简介：LINUX安全加固手册面向Linux运维工程师、系统管理员与安全入门者，是一份按模块组织的加固指南，覆盖系统安装阶段的安全选项、root密码设置、网络接口配置，以及用户帐号与密码管理策略。手册以PDF形式提供，单个文件大小仅40KB，内容精炼至16页，适合快速通读也便于对照执行。当前已有1333人学习下载，可作为企业服务器安全基线自查或等保整改的参考资料。正文针对密码安全策略、密码强度检查、Password Shadowing、密码管理做了专节说明，并延伸至服务过滤、/etc/inetd.conf、R服务、Tcp_wrapper、/etc/hosts.equiv等网络服务安全配置，基本涵盖了Linux日常加固的主要切入点。通过目录可快速定位所需章节，对希望系统梳理Linux安全加固要点的读者来说，能获得从帐号管控、密码体系到网络访问控制的一体化操作思路。
1. 安全加固的真相：默认不被信任才是 Linux 的起点
Linux 系统默认装上就能跑，但这恰恰是安全工作的开始而不是结束。很多开发者以为加个防火墙、改个 ssh 端口就叫安全加固了，可一旦压上真实业务，你会发现真正决定防线厚度的，是密码怎么存、服务听谁的调度、访问控制表按什么顺序匹配这套看不见的机制。这本 Linux 安全加固手册的价值正在于此：它不教你买什么设备，而是逐层拆开账号、网络服务、系统设置和文件系统四层防线，每一层都给出可执行的命令与边界条件。搞懂这些，你才明白为什么“默认拒绝”比“尽力拦截”更可靠，为什么一个 hosts.equiv 里的“+ +”能绕过整个认证体系。安全加固本质上是一场机制层的博弈，值得你花时间把它看透。
2. 账号层：shadow、PAM 与不可变位是怎么把口令藏起来的
先看一个结论：Linux 加固里最便宜、收益率最高的一步，不是装入侵检测，而是把口令从“人人可读”变成“root 可读”，再给关键文件加锁。手册的账号安全章节就围绕这三件事展开：密码策略、Password Shadowing、PAM 对 su 的限制。这里没有复杂算法，全是权限和文件布局的设计，但正是这些设计让暴力破解的成本提高了好几个数量级。
2.1 密码策略为什么是“长度 + 特殊字符 + 有效期”三件套
手册要求口令至少 6 位且包含特殊字符，这个数字在今天看偏低，但机制没变：密码强度本质是口令熵，也就是猜测次数空间的大小。纯小写字母 6 位只有 26^6 约 3 亿个组合，加上大小写、数字和特殊字符后直接扩大到 95^6 约 7 万亿，暴力穷举的期望时间从分钟级变成年级。更关键的是“口令必须有有效期”这一条：它强制系统定期旋转密钥，让攻击者就算拿到哈希，也只拥有一个会过期的窗口，而不是永久后门。
这里有个常见的误用：只要求复杂度、不设有效期，等于把门锁换成保险柜却把钥匙长期不换。手册特别提到“发现有人长时间猜测口令，需要更换口令”，其实就是在处理哈希泄露后的响应式轮换。检查密码是否安全时，用暴力猜测工具去跑自己的 /etc/shadow 哈希，本质上是模拟攻击者视角验证熵是否被实现。要注意的是，跑字典要花时间，结果只能证明“一定强度以下的不安全”，不能证明“安全”，所以策略仍然优先于检查。
2.2 Shadow 机制：把密文从公共区域挪进 root 专属区
老式 Unix 把加密后的口令放在 /etc/passwd，这个文件对所有用户都是可读的，任何普通用户都可以把它拷走，跑离线字典破解。Shadow 的核心改造不是换算法，而是换存放位置：/etc/passwd 里的口令字段变成 x，真正的哈希移入 /etc/shadow，后者默认只有 root 可读。这样攻击者拿不到哈希，就只能对着登录接口做在线猜测，速度被网络和失败延迟卡死。
这个设计的关键依赖是 /etc/shadow 的文件权限。手册建议设置文件属主和属性，并且可以配合 chattr +i 把 shadow、passwd、gshadow 设为不可变，防止被修改。这里值得多说一句：chattr +i 加的是文件系统层的 immutable 标志，效果是连 root 也不能改写文件内容，除非先 chattr -i 解除。它防的不是普通用户，而是防御那些拿到 root 的脚本或入侵程序静默植入后门账号。检查密码文件是否安全的 awk 命令就是读 shadow 并找出空口令字段：
