Share my experience about Linux security.

2. 徐千洋 (TIM HSU)
CHROOT 創辦人
HITCON 創辦人
網駭科技 創辦人
曾任:
台灣大哥大 資安部經理
現職:
VARMOUR 美商安連網路公司台灣分公司

4. https://www.youtube.com/watch?v=L5T8-ITjDn8

5. browser httpd php login.php
/bin/sh

6. browser httpd php upload.php
webshell.php/bin/sh

7. •
/usr/sbin/nginx {
#include <abstractions/apache2-common> #include
<abstractions/base>
capability dac_override,
capability net_bind_service,
capability setgid,
capability setuid,
/etc/passwd r,
/etc/group r,
deny /bin/sh mrwklx,
}

10. •
•
•
•
•
•
•

11. •
/bin/bash {
deny /tmp/** mrwklx,
deny /var/tmp/** mrwklx,
deny /home/** mrwklx,
}

12. •
•
•

13. •
•
•

14. •
•
•
•
•
•
•
•
•
•
•
•

15. •
•
•
•
•
•
•
•

16. 維護分級
•
•
•
•
•
•
•
•
•

17. •
•
•
•
•

18. •
•
•

19. •
•
•
•
•
•
•
•
•
•
•
•

20. •
•
•
•

21. •
•

22. •
•
•
•
•
•
•

23. •
•
•
•
•
•
•
•

24. •
•
•
•
•
•
•
•
•

25. 伺服器及AP管理員
root
一般帳號 系統帳號
• 最高權限
• 不允許遠端直接登入
• 只能從伺服器管理者切換身份
• 一般權限
• 可透過 su 切換成 root
• 最低權限
• 不可登入系統

26. 伺服器及AP管理員
root
一般帳號 系統帳號
• 最高權限
• 不允許遠端直接登入
• 只能從伺服器管理者切換身份
• 限制使用危險指令
(Ex:dd/fdisk)
• 記錄所有操作的時間及命令

27. 伺服器及AP管理員
root
一般帳號 系統帳號
• 次高權限
• 有權限對伺服器作各種維護操
作(EX:service /server
restart )
• 記錄所有操作的時間及命令
• 不具 AP 目錄寫入權限

28. 伺服器及AP管理員
root
一般帳號 系統帳號
• 一般權限
• 可透過 sudo 切換成伺服器管
理員或AP管理員
• 限制可操作之命令
• 記錄所有操作的時間及命令
• 不具 AP 目錄寫入權限

29. Privat
e &
Confid
ential
- 29 -
伺服器及AP管理員
root
一般帳號 系統帳號
• 最低權限
• 不可登入系統
• 限制可操作之命令
• 限制檔案傳送目錄

31. TIMHSU.TW@GMAIL.COM
HTTP://GITHUB.COM/TIMHSUTW
HTTPS://WWW.FACEBOOK.COM/TIMHSU.TW