System Login Security (系统登录安全) – Page 4

09/11/202026/12/2021

[内容] Linux 用户登陆的超时时间的设置

内容一：临时设置用户登陆的超时时间

# TMOUT=900

或者：

# export TMOUT=0

（
补充：
1) 这里以设置超过 900 秒用户就会超时为例
2) 如果 TMOUT=0 则用户永不会超时
）

内容二：永久设置用户登陆的超时时间
2.1 通过 /etc/profile 文件实现
2.1.1 修改 /etc/profile 文件

# vim /etc/profile

添加以下内容：

......
TMOUT=900

（
补充：
1) 这里以设置超过 900 秒用户就会超时为例
2) 如果 TMOUT=0 则用户永不会超时
3) 补充 /etc/bashrc 文件会比 /etc/profile 文件更有优先级
）

2.1.2 使刚刚的设置生效

# source /etc/profile

2.2 通过 /etc/bashrc 文件实现
2.2.1 修改 /etc/bashrc 文件

# vim /etc/bashrc

添加以下内容：

......
TMOUT=900

（
补充：
1) 这里以设置超过 900 秒用户就会超时为例
2) 如果 TMOUT=0 则用户永不会超时
3) 补充 /etc/bashrc 文件会比 /etc/profile 文件更有优先级
）

2.2.2 使刚刚的设置生效

# source /etc/bashrc

内容三：查看现在用户登陆的超时时间

# echo $TMOUT

补充：

当通过以上设置造成用户登陆超时时，系统会输出以下内容：

# timed out waiting for input: auto-logout

21/09/202026/12/2021

[内容] VNC 数据的加密（通过 SSH 实现）

内容目录：

内容一：直接通过 SSH 对 VNC 进行加密
1.1 直接通过 SSH 对 VNC 进行加密的格式
1.2 直接通过 SSH 对 VNC 进行加密的案例

内容二：通过非标准端口的 SSH 对 VNC 进行加密
2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式
2.2 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的案例

具体的内容：

内容一：直接通过 SSH 对 VNC 进行加密
1.1 直接通过 SSH 对 VNC 进行加密的格式

# vncviewer -via <SSH user of VNC server>@<IP address of VNC server> localhost :<VNC service number>

1.2 直接通过 SSH 对 VNC 进行加密的案例

# vncviewer -via zhumingyu@eternalcenter.com localhost :1

（补充：这里以使用 eternalcenter.com 服务器上的 zhumingyu 用户访问编号为 1 的 VNC 服务为例）

内容二：通过非标准端口的 SSH 对 VNC 进行加密
2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式

# ssh -p <SSH non standard port number> -L <Port number of VNC service>:localhost:<Port number of VNC service> -l  <SSH user of VNC server> <IP address of VNC server>

另开启一个命令行终端：

# vncviewer localhost :<VNC service number>

2.2 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的案例

# ssh -p 1000 -L 5901:localhost:5901 -l zhumingyu eternalcenter.com

另开启一个命令行终端：

# vncviewer localhost :1

（补充：这里以使用 eternalcenter.com 服务器上的 zhumingyu 用户通过 1000 端口号的 SSH 访问编号为 1 的 VNC 服务为例）

06/08/202026/12/2021

[步骤] Linux 密码策略的设置（设置密码复杂度）（CentOS 8 & RHEL 8 版）

步骤目录：

步骤一：设置密码必须包含大小写字母等策略
1.1 生成设置密码必须包含大小写字母的策略文件
1.2 设置密码必须包含大小写字母等策略

步骤二：设置新密码不能和旧密码重复的策略
2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件
2.2 修改 /etc/authselect/custom/password-policy/system-auth 文件

具体的操作步骤：

步骤一：设置密码必须包含大小写字母等策略
1.1 生成设置密码必须包含大小写字母的策略文件

# authselect list
- nis                            Enable NIS for system authentication
- sssd                           Enable SSSD for system authentication (also for local users only)
- winbind                        Enable winbind for system authentication
- custom/password-policy         Enable SSSD for system authentication (also for local users only)

（
注意：如果没有 custom/password-policy 文件则进行以下操作：

# authselect create-profile password-policy -b sssd --symlink-meta --symlink-pam
# authselect select custom/password-policy
# authselect current
Profile ID: custom/password-policy
Enabled features: None

）

1.2 设置密码必须包含大小写字母等策略

# vim /etc/security/pwquality.conf

将部分内容修改如下：

......
minlen = 15
......
dcredit = -1
......
ucredit = -1
......
lcredit = -1
......
ocredit = -1
......
dictcheck = 1
......
usercheck = 1
......

