第16章 系统安全命令
新闻来源:电子书籍发布时间:2014-01-10 13:44我有话说(0)
IP包过滤器管理——iptables
iptables命令语法:
iptables [-t table] 命令参数 [对应参数]
实例1:查看nat表的规则设置。执行以下命令:
[root@Localhost ~]# iptables -t nat -L
实例2:查看默认表filter当前的规则设置。执行以下命令:
[root@Localhost ~]# iptables -L
执行命令后将显示该表所有规则链中的规则。
实例3:查看filter表当前的规则设置,并用数字形式显示IP地址和端口号(用“-n”参数表示)。执行以下命令:
[root@Localhost ~]# iptables -L -n
执行命令后将显示filter表所有规则链表中的规则。
可以看出与上一个例子不同的是,规则中涉及到的IP地址和端口号是用数字形式表示的(如IP地址0.0.0.0/0代替“anywhere”,端口号53表示“mdns”)。
实例4:查看filter表FORWARD链的规则设置。执行以下命令:
[root@Localhost ~]# iptables -L FORWARD
此时,将仅显示INPUT链的规则。
实例5:清除nat表中所有规则链中的规则。执行以下命令:
[root@Localhost ~]# iptables -t nat -F
执行该命令后将删除其所有规则链中的规则。通过执行以下命令规则链中的规则:
[root@Localhost ~]# iptables -t nat -L
实例6:添加规则到规则链表,允许源地址为192.168.1.1/24的主机通过22(tcp)端口。执行命令:
[root@Localhost ~]# iptables -A INPUT -p tcp -s 192.168.1.1/24 --dport 22 -j ACCEPT
执行该命令后,可以看到规则已加入,通过执行以下命令查看:
[root@Localhost ~]# iptables -L
保存IP表——iptables-save
iptables-save命令语法:
iptables-save [参数] [-t table]
实例1:显示默表 nat 的IP表的内容。执行命令:
[root@Localhost ~]# iptables-save
实例2:显示IP表的内容,并显示所有包和字节计数器的当前值(利用“-c”选项实现)。执行命令:
[root@Localhost ~]# iptables-save -c
执行命令后,将显示nat表和filter表的信息。
实例3:保存nat表的内容到文件natLog.txt中。执行命令:
[root@Localhost ~]# iptables-save -t nat > natLog.txt
此时natLog.txt中已经保存了nat表的内容,然后执行命令查看:
[root@Localhost ~]# cat natLog.txt
恢复IP表——iptables-restore
iptables-restore命令语法:
iptables-restore [参数]
实例:从文件natLog.txt中恢复nat表。执行命令:
[root@Localhost ~]# iptables-restore < natLog.txt
此处使用重定向,从文件natLog中输入。
执行以下命令可以查看到nat表:
[root@Localhost ~]# iptables-save -t nat
设置SELinux模式——setenforce
setenforce命令语法:
setenforce [ Enforcing | Permissive | 1 | 0 ]]
实例1:将SELinux设置为允许模式。执行命令:
[root@localhost local]# setenforce Permissive
然后执行命令查看设置后的SELinux模式:
[root@localhost local]# getenforce
实例2:将SELinux设置为强制模式。执行命令:
[root@localhost local]# setenforce Enforcing
然后执行命令查看设置后的SELinux模式:
[root@localhost local]# getenforce
另外,如果SELinux当前被disabled(禁用),则setenforce命令无效。
查看SELinux模式——getenforce
getenforce命令语法:
getenforce
实例:使用getenforce命令查看SELinux当前模式。执行命令:
[root@localhost local]# getenforce
设置SELinux布尔值——setsebool
setsebool命令语法:
setsebool [ 参数] boolean value | bool1=val1 bool2=val2 ...
