频道栏目
首页 > 系统 > Linux > 正文
关于SOLARIS安全问题
2009-04-04 07:51:05      个评论      
收藏   我要投稿

r3turn.blogbus.com  

以下是前几天看过的一个文章,我简单翻译了一下,里面比较具体地说了说如何打补丁
原文可以在https://secinf.n et找到

SUN系统的基本安全配置

by Jeffrey Boulier (jeffreyb@gwu.edu)

一个SUN系统就象和NT系统一样,容易受到来自internet的各种可恶的攻击。幸运
的是,不象NT,你可以用以下三个简单的手段把SUN变的相对安全些,它们是:

至少90%以上的安全问题都是来自所谓的“堆栈溢出”。攻击者通过给一个以root身份
运行的程序提供比它所预期的输入多得多的东西,使被攻击程序无法处理而改变执行
流程去执行攻击者指定的代码。

Solaris 2.6和Solaris 7都具备把用户堆栈设成不可执行的能力,以使这种攻击不
能得逞。要使能这个特点:

        cp /etc/system /etc/system.BACKUP
       

set noexec_user_stack=1
set noexec_user_stack_log=1

一旦重启机器,这些改变就会生效。如果这不是一个你可以关闭的系统,那么你用
adb来改变一个运行中的系统的参数也是可能的,但这不是我个人乐意去干的事。

当然会有些合法使用可执行堆栈的程序在你做出如上改变后而不能正常运行。所幸
的是这样的程序的并不多,我所知的就只有GNU ada 编译器。

有许多用不着的服务自动的处于使能状态。它们中可能存在的漏洞将使攻击者甚至
不需要一个账户就能控制你的机器。关闭这些不需要的服务来保护你的系统,你可
以用如下方法来关闭:

       cp /etc/inetd.conf /etc/inetd.conf.BACKUP
       
未被激活的服务是在前面被“#“符号注释掉的,举个例子,你的部份inetd.conf可能
是这样的:       

name  dgram  udp   wait  root  /usr/sbin/in.tnamed   in.tnamed

不需要这个服务,因为你们中的99.999%不会用到这个“已经被废弃的IEN-116名字服务
协议“,把这个注释掉以后,这行看起来会象是:

^
|
看到这个新的“#” 符号了吧

我建议注释掉几乎所有的服务,只留下:

ftp   stream tcp   nowait root  /usr/sbin/in.ftpd    in.ftpd
telnet stream tcp   nowait root  /usr/sbin/in.telnetd  in.telnetd
time  stream tcp   nowait root  internal
time  dgram  udp   wait  root  internal
echo  stream tcp   nowait root  internal
echo  dgram  udp   wait  root  internal
discard stream tcp   nowait root  internal
discard dgram  udp   wait  root  internal
daytime stream tcp   nowait root  internal
daytime dgram  udp   wait  root  internal
rstatd/2-4   tli  rpc/datagram_v wait root /usr/lib/netsvc/rstat/rpc.rstatd rpc.rstatd
fs       stream tcp   wait nobody /usr/openwin/lib/fs.auto  fs

在只需要不多图形操作的服务器或是要保证相当的安全,你也许应该关掉字体服务fs,也可以
关掉系统性能监视器rstatd和tooltalk服务器ttdbserverd。事实上在确实需要安全的机器上
你甚至应该注释掉telnet和ftp。

你可以用grep找出机器能过inetd所提供的服务:
     
        grep -v “quot;^#”quot; /etc/inetd.conf

这将返回/etc/inetd.conf中所有没被注释掉的行。

它。一定要确保kill了inetd进程后,它还在运行,例如:

root@multics: ps -ef | grep inetd
  root  196   1 0 15:32:14 ?    0:00 /usr/sbin/inetd -s
root@multics: kill -HUP 196
root@multics: ps -ef | grep inetd
  root  196   1 0 15:32:14 ?    0:00 /usr/sbin/inetd -s
 

跟所有的复杂系统一样,SUN有它的漏洞,其中的一些从性质上来说是相当严重的。SUN公司有向
它的客户甚至是没有技术支持的客户提供补丁的优良传统。这些补丁或者以集合包或者以单个补
丁的形式存在的。不幸的是,要完全修补你的系统,既需要大的补丁集合包,又需要单个的补丁。
然而我们将介绍一种把补丁包和单个补丁结合起来使用的方法。

        umask 022
       
来设置你的许可模式–给系统打补丁不仅要求所有的补丁被”quot;nobody”quot;用户可读,而且包括补丁之
前的所有目录(不要问为什么,反正是一般这么干的)。

       
        mkdir /var/tmp/patch
        cd /var/tmp/patch
       
在你建“patch“目录的文件系统中要保证有足够的磁盘空间(提示:你可以试着键入

        df -k

来看看文件系统上可用的磁盘空间,不要用/tmp!