（
补充：这里以
1) 密码最小长度为 15 个字符
2) 密码包含数字的个数，-1 代表必须包含
3) 密码包含大写字母的个数，-1 代表必须包含
4) 密码包含小写字母的个数，-1 代表必须包含
5) 密码包含特殊字符的个数，-1 代表必须包含
6) 检查密码中是否包含字典
7) 检查密码中是否包含用户
）

步骤二：设置新密码不能和旧密码重复的策略
2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件

# vim /etc/authselect/custom/password-policy/password-auth

将以下内容：

......
password.*requisite.*pam_pwhistory.so
......

修改为：

...... 
password    requisite     pam_pwhistory.so remember=5 use_authtok
......

（补充：这里以新密码不能和前 5 个旧密码重复为例）

2.2 修改 /etc/authselect/custom/password-policy/system-auth 文件

# vim /etc/authselect/custom/password-policy/system-auth

将以下内容：

......
password.*requisite.*pam_pwhistory.so
......

修改为：

...... 
password    requisite    pam_pwhistory.so remember=5 use_authtok

（补充：这里以新密码不能和前 5 个旧密码重复为例）

20/07/202026/12/2021

[步骤] openSUSE&SUSE sudo 提权的实现（通过用户自己的密码实现）

步骤一：给用户添加相应的 sudo 权限

# vim /etc/sudoers

添加以下内容：

……
zhumingyu ALL=(ALL) /usr/bin/mysql

（补充：这里以给用户 zhumingyu 添加 /usr/bin/mysql 命令为例）

步骤二：设置用户使用自己的密码实现 sudo 提权

# vim /etc/sudoers

将以下内容：

......
#Defaults targetpw   # ask for the password of the target user i.e. root
#ALL    ALL=(ALL) ALL   # WARNING! Only use this together with 'Defaults targetpw'!
......

修改为：

......
Defaults targetpw   # ask for the password of the target user i.e. root
ALL    ALL=(ALL) ALL   # WARNING! Only use this together with 'Defaults targetpw'!
......

20/07/202026/12/2021

[内容] CentOS&RHEL 日志记录的清除（last ）

步骤目录：

步骤一：查看原来的 last 记录

步骤二：清除原来的 last 记录
2.1 确认原有 last 记录的日志文件
2.2 将原有 last 记录的日志文件移走
2.3 创建新的 last 记录的日志文件
2.4 给新创建的 last 记录的日志文件对应的权限

步骤三：查看 last 记录有没有被成功清除

具体的操作步骤：

步骤一：查看原来的 last 记录

# last

步骤二：清除原来的 last 记录
2.1 确认原有 last 记录的日志文件

# ls -arlt /var/log/wtmp
-rw-rw-r--. 1 root utmp 294920 Jul 20 09:57 lastlog

2.2 将原有 last 记录的日志文件移走

# mv /var/log/wtmp /var/log/wtmp.backup

2.3 创建新的 last 记录的日志文件

# touch /var/log/wtmp

2.4 给新创建的 last 记录的日志文件对应的权限

# chown root:utmp /var/log/wtmp

步骤三：查看 last 记录有没有被成功清除

# last

wtmp begins Mon Jul 20 10:07:11 2020

内容一：临时设置用户登陆的超时时间

内容二：永久设置用户登陆的超时时间2.1 通过 /etc/profile 文件实现2.1.1 修改 /etc/profile 文件

2.1.2 使刚刚的设置生效

2.2 通过 /etc/bashrc 文件实现2.2.1 修改 /etc/bashrc 文件

2.2.2 使刚刚的设置生效

内容三：查看现在用户登陆的超时时间

补充：

内容目录：

内容一：直接通过 SSH 对 VNC 进行加密1.1 直接通过 SSH 对 VNC 进行加密的格式1.2 直接通过 SSH 对 VNC 进行加密的案例

内容二：通过非标准端口的 SSH 对 VNC 进行加密2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式2.2 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的案例

