建立 UNIX关机用户有新招

当前，对于使用UNIX系统的营业网点，在技术管理上一般是系统管理员上收root特权用户口令，设立一个关机用户给普通操作员使用，来实现操作系统的关机管理。由于普通用户一般不能执行关机命令，在建立关机用户上一般是按照以下步骤来实现的：     

SCO UNIX系统的授权机制及应用

SCOUNIX操作系统作为一种微机多用户系统，广泛应用于银行、邮电等业务部门。系统本身所提供的各种安全措施，如口令字、帐号、日志等，为安全使用该系统提供了保证。而UNIX操作系统的安全性问题，说到底是如何防止root权限的失窃，从而避免非法用户给系统带来不可预测的后果。但是，有时会碰到确实想要让普通用户来执行root才能执行的命令，而又不想让其拥有其他任何root权限，系统是否提供了这种功能呢？回答是肯定的，事实上系统本身提供了一种授权机制，它可以使普通用户在有限范围内执行具有超级用户权限的命令。一、SCOUNIX系…     

普通操作员行使系统管理员权限的安全方法

在建行资金清算系统中，为了保证系统的安全性，必须对超级用户加密码，但部分功能又必须由超级用户执行，例如关机命令。若超级用户病休或出差不在家，机器便关不了；如若不加密码或将密码公开半公开，又导致了系统的不安全。能不能不以＿t注册而关机呢？经过研究，发现shutdown命令执行时总是检查调用者的hid，若是0就认为是超级用户，命令继续执行，否则会退出。这样一来，只要将某一用户的md置为0，该用户不就可以完成关机工作了吗？但问题不仅仅如此，还必须防止该用户调用其它他不该使用的系统命令。为此需要写一个北文件来限制，使这…     

一种关闭XENIX系统的简捷方法

一种关闭ＸＥＮＩＸ系统的简捷方法农业银行黑龙江省桦南县支行李有德目前各行使用的操作系统大都是ＸＥＮＩＸ系统，这种系统的关机方法是在超级（即特权）用户下，直接使用／ｅｔｃ／ｓｈｕｔｄｏｗｎ命令或／ｅｔｃ／ｈａｌｔｓｙｓ命令进行关机。这样，用户在每次关闭...     

SCO UNIX下普通用户的授权与应用

UNIX系统将超级用户的权限分为多个子系统,在实际应用中,系统管理员根据用户的不同职责,对其分别授予不同的权限,使其履行系统管理员的部分功能。例如：对打印机管理员,授予他lp的权限;对担任一般系统管理和维护任务的用户,授予他root子系统的权限。一、UNIX普通用户的授权内容SCOUNIX操作系统的授权分为子系统授权和核心授权。子系统授权包含一级子系统授权和二级干系统授权。其中子系统授权与用户有关,核心授权与进程有关。在SCOUNIX的low、traditional安全级别下绝大多数的子系统授权和核心授权通过默认赋予了用户,各…     

