文档中心 > 云服务器 ECS

云服务器 ECS

云服务器 ECS Linux 系统 tmp 目录的安全设置

更新时间： 访问次数：2250

在Linux系统中，至少有两个目录保存着系统的临时文件，一个就是 /tmp，另外一个是 /var/tmp。这两个目录有一个共同点就是所有用户在该目录下拥有可读写，可执行的权限，参考截图：

2.JPG

因为两个目录的权限的问题，攻击者可以把病毒或者木马文件放到这些临时目录下，用于信息的收集或者伪装运行系统的程序而实际上运行自己的程序。但是如果去修改临时目录的读写权限，则会影响系统上应用程序的正常运行。为了解决这个问题，则必须对这两个目录做特殊的处理。

 

/tmp 是一个独立的磁盘分区

这种情况下的处理最简单，直接修改 /etc/fstab 文件中 tmp 分区的挂载属性，加上 nosuid(不允许任何suid程序)，noexec(在这个分区不能执行任何脚本等程序)，nodev(不存在设备文件) 参数。

修改后的挂载属性应该和截图类似：

3.JPG

在挂载属性调整完毕后重新挂载/tmp分区，确保设置生效。

对于 /var/tmp 目录来说，如果有自己的独立分区的话就参考上述修改就可以，但如果只是 /var 目录下的一个子目录，则把目录下的所有数据移动到 /tmp 下，然后做一个软连接指向 /tmp 就可以了，具体操作为:

mv  /var/tmp/*   /tmp
ln  -s  /tmp  /var/tmp

 

 /tmp只是根目录下的一个子目录

这种情况的配置要麻烦一点，可以通过创建一个 loopback 文件系统（拿文件模拟为块设备），然后通过 loopback 特性挂载该文件系统到 /tmp 下，在挂载时指定前文的安全设置就可以了，操作实例如下：

dd if=/dev/zero of=/dev/testfs bs=1M count=1000 （这里生成的文件大小是1G，如果需要更改大小，修改count后面的值就可以了）
mke2fs  -t ext4  /dev/testfs （格式化文件系统）
cp   -a  /tmp  /tmp.bak  (把之前存在于/tmp下的文件拷贝出来，以免再后面执行挂载的时候覆盖掉之前的文件)
mount -o  loop,noexec,nosuid,rw  /dev/testfs  /tmp（挂载到tmp目录下）
chmod 1777 /tmp
mv  -f  /tmp.bak/*  /tmp
rm  -rf  /tmp.bak
echo "/dev/testfs  /tmp ext4 loop,nosuid,noexec,rw 0 0">>/etc/fstab（写入配置文件，下次开机自动挂载）

最后，测试一下挂载设置之后是否有效：

新建一个test.sh文件，具有执行权限，实验如截图：

4.JPG

 

5.JPG

 

从截图可以看到虽然具有执行权限，但是在 /tmp 下面已经无法执行任何文件了.

 

如果问题还未能解决，您可以到阿里云社区进行免费咨询，或联系云市场商家寻求帮助。

 


 

 

FAQ

关于此文档暂时还没有FAQ
有用(0) 我要提问
文档标签:
云服务器 ECS Linux 系统 tmp 目录的安全设置
返回
顶部
阿里巴巴集团 | 淘宝网 | 天猫 | 聚划算 | 全球速卖通 | 阿里巴巴国际交易市场 | 1688 | 阿里妈妈 | 阿里旅行·去啊 | 阿里云计算 | YunOS | 阿里通信 | 万网 | 高德 | 优视 | 友盟 | 酷盘 | 虾米 | 天天动听 | 来往 | 钉钉 | 11Main | 支付宝
关于淘宝 合作伙伴 营销中心 联系客服 开放平台 诚征英才 联系我们 网站地图 法律声明 © 2016 Taobao.com 版权所有
网络文化经营许可证：文网文[2010]040号 | 增值电信业务经营许可证：浙B2-20080224-1 | 信息网络传播视听节目许可证：1109364号