具体的内容：

内容一：直接通过 SSH 对 VNC 进行加密1.1 直接通过 SSH 对 VNC 进行加密的格式

1.2 直接通过 SSH 对 VNC 进行加密的案例

内容二：通过非标准端口的 SSH 对 VNC 进行加密2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式

2.2 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的案例

步骤目录：

步骤一：设置密码必须包含大小写字母等策略1.1 生成设置密码必须包含大小写字母的策略文件1.2 设置密码必须包含大小写字母等策略

步骤二：设置新密码不能和旧密码重复的策略2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件2.2 修改 /etc/authselect/custom/password-policy/system-auth 文件

具体的操作步骤：

步骤一：设置密码必须包含大小写字母等策略1.1 生成设置密码必须包含大小写字母的策略文件

1.2 设置密码必须包含大小写字母等策略

步骤二：设置新密码不能和旧密码重复的策略2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件

2.2 修改 /etc/authselect/custom/password-policy/system-auth 文件

步骤一：给用户添加相应的 sudo 权限

步骤二：设置用户使用自己的密码实现 sudo 提权

步骤目录：

步骤一：查看原来的 last 记录

步骤二：清除原来的 last 记录2.1 确认原有 last 记录的日志文件2.2 将原有 last 记录的日志文件移走2.3 创建新的 last 记录的日志文件2.4 给新创建的 last 记录的日志文件对应的权限

步骤三：查看 last 记录有没有被成功清除

具体的操作步骤：

步骤一：查看原来的 last 记录

步骤二：清除原来的 last 记录2.1 确认原有 last 记录的日志文件

2.2 将原有 last 记录的日志文件移走

2.3 创建新的 last 记录的日志文件

2.4 给新创建的 last 记录的日志文件对应的权限

步骤三：查看 last 记录有没有被成功清除

内容二：永久设置用户登陆的超时时间
2.1 通过 /etc/profile 文件实现
2.1.1 修改 /etc/profile 文件

2.2 通过 /etc/bashrc 文件实现
2.2.1 修改 /etc/bashrc 文件

内容一：直接通过 SSH 对 VNC 进行加密
1.1 直接通过 SSH 对 VNC 进行加密的格式
1.2 直接通过 SSH 对 VNC 进行加密的案例

内容二：通过非标准端口的 SSH 对 VNC 进行加密
2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式
2.2 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的案例

内容一：直接通过 SSH 对 VNC 进行加密
1.1 直接通过 SSH 对 VNC 进行加密的格式

内容二：通过非标准端口的 SSH 对 VNC 进行加密
2.1 通过 SSH 对 VNC 进行加密，同时使用 SSH 隧道的格式

步骤一：设置密码必须包含大小写字母等策略
1.1 生成设置密码必须包含大小写字母的策略文件
1.2 设置密码必须包含大小写字母等策略

步骤二：设置新密码不能和旧密码重复的策略
2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件
2.2 修改 /etc/authselect/custom/password-policy/system-auth 文件

步骤一：设置密码必须包含大小写字母等策略
1.1 生成设置密码必须包含大小写字母的策略文件

步骤二：设置新密码不能和旧密码重复的策略
2.1 修改 /etc/authselect/custom/password-policy/password-auth 文件

步骤二：清除原来的 last 记录
2.1 确认原有 last 记录的日志文件
2.2 将原有 last 记录的日志文件移走
2.3 创建新的 last 记录的日志文件
2.4 给新创建的 last 记录的日志文件对应的权限

步骤二：清除原来的 last 记录
2.1 确认原有 last 记录的日志文件