实例1:设置布尔变量ftpd_disable_trans(该变量为系统所提供)为激活状态。执行命令:
[root@Localhost ~]# setsebool ftpd_disable_trans true
然后执行命令查看SELinux布尔值:
[root@Localhost ~]# getsebool ftpd_disable_trans
实例2:连续设置两个布尔变量值。
设置布尔变量telnetd_disable_trans的状态为on,httpd_enable_homedirs的状态为on。执行命令:
[root@Localhost ~]# setsebool telnetd_disable_trans=1 httpd_disable_trans=1
然后分别执行“getsebool”命令查看结果:
[root@Localhost ~]# getsebool telnetd_disable_trans
[root@Localhost ~]# getsebool httpd_disable_trans
查看SELinux布尔值——getsebool
getsebool命令语法:
getsebool [参数] [boolean]
实例1:利用getsebool命令显示所有的SELinux布尔变量。执行命令:
[root@localhost local]# getsebool -a
执行命令后,会显示所有的SELinux布尔变量,这里只截取一部分SELinux布尔变量显示。
实例2:显示SELinux布尔变量tcpd_disable_trans的值。执行命令:
[root@Localhost ~]# getsebool tcpd_disable_trans
执行命令后,将会显示tcpd_disable_trans的值为off。
然后可以通过执行以下命令来改变tcpd_disable_trans的值为on:
[root@Localhost ~]# setsebool tcpd_disable_trans on
最后执行命令查看改变后的值:
[root@Localhost ~]# getsebool tcpd_disable_trans
可以看到tcpd_disable_trans的值已变为on。
翻转SELinux布尔值——togglesebool
togglesebool命令语法:
togglesebool boolean...
实例1:利用该命令将ftpd_disable_trans的值翻转。
首先查看当前布尔变量ftpd_disable_trans的值,执行命令:
[root@localhost local]# getsebool ftpd_disable_trans
执行命令后,可以看到ftpd_disable_trans的状态为on。
然后执行以下命令进行翻转值:
[root@localhost local]# togglesebool ftpd_disable_trans
执行该命令后,ftpd_disable_trans的状态即可变为off。执行以下命令查看:
[root@localhost local]# getsebool ftpd_disable_trans
执行命令后,可以看到ftpd_disable_trans的状态为off。
使用该命令除了可以使同一布尔变量的值翻转外,也可以通过该变量来翻转不同变量之间的值,看接下来的例题。
实例2:将httpd_enable_homedirs的值和telnetd_disable_trans的值翻转。
首先使用命令查看当前这两个变量的值:
[root@localhost local]# getsebool httpd_enable_homedirs
[root@localhost local]# getsebool telnetd_disable_trans
执行命令后,可以看到httpd_enable_homedirs的值为on,telnetd_disable_trans的值为off。然后执行以下命令进行翻转:
[root@localhost local]# togglesebool httpd_enable_homedirs telnetd_disable_trans
执行该命令后,这两个变量的值即可发生更换(即httpd_enable_homedirs的值为off,telnetd_disable_trans的值为on),再执行以下命令查看结果:
[root@localhost local]# getsebool httpd_enable_homedirs
[root@localhost local]# getsebool telnetd_disable_trans
SELinux状态工具——sestatus
sestatus命令语法:
sestatus [参数]
实例1:利用该命令显示SELinux状态。执行命令:
[root@localhost local]# sestatus
执行命令后,将会显示SELinux状态信息:
实例2:显示SELinux状态,并显示布尔值。执行命令:
[root@localhost local]# sestatus -b
实例3:显示SELinux状态,并显示/etc/ sestatus.conf中文件和进程列表的语境。执行命令:
[root@localhost local]# sestatus -v
显示AVC统计信息——avcstat
avcstat命令语法:
avcstat [参数]
实例1:利用该命令显示AVC统计信息。执行命令:
[root@localhost local]# avcstat
根据参数提示,还可以设置以循环的方式显示AVC统计信息,看下面的实例。
实例2:循环显示AVC统计信息,5秒更新一次。执行命令:
[root@localhost local]# avcstats 5
执行该命令后将会不断更新AVC统计信息(5秒为一个周期),直到中断其运行为止。
转换审计消息——audit2why
audit2why命令语法:
audit2why [参数]
实例:将系统日志中的SELinux出错信息解码显示。执行命令:
[root@localhost local]# grep avc: /var/log/messages|audi t2why
生成策略允许规则——audit2allow
audit2allow命令语法:
audit2allow [选项]
实例1:从消息日志中生成非模块的策略。执行命令:
[root@localhost local]# cat /var/log/messages | audit2allow > localMessage.txt
然后输入以下命令查看所生成的策略:
[root@localhost local]# cat localMessage.txt
实例2:从消息日志中生成并构造模块策略。执行命令:
[root@localhost local]# cat /var/log/messages | audit2allow > -M local
装载策略——load_policy
load_policy命令语法:
load_policy [参数]
实例:将策略装载到内核中,需执行以下步骤。
首先查看当前布尔变量nfsd_disable_trans的值,执行命令:
[root@localhost local]# getsebool nfsd_disable_trans
可以看到该布尔变量的当前值状态为off,然后,将NetworkManager_disable_trans的值翻转执行命令:
[root@localhost local]# togglesebool nfsd_disable_trans
最后使用load_policy装载策略:
[root@localhost local]# load_policy
装载策略后,通过以下命令可以查看到该布尔变量的当前状态值:
[root@localhost local]# getsebool nfsd_disable_trans
执行命令后,可以看到该布尔变量的当前状态值被保留。
SELinux策略管理——semanage
semanage命令语法:
semanage login -{a|d|m} [参数] logi n_name
semanage user -{a|d|m} [参数] selin ux_name
semanage port -{a|d|m} [参数] [-p protoc ol] port | port_range
semanage interface -{a|d|m} [参数] int erface_spec
semanage fcontext -{a|d|m} [参数] file_spec
semanage translation -{a|d|m} [参数] level
实例1:允许用户manager(已存在的用户)作为sysetm_u登录。
首先执行以下命令:
[root@Localhost ~]# semanage login –l
然后执行命令允许用户manager作为sysetm_u登录:
[root@Localhost ~]# semanage login -a -s system_u manager
最后执行命令:
[root@Localhost ~]# semanage login -l
实例2:查看SELinux的用户映射关系。执行命令:
[root@Localhost ~]# semanage user -l
管理策略模块——semodule
semodule命令语法:
semodule [参数]... MODE [MODES]...
实例1:安装模块包local.pp。执行命令:
[root@Localhost ~]# semodule -i local.pp
然后执行命令查看情况:
[root@Localhost ~]# semodule -l
执行该命令后,可以看到该模块已被装入。
实例2:显示已安装的SELinux模块列表。执行命令:
[root@Localhost ~]# semodule -l
实例3:删除模块包local。执行命令:
[root@Localhost ~]# semodule -i local
然后执行命令查看情况:
[root@Localhost ~]# semodule -l
执行命令后,可以看到该模块已不存在。
创建策略模块包——semodule_package
semodule_package命令语法:
semodule_package -o -m [-f ]
实例1:由策略模块local.mod创建策略包local.pp。执行命令:
[root@Localhost ~]# semodule_package -o local.pp -m local.mod
创建成功后,即可执行以下命令将生成的策略包装入内核:
[root@Localhost ~]# semodule -i local.pp
[root@Localhost ~]# semodule -l
实例2:创建一个基准模块baseMod.mod的策略包baseMod.pp,文件的语境文件为file_contexts,执行以下命令即可。
[root@Localhost ~]# semodule_package -o baseMod.pp -m baseMod.mod -f file_contexts
其中,“-o baseMod.pp”表示生成的策略包文件为baseMod.pp,“-m baseMod.mod”表示要包括的策略模块baseMod.mod,“-f file_context”表示模块的文件语境文件。
编译策略模块——checkmodule
checkmodule命令语法:
checkmodule [参数] [input_file]
实例:由文件localMessage.txt编译生成策略模块。执行命令:
[root@Localhost ~]# checkmodule -m -o local.mod localMes sage.txt
改变语境类别——chcat
chcat命令语法:
chcat [参数][+|-] [[+|-]CATEGOR Y],...]FILE...
chcat [参数] [[+|-]CATEGORY],...] USER...