        ftp sunsolve.sun.com

你的登录用户名是“anonymous“,口令是你的电子邮件地址。

        bin
关闭提示,键入:
        prompt

–你不需要为下载每个补丁回答”是,我需要下那个补丁“ 。       

        cd /pub/patches

        ls *.PatchReport

例如:
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-
ftp”gt; ls *.PatchReport
Solaris1.1.1.PatchReport
Solaris1.1.2.PatchReport
Solaris1.1.PatchReport
Solaris2.3.PatchReport
Solaris2.4.PatchReport
Solaris2.4_x86.PatchReport
Solaris2.5.1.PatchReport
Solaris2.5.1_x86.PatchReport
Solaris2.5.PatchReport
Solaris2.5_x86.PatchReport
Solaris2.6.PatchReport
Solaris2.6_x86.PatchReport
Solaris7.PatchReport
Solaris7_x86.PatchReport
remote: *.PatchReport
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-

对x86和sparc文件有不同的补丁报告文件,sparc版本的是那些没有“x86“字样的。

        get Solaris2.6.PatchReport

列出推荐的文件:

        ls *Recommended*

输出可能是这样的:
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-
ftp”gt; ls *Recommended*
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-

你可以用mget命令把推荐文件和readme都拿下来,比如:

        mget 7_x86_Recommended*

这可能要等上一会儿。

可能是这样的:
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-

Solaris 2.5.1 Patches Containing Security Fixes:
————————————————

(”amp; c.)
-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-= =-

“*“标记的补丁没有包括在推荐补丁集合包里,我们要把它们包括进来。

用mget,这样用:

    mget 106689* 106905* 106411*

重要:你可能想用一个mget命令得到所有的补丁,但mget的参数的个数是有限制的!

而且,我并没有指定版本号,这不仅仅是为了少输入字符和得到相关的README文件,也是因为
在补丁报告发布过程中,版本号可能是会变化的。

            quit

来结束ftp会话。

们将先把补丁包和单个补丁合并起来。

首先解压补丁包:

如果你用的是Solaris 2.6或更早的,

        uncompress 2*Recommended.tar.Z
        tar -xvf 2*Recommended.tar

如果用的是Solaris 7,

        unzip 7*Recommended.zip

其次,把所有的单个补丁移到你的建立的Recommended目录:

        mv 1* *Recommended

然后,进到保存有全部补丁的Recommended目录:

        cd *Recommended

了所有将被install_cluster脚本安装的补丁,你可以手工把它们加进去(提示:
这是错误的选择)或者用UNIX的命令工具来帮你做这件事。

如果你是Solaris 7,用下面的命令:

        ls *.zip | cut -d”quot;.”quot; -f1 “gt;”gt; patch_order

如果是Solaris 2.6或以前的:

        ls *.tar.Z | cut -d”quot;.”quot; -f1 “gt;”gt; patch_order

A)如果你用Solaris 7,你可以用unzip一次解压一个文件:

        unzip 108723.zip

讨厌的是,你不能用“unzip *.zip“,因为unzip不能这样工作,为了避免多次地输入
unzip,你可以用下面的UNIX命令让unzip为你解压所有的东西:

        ls *.zip | xargs -n1 unzip

B)如果用的是Solaris 2.6或更低的,键入:

            uncompress *.tar.Z

现在你必须用tar分离出单个的补丁,你可以用以下命令一次处理一个文件:

        tar -xvf 108723.tar

讨厌的是,你不能用“tar -xvf *.tar“,因为tar不能这样工作,为了避免多次地输入
tar,你可以用下面的UNIX命令让tar为你分离所有的东西: 

        ls *.zip | xargs -n1 tar -xvf

            /us

点击复制链接 与好友分享!回本站首页
相关TAG标签 问题
上一篇:有备无患Linux操作系统的备份方法介绍
下一篇:Linux中建立安全的ProFTPD应用经验谈
相关文章
图文推荐
点击排行

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站