# 列出 /etc/shadow 中密码字段为空的账号 # 字段分隔符为冒号，length($2)==0 表示第二列为空 awk -F: 'length($2)==0 {print $1}' /etc/shadow在多数实现里，密码字段以 $id$salt$hash 格式存储，比如 $6$ 表示 SHA-512 算法。空字段意味着该账号无需口令即可登录，是系统最直接的入口漏洞之一。这条命令的作用就是定期把这类“裸奔账号”揪出来。参数方面，如果某发行版用户数据库改为其他目录，路径要随之替换，但字段逻辑不变。
2.3 PAM 的 wheel 组：把 su 收敛成少数人的特权
su 命令能切到 root，但默认策略允许任何知道 root 口令的人使用。手册里的做法是编辑 /etc/pam.d/su，通过 pam_wheel.so 模块把 su 权限限制在 wheel 组内。这背后的机制是 PAM（可插拔认证模块）的栈式执行：su 不再直接读 shadow 验证口令，而是按 pam.d/su 中的规则逐条执行。
典型的配置含义如下：
# 允许 root 绕过验证（本地会话使用过 su 后） auth sufficient pam_rootok.so # 只允许 wheel 组成员使用 su，其余用户即使口令正确也被拒绝 auth required pam_wheel.so group=wheelpam_rootok.so 的目的是避免 root 重复输口令，pam_wheel.so 则是真正的闸门。它实现的关键点是：即使攻击者拿到了 root 口令，只要当前用户不在 wheel 组，认证栈依然拒绝放行。这就把“知道口令”和“能用口令”拆开了。要添加用户到受限组，可以使用 usermod -G wheel admin 这类命令，注意 -G 会覆盖附加组列表，用 -a -G 追加更安全。另一个细节是：在某些发行版中 pam_wheel.so 还支持 deny 参数，可以把特定组排除，形成更细粒度的控制。
2.4 账户清理与其他忌讳：删掉不必要的系统用户、禁用明文服务
手册里列出 userdel adm lp sync 等一批系统账户，理由是减少可登录面和攻击面。系统账户往往是历史遗留，比如 lp 对应打印服务、uucp 对应拨号网络，现代主机基本不用。删除前要确认没有服务以这些 UID 运行，否则会出现权限错乱。更安全的做法是先停服务、再锁定账户（passwd -l）而不是直接删除，保留 UID 以避免文件属主变成数字。
另一个容易被忽略的是 .netrc 和 .rhosts。.netrc 会明文保存 FTP 登录口令；.rhosts/hosts.equiv 则定义了 R 服务的免密信任。手册要求预先生成并 chmod 0000，防止被写入“+ +”。这条加固的本质是把“信任文件”变成只读空文件，从源头掐掉信任关系的授予能力。至于用 ssh 替代 telnet/ftp/pop，机械上只是换客户端，但机制上是把认证凭据从明文信道挪进加密隧道，配合 sshd 的 PermitRootLogin no、Protocol 2 等参数才能发挥完整效果。
3. 网络服务层：从 inetd 到 tcp_wrapper 的访问控制链
Linux 为什么总被说“服务暴露面大”？因为默认安装会启动一堆你不知道的服务。网络服务安全章节的核心原则只有八个字：最小暴露，默认拒绝。具体到机制，是三层控制：内核里由 netfilter 实现地址过滤，用户态由超级守护进程 inetd/xinetd 管理服务生命周期，服务前面再套一层 tcp_wrapper 做白名单校验。三层各司其职，叠加起来形成纵深。
3.1 服务过滤：先列一张端口黑名单，再用扫描器验证白名单
手册开篇给了一张服务端口表，echo、systat、netstat、bootp、tftp、sunrpc、who、syslog、nfs、x11 等全部建议禁止或限制。这些服务在过去几十年里贡献了无数漏洞，比如 echo 的放大攻击、X11 的任意窗口读取、rpc 系服务的远程溢出。这里要理解一个基本原则：一个服务没有被监听，端口的攻击面就是零，比任何防火墙规则都可靠。所以服务过滤的第一动作是“别让进程监听”，第二动作才是“在路由器上过滤端口”。