Unix网络系统的安全缺陷及防范措施

Unix网络系统由于其功能强大、性能稳定、安全可靠而在银行系统中广泛的应用。它与Windows95／98等系统相比,具有较高的安全性。但由于其动态体系结构特点、源代码公开、系统配置复杂等原因,Unix网络系统也存在很多安全缺陷,如果不采取相应的防范措施,这些缺陷可能被非法入侵者利用,而影响银行的资金安全。 一、安全缺陷 1.利用网络监听工具截取重要数据 我们通常所用的以太网是一种广播型网络,在这种网络上,发送给每个特定机器的数据都可以被网络上任何机器监听到。常用的监听软件有tcpdump、snoop、etherfind等。这些软件的功能十分强大,既可以监听在网络上传输的所有数据,又可以监听指定源地址、指定目标地址、指定端口和协议的数据,还可以将它们保存下来以便仔细分析。如果网络上有其他用户在使用telnet、ftp、rlogin等服务、就可以监听到这些用户明文形式的帐户名和口令,进而就可以侵入其系统。 2．利用具有suid权限的系统软件的安全漏洞 具有suid权限的程序在运行时,其进程的实际uid为程序执行者的uid,而有效uid为程序owner的uid。由于系统软件的owner通常为root,非法入侵者可能利用这些软件的漏洞来窃取root权限。 (1)利用IFS等环境变量 如果通过阅读系统软件的源程序,知程序中有system()系统调用,如：swstem(“／bin／cpfilelfile2”),那么我们可以重新设置IFS(输入字段分隔符)变量： $IFS=／:exportIFS 此时．该system调用中的命令被解释为：bincpfilefile2,再编一个恶意程序命令为bin并放在用户的path变量内,便可以通过这个bin程序窃取root权限了。 (2)利用缓冲区溢出 有些系统在调用时不检查参数的长度,如调用gets(),scanf()等,这使得程序可以在用户的控制下形成缓冲区溢出。在正常情况下,程序在遇到缓冲区溢出时会停止。但如果用户对Unix很熟悉,就可以使程序在遇到缓冲区溢出时转而运行另一个程序。如果一个有suid权限的程序在缓冲区溢出后转而执行一个shell,那么这时的普通用户就变成了root用户。 (3)利用core文件 程序在运行中发生缓冲溢出、数组边界越界或接收到SIGILL、SIGTRAP等信号时都可能会产生core文件。如果将umask设为000,那么产生的core文件就具有777权限。非法入侵者可以利用dbx或adb等工具来读这个core文件,从而可能获取系统上的重要信息。 3．利用ping、telnet、ftp等命令的缺陷 根据TCP／IP协议规定,数据包的最大长度为65536字节。有的Unix系统在收到过长的IP数据包时,会产生系统崩溃、重新启动、死机等异常反应。我们知道,用ping命令向其他主机发送ICMP数据报文时,其报文大小可以任意指定。因此恶意用户可能通过用ping命令向其他主机发送过长的数据报文来对其进行攻击。微机上常用的SCOUnixSystemV／3863．2．4．2、SCOOpenServer5．0．0和5．O.2均存在该问题。 此外,很多版本的telnet、ftp等命令也存在一定的安全缺陷。 4．利用IP欺骗技术 为了获取访问权限,入侵者可以利用一些基于IP地址的认证程序的特点,在发送IP数据包时,修改其源IP地址字段,将其置为另一台机器的IP地址,该IP地址可能在目标机的／etc／hosts．Equiv或．Rhosts中有记录,这样就可能获取非授权的访问权限,甚至是目标机的root访问权限。 5．利用．Exrc文件 ．Exrc是编辑程序vi的初始化文件。Vi启动时,首先查找并执行$HOME／．Exit和当前目录下的．Exrc文件。非法入侵者可以将一个自己编写的．Exic放在／tmp等公共目录下,当root用户在该目录下运行vi时,该．Exrc文件就会自动运行。非法入侵者可以利用该．Exrc修改重要的系统配置文件,从而获得对系统的长期控制权。 目前的银行系统很多Unix机器在配置上存在着明显的安全缺陷。例如,很多业务机上都有一个关机用户,该用户是root权限,通过将initO或shutdown命令加入其．Pmfile文件,使操作人员能利用该关机用户进行系统关机。