selinux简介

      SElinux 在linux内核级别上提供了一个灵活的强制访问控制系统(MAC)，这个强制访问控制系统是建立在自由访问控制系统(DAC)之上的。
DAC是指系统的安全访问控制都是由系统管理员root自由管理的，不是系统强制行为
MAC运行的时候，比如一个应用程序或者一个线程以某个用户UID或者SUID运行的时候同样对一些其他的对象拥有访问控制限制，比如文件,套接子（sockets）或者其他的线程

      通过运行SElinux MAC内核可以保护系统不受到恶意程序的侵犯，或者系统本身的bug不会给系统带来致命影响（把影响限定在一定范围内）

      SElinux为每一个用户，程序，进程，还有文件定义了访问还有传输的权限。然后管理所有这些对象之间的交互关系

      对于SELinux设定的对象全限是可以根据需要在安装时候规定严格程度，或者完全禁用
在大多数情况下，SElinux对于用户来说是完全透明的，普通用户根本感觉不到Selinux的存在，只有系统管理员才需要对这些用户环境，以及策略进行考虑。这些策略可以按照需要宽松的部署或者应用严格的限制，Selinux提供了非常具体的控制策略，范围覆盖整个linux系统

      比如，当一个对象如应用程序要访问一个文件对象，内核中的控制程序检查访问向量缓存(AVC),从这里寻找目标和对象的权限，如果在这里没有发现权限定义，则继续查询安全定义的上下关联，以及文件权限，然后作出准许访问以及拒绝访问的决定。如果在var/log/messages出现avc: denied信息,则表明访问拒绝。
目标和对象通过安装的策略来决定自身的安全关联，同时这些安装的策略也负责给系统产生安全列表提供信息。
除了运行强制模式以外，SELinux可以运行在许可模式，这时候，检查AVC之后，拒绝的情况被记录。Selinux不强制使用这种策略.

下面介绍关闭selinux的方法
Redhat系统，修改/etc/sysconfig/selinux文件：
#SELINUX=enforcing
SELINUX=disabled

查看系统设置selinux开启的情况:
[root@localhost ~]# getenforce

重启系统生效，如果不想重启系统，使用命令
[root@localhost ~]# setenforce 0

date [-u] [-d datestr] [-s datestr] [--utc] [--universal] [--date=datestr] [--set=datestr] [--help] [--version] [+FORMAT] [MMDDhhmm[[CC]YY][.ss]]

说明 :

date 可以用来显示或设定系统的日期与时间，在显示方面，使用者可以设定欲显示的格式，格式设定为一个加号后接数个标记，其中可用的标记列表如下 :

时间方面 :

% : 印出 %
%n : 下一行
%t : 跳格
%H : 小时(00..23)
%I : 小时(01..12)
%k : 小时(0..23)
%l : 小时(1..12)
%M : 分钟(00..59)
%p : 显示本地 AM 或 PM
%r : 直接显示时间 (12 小时制，格式为 hh:mm:ss [AP]M)
%s : 从 1970 年 1 月 1 日 00:00:00 UTC 到目前为止的秒数
%S : 秒(00..61)
%T : 直接显示时间 (24 小时制)
%X : 相当于 %H:%M:%S
%Z : 显示时区

日期方面 :
%a : 星期几 (Sun..Sat)
%A : 星期几 (Sunday..Saturday)
%b : 月份 (Jan..Dec)
%B : 月份 (January..December)
%c : 直接显示日期与时间
%d : 日 (01..31)
%D : 直接显示日期 (mm/dd/yy)
%h : 同 %b
%j : 一年中的第几天 (001..366)
%m : 月份 (01..12)
%U : 一年中的第几周 (00..53) (以 Sunday 为一周的第一天的情形)
%w : 一周中的第几天 (0..6)
%W : 一年中的第几周 (00..53) (以 Monday 为一周的第一天的情形)
%x : 直接显示日期 (mm/dd/yy)
%y : 年份的最后两位数字 (00.99)
%Y : 完整年份 (0000..9999)