表里特别标出 UDP 服务容易导致 DoS 和远程溢出，原因是 UDP 无连接、无握手，攻击者可以直接伪造源 IP，且某些 RPC 服务解析参数时存在栈溢出。实施过滤后，手册要求用扫描器从外部模拟入侵者探测，这一步是用攻击者的视角确认“监听端口集合”与“预期开放集合”一致。扫描器的价值在于能发现你漏掉的服务，比如某个程序偷偷 bind 了一个高位端口，只有扫描才能暴露。
3.2 inetd 与 xinetd：超级守护进程如何决定谁有资格被拉起
在 systemd 接管一切之前，Linux 用 inetd/xinetd 托管大量轻量服务：telnet、ftp、finger、tftp 都由 inetd 统一监听，收到连接后再把套接字交给对应服务程序。这种方式的好处是服务不需要常驻内存，坏处是 inetd 成了单点：一旦它的配置泄露，等于所有服务都暴露。加固动作分为两步。
第一步是收紧配置本身。/etc/inetd.conf 的权限要设为 600、属主 root，否则普通用户可能往里加一条“/tmp/evil”并触发 inetd 重启，于是 root 权限就顺着服务分发出去。第二步是注释掉不需要的服务行，并重启 inetd 进程让配置生效。改配置不重启是经典翻车点——inetd 只在启动时读取配置，注释掉并不算数。在新一些的发行版里，服务改由 xinetd 管理，每个服务一个独立配置文件放到 /etc/xinetd.d 目录，所以操作变成了“删文件或设置 disable = yes”。
验证监听状态的操作是 netstat -an，它列出所有处于监听和已建立状态的 TCP/UDP 套接字。这里要强调：netstat 看到的是“已经监听”的端口，配合 -p 能查到对应进程，而 ss -lntp 在新系统上更常用。加固要求确保停掉所有不需要的服务，本质就是让 netstat/ss 的输出与预期白名单完全一致。
3.3 tcp_wrapper：tcpd 代理与 hosts.allow/deny 的匹配优先级
tcp_wrapper 是当年的访问控制神器，它工作的前提是服务由 super-daemon 托管。安装后，inetd.conf 里的 in.telnetd 会被替换成 tcpd，tcpd 先截获客户端的连接请求，记录时间、IP，然后读 /etc/hosts.allow 和 /etc/hosts.deny 做检查；通过检查的请求才会转发给真正的 in.telnetd。这个“二传手”设计的好处是不需要改服务程序本身，只要在调用链前面加一层代理。
匹配规则是很多人的噩梦：实际执行顺序是优先查 hosts.allow，命中即放行；allow 不命中再查 hosts.deny，命中即拒绝；两个都不命中则放行。为了安全，通常把 hosts.deny 设为 ALL:ALL，也就是默认拒绝，再把白名单写进 hosts.allow，这就形成了“先开白名单再关大门”的模型。规范的写法是：
# 默认拒绝所有，匹配所有来源，包含主机名与IP不一致的请求 ALL: ALL@ALL, PARANOID # 允许指定 IP 和主机名访问 sshd sshd: 208.164.186.1 gate.openarch.com注意 PARANOID 模式要求启用双反向解析，即验证源IP的主机名再解析回IP是否一致，不一致直接拒绝。这可以防 IP 欺骗，但代价是依赖 DNS，DNS 挂了服务也会异常。hosts.allow 里的条目可以带用户名限定，比如 sshd: 192.168.1.0/255.255.255.0，还支持 EXCEPT 做排除，形成白名单内的黑名单。
检查 UDP 服务时要用 tcpdchk 验证配置，因为 UDP 无连接，tcp_wrapper 包络逻辑和 TCP 不同，nowait 选项也要同步设置。需要提醒的是：tcp_wrapper 只保护那些通过超级守护进程调度的服务，对于独立常驻的服务（如默认的 sshd、apache），除非显式编译了 libwrap 支持，否则不生效。所以它和防火墙是互补关系，不是替代关系。
3.4 NFS、sendmail 与 FTP：三个高危服务的具体加固点
NFS 的问题在认证模型：默认基于 IP 信任，客户端伪造源 IP 就能访问数据。手册要求外部路由过滤 111、2049 端口，并在 /etc/exports 里控制输出。这里的关键选项是 noexec、nodev、nosuid：分别表示禁止执行二进制、禁止解析设备文件、禁止设置 setuid 权限。把它们加在 /etc/fstab 的挂载选项里，即使文件系统被入侵者写入，也无法通过这些文件提权。导出前用 showmount -e 查看自己导出了什么，是个成本极低的自我检查。
