz-version ro vga=ext root=/dev/VolGroup00/LogVol00 rhgb quiet nousb

如果=autofs=服务不是必要的，比如挂载NFS文件系统或可移动介质，禁用该服务。

chkconfig autofs off

其实用autofs自动挂载可移动介质也不常见，如果不用NFS就禁用服务。

就算需要NFS，近乎总是可能在=/etc/fstab=配置静态文件系统挂载，而不是依靠自动挂载。

略

在=/etc/modprobe.d/=下随意建个文件比如=uncomman_fs.conf=:

install cramfs /bin/true
install freevxfs /bin/true
install jffs2 /bin/true
install hfs /bin/true
install hfsplus /bin/true
install squashfs /bin/true
install udf /bin/true

cd /etc
chown root:root passwd shadow group gshadow
chmod 644 passwd group
chmod 400 shadow gshadow

一般这是默认情况。

找到所有本地分区上全局可写但未设置sticky位的文件夹。以下命令可以用来查找，其中=PART=是指定分区：

find PART -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print

如果有任何输出目录=/dir=，用以下命令更改：

chmod +t /dir

sticky位设置后，只有文件夹的所有者可以删除其中的文件。

以下命令找到全局可写文件(对某一分区=PART=)：

find PART -xdev -type f -perm -0002 -print

如果发现确实不该设置全局可写，设置：

chmod o-w file

几乎不该出现全局可写的文件夹。

以下命令找到所有分区=PART=上的setuid和setgid文件：

find PART -xdev \( -perm -4000 -o -perm -2000 \) -type f -print

如果确定有不用设置suid或sgid的程序，设置：

chmod -s file

可以参考NSA Guide 32页表格决定。

找到分区=PART=不属于任何有效用户组和用户的文件：

find PART -xdev \( -nouser -o -nogroup \) -print

如果有输出检查下是分配给某个用户和组还是删除文件。

通常无主文件并不可被挖掘漏洞，但是通常意味系统进程出错。也许是一个入侵者造成的，或者不正确的软件安装或者不完整的软件移除，或者移除一个被删除的帐号失败。这些文件应该被修复，以防将来创建用户出现问题，因此这种问题需要重视。

确保全局可写文件目录的权限是root或者其它系统账户。以下命令将发现和打印这些：

find PART -xdev -type d -perm -0002 -uid +500 -print

如果有输出，搞明白为什么这些全局可写目录的拥有者不是root或者系统账户。

允许用户账户拥有全局可写目录不合适，应该这将允许拥有者移除任何其它用户放进去的文件。

编辑=/etc/sysconfig/init=，添加或改变以下行。

umask 027

该文件包含在启动时应用到所有进程的设置。最起码系统umask是022,不然守护进程就会创建全局可写的文件。更严格的027保护临时文件、日志文件等不被未授权的非授权用户读取。

如果特定daemon需要更宽松的umask，考虑为该守护进程单独设置例外，比如编辑启动脚本或者sysconfig文件

在=/etc/security/limits.conf=中添加或更改以下行，限制所有用户吐核。

*   hard core 0

并且，确保setuid程序不吐核，编辑=/etc/sysctl.conf=添加或改正以下行：

fs.suid_dumpable = 0

核文件是可执行文件的内存镜像，大多情况下只有开发者需要合法的存取这些文件。核内可能包含敏感信息或者占据大量磁盘空间。

默认情况下，系统设置了软限制(soft limit)，以防止所有用户创建核文件。通过在=/etc/profile=中以下行实现：

ulimit -S -c 0 > /dev/null 2>&1

然而这个限制不是强制的。仅能防止对用户会话中恼人的吐核，如果需要吐核，考虑限定到指定用户和组。参见=limit.conf=的man页面。

sysctl fs.suid_dumpable

kernel.exec-shield = 1
kernel.randomize_va_space = 2

sysctl kernel.exec-shield
sysctl kernel.randomize_va_space

较新的x86 32位处理器支持在每个内存页面基础上的代码防止执行。通常在AMD处理器上这个特性嗯叫=NX=，在Intel处理器中叫=XD=。这个特性有助于防止缓冲区移除攻击。任何时候都该开启。其它处理器比如Itanium、Power和64位x86处理器开始就支持该特性。

cat /proc/cpuinfo

yum install kernel-PAE

通过加载每个已经链接的必要符号的共享库到相同的位置，Prelink设计来减少进程启动时间。=/etc/sysconfig/prelink=文件描述了=/usr/sbin/prelink=程序会改动哪些文件以及更改这些文件的频率。

cron任务可以每天运行来执行=prelink=程序，有两种类型的预链接：quick和full，full默认每十四天发生一次，重链接所有共享库和那些使用它们的二进制文件。快速模式每天运行，但只对改动的二进制文件和库进行。

一旦二进制文件被预链接了，共享库地址不再会在进程基础上随机防止，就算=kernel.randomize_vaspace=设置成1或2.这可不是我们想要的结果，由于其为攻击者的挖掘尝试提供了稳定的地址。

PRELINKING=no

/usr/sbin/prelink -ua