但这种关机用户往往未加口令(即使有口令也常为很多人知晓),因而恶意用户可以利用ftp命令,通过关机用户进行登录,进而修改系统文件而获得长期控制权。更有甚者．许多银行网点都是X．25专线连接到机房,而在配置X．25时,往往未将x29、x25ftp等服务屏蔽掉,这样X．25网上的任何用户都可以利用这些X．25服务．通过关机用户而自由进入该台银行业务机。 二、查看是否已被入侵的方法 1．检查日志文件 在文件／etc／syslog．Conf中控制了日志文件的位置以及哪些日志文件记录哪些活动。通过检查这些日志文件,可以获得本系统是如何被攻破的、入侵的过程怎样、哪些远程主机访问了本机器等信息。 2．检查具有suid权限的文件 入侵者常留下具有suid权限且owner为root的可执行文件,以便以后能继续以root身份访问系统。 3．检查文件／etc／passwd是否被修改 应检查非法新增用户、没有口令的用户和UID的改变(尤其是UID为O的用户)。 4．检查系统网络配置中是否有非法的项 应检查／etc／hosts．Equiv以及所有的．Rhosts文件中是否有“+”项和非法的地址项。 5．检查系统上非正常的隐藏文件 Unix上常用的方法是在文件或目录名前加上“…”、“．．”(两点加一个空格)或“．．^G”,这样就实现了文件或目录的隐藏效果,可以用find命令查找这些文件。 6．检查／etc／inetd．Conf和／etc／rc2．D／*文件 检查这些文件是否被植入了人侵者留下的“后门”程序。 三、提高安全性的措施 1.及时安装Unix补丁程序 旧版本的Unix系统往往含有安全漏洞,因此为了系统的安全,应该使用最新版本的Unix系统。同时,新版系统在运行过程中,可能会逐渐暴露出一些安全缺陷,因此要及时安装系统的补丁程序。这些补丁程序可以从各个Unix供应商的Internet网站上下载得到。 2．对网络监听的防范措施 首先应在支持监听模式网络接口的机器上检查是否有网络监听工具软什在运行,包括检查在系统上运行的可疑进程、对／dev／nit的未经授权使用等。如果发现了有网络监听软件正在运行,就应检查网络系统是否已被攻击,并设法恢复系统。此外．对于以太网等广播型网络,应当尽量不要在网络上传输纯文本形式的口令信息,不要以root身份进行远程登录。 3．对IP欺骗技术的防范措施 解决IP欺骗技术的最好方法是安装过滤路由器,不允许包含内部网络地址的数据包通过该路由器。此外,还应该过滤掉与用户内部网络地址不同的源地址向外发出的数据包,这样可以防止源于网络的IP欺骗的攻击。 4．提高文件系统配置的安全性措施 (1)确保系统上没有用于非法目的的.Exre文件。 (2)确保各个系统文件尤其是／etc下各文件的权限被正确设置。 (3)确保／etc、／bin、／usr／bin、／usr／sbin、／tmp、／var／tmp等系统目录的owner为mot,并且／tmp、／var／tmp目录的权限最高位为“t”。 (4)橙查系统上所有具有suid或sgid权限的文件。 (5)建议任何由root运行的文件,其文件owner都应该是root,并将其文件权限的“w”位屏蔽掉。 5．提高网络系统配置的安全性措施 (1)r命令系列(rep、rlogin、rsh)常常是Unix系统的不安全因素。因此,当不真正需要使用r命令时,应当将这些服务去掉。当确实需要使用r命令时,应当谨慎地配置／etc／hosts．Equiv和$HOME／．Rhosts文件。应确保这些文件的权限正确,它们的第一个字符不是“-”,文件中不含有“+”通配符,并建议对root用户不要配置其．Rhosts。 (2)对于／etc／inetd．Conf文件,应确保该文件的owner是root,权限为600,并尽量过滤掉并不真正需要的服务,如tftp服务和r命令服务。 (3)对于ftp服务,应确保已经正确地设置了文件／etc／ftpusers,如果没有该文件则创建。该文件用于指定不许访问用户系统的ftp服务器的用户,其中至少应包含root、bin、rrcp等。 6．加强帐号和口令的安全管理 一定要定期检查／etc／passwd和／etc／shadow文件,检查除root外uid为O的帐号、没有口令的帐号或新增的帐号。任何帐号都不能没有口令保护,各帐号的口令都应当经常更换,要定期查看su日志文件和拒绝登录消息日志文件。     