sendmail 的加固点集中在 MTA 的转发与身份验证。手册点名的 promiscuous_relay、accept_unqualified_senders 等特性，全部围绕一个核心问题：邮件服务器会不会被滥用成垃圾邮件中继。默认配置下 relay 关闭，收件人必须是本地域或 access db 里明确 RELAY 的域；打开 promiscuous_relay 等于向全世界开放中继，邮箱立刻变成垃圾邮件发射器。另外两种机制也值得理解：smrsh 是 sendmail 调用的受限 shell，能限制管道投递只执行白名单命令，防止插入恶意管道；banner 和 expn/vrfy 命令则可被用来枚举用户名，加固时应该禁用。
FTP 的加固套路与 NFS 类似：不要用 root 跑，禁掉 SITE EXEC，用 /etc/ftpusers 阻止特定用户登录，把服务放进 chroot 目录，日志留在 /var/log/xferlog 并定期检查。SITE EXEC 是 wu-ftpd 时代允许客户端在服务器上执行命令的开关，等于绕过 shell 直接跑命令，所以必须关。chroot 的意义则是即使 ftp 进程被利用，攻击者看到的文件系统也只是一个空 jail，而不是整台机器。
4. 系统设置与文件系统：sysctl、securetty 和 mount 选项是如何收窄边界的
如果说账号层防的是“谁能登录”，服务层防的是“谁能连进来”，那系统设置层就是防“登录/连接后能做什么”。手册的这一章内容很杂，但主线清晰：限制控制台、关闭不必要的内核响应、收紧系统信息泄露、限定资源用量、控制文件系统的挂载行为。
4.1 内核参数：关闭 ping、源路由与 IP 转发是一组“以静默为防御”的手段
关闭 ping 的命令是往 /proc 写入 icmp_echo_ignore_all：
# 1 表示对 ping 请求不做回应，0 表示恢复 echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all/proc/sys/net/ipv4/ 下面这些文件不是虚拟摆设，它们映射到内核网络子系统里的全局变量。把这个文件写成 1，内核 net/ipv4/icmp.c 的回包逻辑直接被短路。副作用是正常的网络故障排查也看不到主机状态，所以生产环境通常用防火墙过滤 ICMP 而非全局关 ping，避免误伤监控。另一个参数是禁止 IP 源路径路由：源路由是 IP 头里的选项，它允许发送方指定报文途经的路由器列表。攻击者可以用它绕过防火墙、探测内网拓扑，所以要在 conf 下所有接口设为 0。这类参数建议写进 /etc/sysctl.conf，而不是只 echo，因为 proc 是易失的，重启就恢复。
securetty 文件决定 root 能从哪些终端登录。手册要求检查 /etc/securetty，本质是把 root 登录限定在物理控制台和少量 tty。如果系统不需要本地 root 登录，清空这个文件更激进但更安全。host.conf 文件控制域名解析顺序，加固时会设置多行 order，防止 DNS 劫持导致的信任判断错误。
4.2 资源限制与控制台：给失控行为装上“笼子”
手册提到的资源限制要用到 shell 的 ulimit，但更深一层是 PAM 的 pam_limits.so，它能把限制写进 /etc/security/limits.conf，对每个用户/组生效。比如限制单用户最大进程数、最大内存、最大文件大小。机制上，这是在内核 fork 和内存分配路径上做配额检查，不是事后清理，所以可以防 fork 炸弹、防一次性拉爆文件系统。对付 fork 炸弹，除了限制进程数，还要注意限制一个用户的进程树深度，不然子进程换 PID 再刷还是能绕过简单的 nproc 限制。
控制台安全的核心是 /etc/security/console.apps 与 PAM。删除 halt、reboot、shutdown 等控制台程序入口，是让普通用户按 Ctrl-Alt-Del 时没有对应程序可调用；在 pam.d 里注释掉 pam_console.so，则是把“控制台自动获得设备权限”的机制也关掉。pam_console 原本的作用是让本地控制台上的用户自动拥有软盘、光驱等设备访问权，这个便利在攻击者拿到物理接触时就成了读取数据的通道。