实例1:显示可用类别。执行命令:
[root@Localhost ~]# chcat -L
实例2:显示manager用户的类别。执行命令:
[root@Localhost ~]# chcat -Ll manager
修复文件安全语境——fixfiles
fixfiles命令语法:
fixfiles [参数] { check | restor e|[-F]relabel | verify }
实例:对文件系统重新标签。执行命令:
[root@Localhost ~]# fixfiles relabel
执行命令后,建议重启系统。
恢复文件安全语境——restorecon
restorecon命令语法:
restorecon [参数] 文件名...
实例1:恢复文件file2原来的文件标签。
首先查看file2文件的文件标签。执行命令:
[root@Localhost ~]# ls -Z file2
然后执行以下命令改变file2的文件类型为“etc_t”:
[root@Localhost ~]# chcon -t etc_t file2
执行以下命令查看该文件的文件类型相关情况:
[root@Localhost ~]# ls -Z file2
执行命令后可以看到文件类型已经改变:
最后执行以下命令来实现file2的文件类型的恢复:
[root@Localhost ~]# restorecon file2
[root@Localhost ~]# ls -Z file2
执行命令后,可以看到文件file2的文件类型已恢复为原来的“user_home_t”。
实例2:显示文件file2文件标签的改变。
首先查看file2文件标签执行命令:
[root@Localhost ~]# ls -Z file2
可以看到file2文件标签为“user_home_t”。
将file2的文件类型变为“etc_t”,执行命令:
[root@Localhost ~]# chcon -t etc_t file2
然后执行以下命令显示文件标签的改变:
[root@Localhost ~]# restorecon -v file2
改变文件安全语境——chcon
chcon命令语法:
chcon [参数] CONTEXT FILE...
实例1:更改文件file2的标签,将其文件类型改为user_home_dir_t。
首先执行命令查看file2的档期文件类型:
[root@Localhost ~]# ls -Z file2
然后,执行以下命令更改文件类型:
[root@Localhost ~]# chcon -t user_home_dir_t file2
最后通过执行以下命令查看更改后的文件类型:
[root@Localhost ~]# ls -Z file2
要重新标记系统,应当创建空文件/.autorelabel然后引导系统,需要输入命令“touch /.autorelabel”和“shutdown -r now”。在系统启动期间,除了用在/etc/selinux/targeted/contexts/customizable_types中的类型标记的文件,文件会被重新标记为默认值。
实例2:递归改变目录hhwork下文件和目录的标签,将文件类型改为etc_t。
执行以下命令查看hhwork下文件和目录的文件类型:
[root@Localhost ~]# ls -RZ hhwork
然后执行以下命令进行递归更改,并将文件类型更改为“etc_t”:
[root@Localhost ~]# chcon -R -t etc_t hhwork
此时,该目录下的所有文件和目录的文件类型已改为etc_t了,最后执行以下命令查看结果:
[root@Localhost ~]# ls -RZ hhwork
设置文件安全语境——setfiles
setfiles命令语法:
setfiles [参数] spec_file pathname...
实例:重新标记文件系统/。执行命令:
[root@Localhost ~]# setfiles contextsfile/
需要说明的是contextsfile为用户定义的规范文件。
小提示:按 回车[Enter]键 返回书目,按 ←键 返回上一页, 按 →键 进入下一页。
网友评论

关于圣剑 - 广告服务 - 招聘信息 - 友情连接 - 保护隐私权 - 意见反馈 - 帮助中心 - 联系我们

Copyright © 2016 Sjian.Net Inc. All Rights Reserved.大千网络科技有限公司 版权所有

不良信息举报中心 陕ICP备10005927号 陕公网安备61010402000003号