编写命令语言程序应注意系统安全性──与文刚同志商榷

在应用中，程序员常编写一些命令语言程序来执行系统命令，这样既可以使操作方便，又可提高系统的安全性及保密性。但是，笔者发现许多这样的程序只注重操作方便，而对系统安全性的考虑却有不周之处。如（中国金融电脑）1996年第11期刊登的文刚同志的“XENIX操作系统维护程序”一文就存在这样的问题。文刚同志的文章大意为：用咄h肚r命令增加一个用户“血以。编辑／etC／passed文件将幼儿用户的主和组标识号分别改为地编辑xtwil用户的．profile文件，增加．／Xiwl和eait，其中XIMI为用shell命令语言编写的系统维护主程序，它包含“修改…     

用户主识别许可、组识别许可与UNIX系统安全

在UNIX系统中，文件都被设置成为一定的读写执行权限，它规定了一个文件针对用户主（user）。同组用户（group）和其他无关人员（other）的权力许可。实际上，还有另外两种可被设置的许可，用户主识别许可（SUID）和组识别许可（SGID），它们的正确设置和使用，同文件的读写执行权限一样，和UNIX文件系统的安全性有很大关系。这两种许可可对任何一可执行的文件给出（当然可对任何文件给出，不过对于不可执行的文件，对系统的安全性影响不大），当一个程序（命令、文件）被运行时，其中有4个数字分配给该程序生成的进程，以表示进程的…     

利用crontab命令实现计划任务

在Ｗｉｎｄｏｗｓ系统中有计划任务功能，可以设定计算机在指定的时间执行指定的程序，非常方便。那么在Ｕｎｉｘ系统中有没有类似的功能呢？答案是肯定的。Ｕｎｉｘ在启动时会自动加载／ｅｔｃ／ｃｒｏｎ进程。ｃｒｏｎ是在指定时间执行指定命令的后台时钟进程，相当于Ｗｉｎｄｏｗｓ系统中的计划任务。那么如何向ｃｒｏｎ进程提交任务呢？向ｃｒｏｎ进程提交任务可以用ａｔ、ｂａｔｃｈ或ｃｒｏｎｔａｂ命令。本文将介绍如何用 ｃｒｏｎｔａｂ命令设定我们所需的计划任务。 用户在使用ｃｒｏｎｔａｂ命令之前，先要获得授权。在／ｕｓｒ／…     

OS／2Warp操作系统的快速恢复方法

一、问题提出 中国银行新一代储蓄、会计系统是建立在 IBM的 OS/2 Warp操作系统平台上的 ,由于 OS/2 Warp在没有 Shutdown或者没有执行完 Shutdown命令就关机，或者由于意外断电等原因“非正常关机”时 ,有时会发生系统无法引导的故障 ,从而影响网点的正常营业。 二、问题分析 经分析 ,OS/2 Warp将其 Workplace Shell(工作台外壳 )中所有有关桌面的信息 ,包括桌面上有哪些 Folder(文件夹 ),在每一个 Folder中都有什么项目以及每次打开了什么 Folder的信息等 ,都存在 C:\OS2下的 OS2.INI和 OS2SYS.INI文件中 ,OS2SYS.INI文…     

SCO UNIX5.X版关机用户goodbye的创建

为了解决计算机２０００年问题,以往运行的ＳＣＯＵＮＩＸ３．Ｘ版操作系统都升级到５．Ｘ版。而运行于ＳＣＯＵＮＩＸ５．Ｘ版操作系统上的大多应用系统,如“中央银行会计核算系统３．０版”、“同城票据电子化系统”等,其关机方式首先必须以ｒｏｏｔ口令注册到ＵＮＩＸ系统的超级用户＃下,然后执行ｓｈｕｔｄｏｗｎ－ｙ－ｇ０命令才能完成,往往ｒｏｏｔ口令多掌握在会计主管或系统管理员手中,一旦会计主管或系统管理员不在现场就必须将口令告之第二个人,这样就对应用系统的安全产生了一定的隐患。因此,为了进一步加强ｒｏｏｔ口令…     

安全设置UNIX系统文件权限

在 UNIX 系统中,文件被设置成三组权限,规定了一个文件针对用户、同组用户和其他人员的权力许可。常用的文件可读、可写和可执行三种权限。实际上,还有另外一种常用的文件权限,用于用户识别许可(SUID)和组识别许可(SGID),它的正确设置和使用同文件的读写执行权限一样,对 UNIX文件系统的安全性关系重大。当一个程序被运行时,有两个数字分配给该程序生成的进程,以表示进程的归属,这两个数字是     