4.3 文件系统：权限位、mount 选项与备份的合力
文件系统安全的关键不只是 chmod 数字，而是理解 setuid/setgid 和 sticky 位的含义。find 加上 -perm 参数可以搜出带 setuid 位的文件，这些文件在运行时会把有效 UID 提为 owner，一个被植入后门的 setuid root 程序等于免费提权。加固时要定期审计并对非必要文件去除该位：
# 查找系统内带 setuid/setgid 位的文件 # -4000 表示 setuid 位，-2000 表示 setgid 位 find / -perm -4000 -o -perm -2000 -type f -print这条命令的输出值得逐条人工确认：系统自带的有 su、mount、passwd 这类程序，它们需要在运行时切换到 root 来完成特权操作；出现陌生路径下的可执行文件，就要高度警惕。mount 控制上，/etc/fstab 可以携带 user、nosuid、nodev、noexec 等选项。比如 /home 挂成 nosuid,nodev，用户即便在自己的分区放了设备文件和提权程序也执行不了；/tmp 挂成 noexec，能防止脚本类攻击直接落地执行。需要权衡的是某些软件依赖 /tmp 执行临时文件，这时可以用 /dev/shm 或专门的执行目录做例外。备份策略在手册里只有一句话，但它和被攻击后的恢复时间成正比，备份的完整性检验往往比备份本身重要。
4.4 日志、LILO 与启动脚本权限：把后门挡在引导链路之外
手册里“日志系统安全”和“LILO安全”这类条目，看似琐碎，实际是在保护诊断能力和引导链完整性。syslog 的配置文件决定哪些事件写进哪个文件，加固时要确保日志文件不允许普通用户删除或改写，否则入侵者擦除痕迹只需一条 rm。日志轮转则要保证切割后的旧日志保留足够周期，避免因磁盘满导致服务拒绝写日志。判断日志是否正常，不能只看有没有内容，还要看是否有异常缺失——攻击者常先停 syslog 再动手。
LILO 是传统 BIOS 引导器，它的加固点是两点：一是设置 LILO 口令，防止引导时进入单用户模式拿下 root；二是把 /etc/lilo.conf 权限收紧。等效的新工具链是 GRUB，同样支持口令与签名校验。控制台层的 Control-Alt-Delete 也可以提到这一步：在 inittab 里注释掉对应行或重映射该键，防止物理接触的人用控制台重启机器打断维护窗口。最后是 /etc/rc.d/init.d 下的脚本权限：这些脚本以 root 身份在启动时执行，一旦可写，入侵者改一个循环点就能完成持久化。所以把目录属主设为 root、禁止组和其他用户写，是一件一劳永逸的隔离动作。
5. 实操避坑：加固过程中最常翻车的五个细节（现象→原因→解决）
这一章把我在实际加固中见过的高频翻车点集中列出来。每个场景都按现象、原因、解决三步走，方便遇到问题时直接对照。
5.1 现象：echo 关闭了 ping，重启后主机又能被 ping 通
原因：/proc/sys/net/ipv4/icmp_echo_ignore_all 是运行时参数，直接 echo 只改内存里的内核变量，不持久化。系统一重启，内核重新初始化，参数回到默认值 0。 解决：把参数写入 /etc/sysctl.conf，或放在 /etc/rc.d/rc.local 里的 echo 命令前加上 sysctl -p 重新加载。更规范的方式是使用 sysctl 命令修改后立即写配置文件，确保两边一致。排查是否生效用 cat /proc/sys/net/ipv4/icmp_echo_ignore_all 确认当前值。
5.2 现象：执行 chattr +i /etc/passwd 后，添加用户或改口令直接报错
