序言 `
,T.
H'S~GP4D
一、系统和服务程序的安装 I6WHC*
1. 系统安装 rE*yT(:w
2. 服务程序安装 `_yksh3zL4
og$dv
23
二、系统安全设置 Q8HNST($?
1. 用户控制 0^{Tq0Ri[
2. 文件访问控制 YEV;GFI1
3. 系统服务和端口控制 f.ua,,P.
4. 日志管理和控制 -~.+3rcZ]
5. 文件指纹检测 tic3a1
6. 系统指纹泄露和防范 8+!G/p
7. 系统内核安全 UVXruH
8. 系统安全优化 ]>)}xfL &,
u9;3Xn8
三、服务程序的安全设置 e|A=sCN-
1. Apache安全设置 a/E(GQ,,
2. PHP安全设置 CV|Ae [
3. Mysql安全设置 ~a=]w#-KD
4. vsFTPd安全设置 +
o< 7*
5. SSH的安全设置 p!DdX
~RLjL"
四、防火墙的安装和设置 pe[huYE
1. 安装ipfw wOUCe#P|r
2. 配置ipfw '!X`X=
pz2E+o
五、Unix/Linux上的后门技术和防范 {(-TWh7V
1. 帐号后门 *)r_Y|vg
2. shell后门 (q"S0{
3. cron服务后门 #d8]cm=
4. rhosts后门 je\]j-0$u
5. Login后门 !@gjIYq_Y
6. Bind后门 }0R"ZPU1Rw
7. 服务后门 PJb/tKC
8. rootkit后门 f:q2JgX
9. 内核后门 \ bNDeA&l
10. 其他后门 zV$Z@o
AJ
0Bb7
六、结束语 Xj?LU7
d}E6d||A
附录 $xvwnbq#y
-XECYwTh
@bkSA
序言 k;umLyz
K0*er
在我们跑Web服务器的时候,大家可能都会一致认为使用Linux+Mysql+Apache+PHP整个开源的系统是比较好的选择,但是我个人认为这是不合理的,首先要根据你的应用来觉得你使用什么服务。假如你需要跑Oracle等大型应用的话,而且Oracle在Linux下是支持的比较好的,那么使用Linux是个好的选择,因为在FreeBSD下安装Oracle是个非常麻烦的事情。那么如果是跑普通的网站应用的话,我觉得使用 FreeBSD+Mysql+Apache+PHP是个好的选择,因为对于一个网站来讲,稳定安全是第一位的,否则你的网站什么时候被人修改了都不知道怎么回事,或者被黑客入侵,把数据修改或者删除,那就糟糕了,毕竟现在什么红客、黑客的一堆,不能不防。当然,不是说Linux不安全,但是在Linux下集成了很多不安全的程序,导致了它的不安全,但如果设置的好,Linux一样可以很安全。在中国网络应急响应中心(http: //www.cert.org.cn)这几个月的数据来看,每个月被入侵成功最高的是Linux系统,占百分之六十多,然后过来是Windows系统,占百分之三十多,而FreeBSD的入侵比例是百分之几。 E#w2'(t
2QHu8mFU
任何系统都可以很安全,也可以很不安全,关键是管理员怎么做的,世界上没有最安全的系统,只有更安全的系统。下面的文章就是 a"O9;&};&
在FreeBSD平台上构建一个比较安全的Web服务器,希望对网管和网络安全爱好者能有一些启发,权当抛砖引玉,希望能够有更好阐述的文章。 g7%vI8Y)@
_z^&zuO
;).QhHeg>
一、系统和服务程序的安装 7B _Wz9y
5;{*mJ:F
-?T|1FA,
1. 系统安装 ^-#:T
1iY?t
为了保证系统的安全,我们系统准备采用最新的FreeBSD版本,首先是安全,系统兼容性也比较好,这个主要是个人习惯和需求,为了简单起见,这里我们选用了最新的FreeBSd5.3版本进行安装。整个安装过程我就不讲了,如果不清楚的朋友可以参考FreeBSD中文手册(http: //www.freebsd.org.cn),整个过程不是很复杂,虽然没有Windows/Linux的系统安全简单,但是比起有些Unix的安装来讲是人性许多的。安装中必须把基本包和内核源代码都装上,为了以后编译内核方便,如果另外,如果喜欢使用ports安装软件的话,还要把ports装上,但是尽量一些没有必要的程序不要装。如果要安装Webmin等,还要把perl等包装上。系统文件拷贝完以后,会要求配置一些设置,比如把IP地址、名字服务器等设好,不要打开IPv6,不需要DHCP等服务,不要系统默认的FTP服务,配置 /etc/inetd.conf 时把SSH服务打开,方便我们进行远程管理,如果不想使用inetd这个超级服务来管理的话,可以关闭它,在/etc/rc.conf中添加inetd_enable="NO",然后设置sshd_enable="YES"一样可以打开SSH服务,后面我们会详细谈到SSH的设置。 -% B)+yq>
k<