SCO UNIX系统丢失root密码的简便处理办法

ＳＣＯ ＵＮＩＸ ｏｐｅｎｓｅｒｖｅｒ５．０ ５多用户操作系统以其完善的用户登录密码控制手段受到用户的信赖，但是由于用户登录有／ｅｔｃ／ｐａｓｓｗｄ、／ｅｔｃ／ｓｈａｄｏｗ双重控制，原来在ＳＣＯ ＳＶＲ４下的一些一密码丢失处理办法难以使用。笔者在工作实践中摸索到一个简便易行的办法，可以将丢失ｒｏｏｔ密码的机器用应急盘启动，然后通过一个小程序得到扭级用户权限，重新给ｒｏｏｔ用户赋予新密码。 具体操作步骤如下。 １．制作ＵＮＩＸ应急盘，以ＩＤＥ接口为例 在其他超级用户密码未丢失的机器上以ｒｏｏｔ用户注册，…     

浅谈在Sco Unix下如何实现用普通用户关机

应用 Sco Unix 操作系统的人们都会注意到,如果辖属的网点也安装 Sco Unix 操作系统,你却不想将根用户的特权交给它,那么该网点的关机就会成为一件烦心事,因为关机命令必须在根用户下执行才能正常使用。现在你就可以用下面所教的方法来实现它,来解决你的烦心事。     

在Power Builder中实现对用户菜单条级权限控制

在使用Power Builder进行程序设计时，经常会遇到对不同用户使用系统的权限控制问题。在通常情况下，我们都是采用对不同级别的用户进行分类控制的方法。这种方法虽然在一定程度上解决了用户权限控制问题，但总的来说，由于权限划分只是到了用户类(或组)，因此不能实现对每一个用户实     

Set-User-ID程序在权限管理中的应用

在实际的开发实践与生产系统管理中，权限管理是保障系统安全运行的基础。对一些关键应用程序或系统管理工具执行严格的权限管理可以防止内部的恶意攻击或误操作对系统造成危害。系统管理员的常用方法是，将这些关键程序或工具软件的属主(Owner)设置为系统管理员自己，并且只有系统管理员用户才具有执行它们的权限。但是，这样     

Cisco路由器口令丢失后的恢复

Cisco路由器中含有三种口令,分别是特权用户口令enable password、加密的特权用户口令enable secret password(适合10.3(2)或更新的版本)和虚拟终端访问口令console password。路由器处于用户命令状态时,用户可以看到路由器的连接状态,可以访问其它网络和主机,但不能看到和更改路由器的设置内容。而进入路由器的特权命令状态时,不但可以执行所有的用户命令,还可以看到并更改路由器的设置内容。但是,当Cisco路由器的特     

金融领域UNIX网络系统的安全管理策略

1.UNIX系统的基本安全机制(1)用户帐号用户帐号就是用户在UNIX系统上的合法身份标志，其最简单的形式是用户名/口令。在UNIX系统内部，与用户名/口令有关的信息存储在/etc/passwd文件中，一旦当非法用户获得passwd文件时，虽然口令是被加密的密文，但如果口令的安全强度不高，非法用户即可采用“字典攻击”的方法枚举到用户口令，特别是当网络系统有某一入口时，获取passwd文件就非常容易。(2)文件系统权限UNIX文件系统的安全主要是通过设置文件的权限来实现的。每一个UNIX文件和目录都有18种不同的权限，这些权限大体可分为3类，即…     

Sco unix系统应用二例

案例一:忘记超级用户口令时的处理办法 Unix系统超级用户的密码是很重要的,大多数的unix系统都可以利用某种办法删除超级用户的口令,然而对于某些unix系统来说,却不得不重新安装操作系统。对于不同的unix系统来说,删除超级用户口令的办法稍有不同,但是总的思想是一致的,就是利用紧急启动软盘启动系统,然后安装(mount)硬盘上的文件系统并修改记录超级用户口     

在VFP5.0中任意控制多个操作员的权限

在一个大型软件系统中可能有多个操作员，并由不同的操作员完成不同的工作。例如在一个“进销存”软件系统中，有入库员、出库员、收银员、财务员以及经理查询系统。如果面对不同的操作员开发不同的菜单系统，势必加大程序开发量，而且格式固定、不灵活。在软件开发过程中采用“超级用户”给“一般操作员”授权的办法，可实现灵活控制、随时更换权限的目的。实现原理如下。1．建立一个菜单项表，把软件系统中的各个菜单项放入其中。该表（名称CDDBF）结构为：MenuName字符型长度为30（放所有菜单项名称）Menutf逻辑型（放该菜单项是否准…