原因：不可变位不是“防篡改”，它是彻底禁止任何写操作，包括 root 自己的正常写入。useradd、passwd 这类命令在写 /etc/passwd、/etc/shadow 时发现 immutable 标志，内核返回 EPERM（操作不允许），命令失败。 解决：先 chattr -i 解除不可变位，完成账号变更后再次 chattr +i。如果担心中间窗口被利用，可以结合 sudo 审计记录，限制能执行 chattr -i 的命令。另外给 /etc/services 加不可变位也是同样的坑，rpm 升级或手动改端口前必须先解锁，否则会莫名失败。
5.3 现象：按“先 deny 后 allow”顺序配置 tcp_wrapper，结果自己也连不上
原因：tcp_wrapper 的匹配顺序不是按文件行号，而是固定为 allow 优先、deny 其次、默认放行。“先 deny 后 allow”在直觉上像防火墙规则，但实际 allow 永远先看，所以如果 allow 里没写全，剩下请求全被 deny 一棍子打死。另一个坑是 hostname 反解失败，PARANOID 模式下 DNS 异常会导致所有连接被拒。 解决：先确认 hosts.allow 里的白名单覆盖了管理员的出口 IP，再写 hosts.deny 的 ALL:ALL。测试时保留一个已知可用 IP 的连接通道，用 tcpdchk 检查语法，不要在生产直接用 ssh 断连续命。若依赖 DNS 反解，给重要 IP 写 /etc/hosts 静态条目兜底。
5.4 现象：删掉所谓“不必要的系统账户”后，某些服务无法启动或权限错乱
原因：手册建议删除的 adm、lp、news、uucp 等账户，在特定软件包里可能被当作运行身份或文件属主使用。直接 userdel 会把 UID 关系打断，服务启动时找不到对应 UID 或发现文件 owner 变成数字，表现就是各种莫名权限错误。 解决：删除前先检查是否有进程、日志文件、目录属主引用了这些 UID。持保守策略：先 passwd -l 锁定，并把 shell 改为 /sbin/nologin，等确认系统无依赖再删。RPM 升级时如果软件包需要重建这些账户，删除后会自动重建，但到时候文件的属主关系已经乱过一次，更稳妥的做法是保留 UID，只禁止交互登录。
5.5 现象：改完 /etc/inetd.conf 注释掉服务，却发现端口还在监听
原因：inetd/xinetd 启动时读配置，运行中不会自动感知文件变更。注释配置只是改了文件，超级守护进程的内存里仍然保留旧的服务定义，所以端口依旧在监听。 解决：改完配置后必须重启对应守护进程。传统 init 是 kill -HUP 或 /etc/rc.d/init.d/inetd restart，新系统上则是 systemctl restart xinetd 或 reload。验证切忌只看配置文件，一定用 ss -lntup 或 netstat -an 对比端口清单，确保预期中的端口已经从监听列表消失。
6. 设计取舍：为什么安全加固本质上是“损失一部分便利，换一个确定性的边界”
把手册整套做下来，你会发现自己一直在做同一件事：为每一个信任假设标价。密码策略增加了记忆负担，shadow 改变了历史兼容，tcp_wrapper 的 PARANOID 引入 DNS 依赖，chattr +i 让系统更新变得别扭——安全从来不是免费获得的属性，而是用可用性换来的。这个取舍决定了你不能机械执行所有加固项，必须根据业务场景做分级。
一个很典型的案例是 root 的 su 权限。用 pam_wheel 限制后，CI/CD 发布脚本如果依赖 su，就会集体失败。此时的选择不是取消 PAM 限制，而是给发布代理一个受限的专属凭据，或改用 sudo 的精细规则。另一个例子是 ping：互联网服务器关掉 ICMP 确实可以少一个探测面，但内部监控与网络诊断会失去一个最基本的可达性手段。务实做法是把 ICMP 的应答限制在内网来源，而不是全局丢弃。类似的，NFS 加 noexec 看似损失灵活性，但换进来的是即便共享目录被写入恶意二进制也无法执行，这个确定性会为应急响应争取宝贵时间。
所以我现在做加固，一定会先列“必须保留的能力清单”，再逐项对照手册选策略，而不是全量执行。每一项改动都先在一个模拟环境验证，用扫描器对比加固前后的监听端口与权限位变化，再小范围灰度。从那以后，我每次加固都会强制走一遍最小服务清单、不可变位解锁和 tcp_wrapper 白名单三步自检，确认主机在“默认拒绝”和“业务可用”之间找到那个明确的平衡点。希望帮到你。
本文还有配套的精品资源，点击获取
