热点网|医学教育网|北京pk10开奖直播 pk10开奖直播 北京赛车pk10 pk10开奖直播 北京赛车pk10 PK10开奖直播 北京赛车pk10开奖直播 北京pk10 北京pk10
网站运营 | 站长学院 | 技术文档 | 成语 | 歇后语 | 桌面壁纸 | 帝国时代 | 代码收藏 | IP地址查询 | 生活百科 | 生日密码 | CSS压缩 | 用户评论

保障Linux的临时文件安全

【 更新时间:2012-05-18 | 字体:
[导读]  在一个典型的Linux系统中<,至少有两个目录或分区保持着临时文件。其中之一是/tmp目录<,再者是/var/tmp。在更新的Linux内核的系统中<,还可能有/dev/shm,它是用tmpfs文件系统装载的<。   存储临时文件的目录存在...

  在一个典型的Linux系统中,至少有两个目录或分区保持着临时文件。其中之一是/tmp目录<,再者是/var/tmp。在更新的Linux内核的系统中<,还可能有/dev/shm<,它是用tmpfs文件系统装载的<<。

  存储临时文件的目录存在着一个问题<<,即这些目录可以成为损害系统安全的僵尸和rootkit的温床。这是因为在多数情况下,任何人(或任何过程)都可以向这些目录写入东西<,还有不安全的许可问题。我们知道都sticky bit,该位可以理解为防删除位<。如果希望用户能够添加文件但同时不能删除文件<, 则可以对文件使用sticky bit位。设置该位后,就算用户对目录具有写权限,也不能删除该文件。多数Linux发行版本在临时目录上设置sticky位,这意味着用户A不能清除属于用户B的一个文件,反之亦然。但是,根据文件自身的许可,用户A有可能查看并修改那个文件的内容<。

  一个典型的Linux安装将/tmp设置为mode 1777,这意味着它设置了sticky位<<<,并且可被所有的用户读取<、写入、执行。多数情况下<<,这如同其设置的安全一样,主要是因为/tmp目录仅仅是一个目录,而不是一个自己的文件系统。/tmp目录依赖于/分区,这样一来它也就必须遵循其装载选项。

  一个更加安全的解决方案可能是将/tmp设置在其自己的分区上,这样一来它就可以独立于/分区装载,并且可以拥有更多的限制选项。/tmp分区的/etc/fstab项目的一个例子看起来是这样的:

  /dev/sda7 /tmp ext3 nosuid<,noexec,nodev<<,rw 0 0

  这就设置了nosuid<<、noexec、nodev选项,意味着不允许任何suid程序,从这个分区不能执行任何内容<,并且不存在设备文件。

  你可以清除/var/tmp目录,并创建一个symlink指向/tmp目录<,如此一来,/var/tmp中的临时文件就可以利用这些限制性的装载选项。

  /dev/shm虚拟文件系统也需要保障其安全,这可以通过改变/etc/fstab而实现<。典型情况下,/dev/shm通过defaults选项加载<,对保证其安全性是很不够的。就像/tmp的fstab一样,它应当具备限制性更强的加载选项:

  none /dev/shm tmpfs defaults,nosuid,noexec,rw 0 0

  在一个典型的Linux系统中,至少有两个目录或分区保持着临时文件<。其中之一是/tmp目录<,再者是/var/tmp。在更新的Linux内核的系统中,还可能有/dev/shm,它是用tmpfs文件系统装载的。

  最后<,如果你没有能力在现有的驱动器上创建一个最新的/tmp分区,你可以通过创建一个loopback文件系统来利用Linux内核的 loopback特性,这个文件系统可被装载为/tmp,并可以使用相同的限制加载选项。要创建一个1GB的loopback文件系统<,需要执行:

  # dd if=/dev/zero of=/.tmpfs bs=1024 count=1000000

  # mke2fs -j /.tmpfs

  # cp -av /tmp /tmp.old

  # mount -o loop<<,noexec,nosuid,rw /.tmpfs /tmp

  # chmod 1777 /tmp

  # mv -f /tmp.old/* /tmp/

  # rmdir /tmp.old

  一旦完成,需要编辑/etc/fstab<<,以便于在启动时自动加载loopback文件系统:

  /.tmpfs /tmp ext3 loop,nosuid,noexec,rw 0 0

  保障恰当的许可和使用限制性加裁选项等方法能够防止对系统的许多损害<<。如果一个僵尸在一个不能执行的文件系统上安了家,那么它从本质上讲也是不值得担心的。

原文:http://www.chinawobo.com/46/11089046.shtml

友荐云推荐
  • 转载请注明来源:网站运营 网址:http://www.chinawobo.com/ 向您的朋友推荐此文章
  • 特别声明: 本站除部分特别声明禁止转载的专稿外的其他文章可以自由转载<<,但请务必注明出处和原始作者。文章版权归文章原始作者所有。对于被本站转载文章的个人和网站<,我们表示深深的谢意。如果本站转载的文章有版权问题请联系我们<<,我们会尽快予以更正<。
RSS订阅
  • QQ邮箱
  • 填写您的邮件地址,订阅我们的精彩内容:
更多
© 2014 网站运营 - T086.com(原itlearner.com)
  • 2018的偶像元年是否只是一场美丽的谎言?偶像练习生创造101选秀 2018-05-22
  • 上海临港有个“儿童大学” 2018-05-20
  • 2017年世界大学学术排名发布 清华进前50大学学术排名大学排行榜 2018-05-20
  • 日本战犯侵华罪行自供 2018-05-19
  • 塑料污染让人痛心 世界最深海沟竟成“垃圾场” 2018-05-19
  • 男子因琐事杀害女友并分尸抛河 警方根据美甲破案嘉兴美甲死者 2018-05-18
  • 166名中国人在泰国操控中国股市被警方押扣审讯 2018-05-17
  • 消防车进商场——“小小消防员”的消防安全乐体验 2018-05-17
  • 学者:“感应舍利”的出现为何是“必然” 2018-05-16
  • 中国等国利用可再生能源创造上千万工作岗位 2018-05-16
  • 只有用在外语环境下学习的人才懂的13个瞬间! 2018-05-16
  • 外交部回应“中国首次在南沙群岛部署导弹系统” 2018-05-15
  • 陕甘宁边区发行的光华劵:为找零需要,增发6种辅币 2018-05-14
  • 酒仙网郝鸿峰:白酒轻奢消费正在互联网上兴起兴起 2018-05-14
  • 新增硕博学位授予单位释放了什么信号 2018-05-14
  • 微商货源 | 冠珠陶瓷 | 6688电视家官网 | 中康体检网 | 安徽极热网 | 北京赛车开奖号码 | 快猴网 | 迪威乐云商devmsn | 易奇八字 | wwe美国职业摔角 | 八字算命 | 河南旅游景点大全 | 冠珠陶瓷 | 广东旅游景点大全 |
    RunTime:6.48ms QueryTime:7