若是不以加号作为开头，则表示要设定时间，而时间格式为 MMDDhhmm[[CC]YY][.ss]，其中 MM 为月份，DD 为日，hh 为小时，mm 为分钟，CC 为年份前两位数字，YY 为年份后两位数字，ss 为秒数
参数 :

-d datestr : 显示 datestr 中所设定的时间 (非系统时间)
--help : 显示辅助讯息
-s datestr : 将系统时间设为 datestr 中所设定的时间
-u : 显示目前的格林威治时间
--version : 显示版本编号

例子 :
显示时间后跳行，再显示目前日期 :
date '+%T%n%D'

显示月份与日数 :
date '+%B %d'

显示日期与设定时间(12:34:56) :
date --date '12:34:56'

注意 :

当你不希望出现无意义的 0 时(比如说 1999/03/07)，则可以在标记中插入 - 符号，比如说 date '+%-H:%-M:%-S' 会把时分秒中无意义的 0 给去掉，像是原本的 08:09:04 会变为 8:9:4。另外，只有取得权限者(比如说 root)才能设定系统时间。

当你以 root 身分更改了系统时间之后，请记得以 clock -w 来将系统时间写入 CMOS 中，这样下次重新开机时系统时间才会持续抱持最新的正确值。

1、建立一个普通权限的用户
      因为root用户对系统具有全权的操作权限,为了避免一些失误的操作,建议在一般情况下,以一般用户登录系统,必要的时候需要root操作权限时,再通过"su -"命令来登录为root用户进行操作.
useradd selboo
passwd selboo
usermod -G selboo selboo
修改pam配置,使非group组用户不能使用su命令登录为root：
vi /etc/pam.d/su
找到
#auth required /lib/security/$ISA/pam_wheel.so use_uid
将行首的 # 去掉.
然后
vi /etc/login.defs
在文件末尾加上
SU_WHEEL_ONLY yes

2、安装yum加速工具,并更新系统
yum install yum-fastestmirror -y
yum upgrade -y

3、安装mlocate工具
yum install mlocate -y

4、root邮件的修改
在系统出现错误或有重要通知发送邮件给root的时候,让系统自动转送到我们通常使用的邮箱中,这样方便查阅相关报告和日志.
vi /etc/aliases
在文件末尾加上
root: root@selboo.com.cn

5、locate命令设置
vi /etc/updatedb.conf
在末尾增加
DAILY_UPDATE=yes
然后运行
updatedb

6、关闭不必要的服务
比如cups
/etc/init.d/cups stop
chkconfig cups off
除了以下服务以外,其他服务默认的都可以采用刚才的方法关闭：
atd
crond
irqbalance
lvm2-monitor
microcode_ctl
network
sendmail
sshd
syslog

7、停止ipv6
vi /etc/modprobe.conf
在文件末尾加上
alias net-pf-10 off
alias ipv6 off

8、关闭SELinux
vi /etc/selinux/config
将其中的
SELINUX=enforcing
改为
SELINUX=disabled

9、安装sudo工具
yum install sudo -y
安装好了以后,修改sudo的配置
vi /etc/sudousers
将
# %wheel ALL=(ALL) NOPASSWORD:ALL
去掉前面的 # , 然后保存文件.
这样修改了以后,只有所有属于wheel组的用户能执行sudo命令,并且执行sudo命令时只需要输入自己的密码即可.

10、修改SSH配置
vi /etc/ssh/sshd_config
增加ServerKey的强度
找到
#ServerKeyBits 768
改为
ServerKeyBits 1024
不允许root用户直接登录
#PermitRootLogin Yes
改为
PermitRootLogin no
禁止空密码登录
找到
#PermitEmptyPasswords no
去掉前面的 #
全部修改完了以后,重启服务器
init 6

(一)RedHat/CentOS/Fedora 系统密码破解

1.在grub选项菜单按E进入编辑模式
2.编辑kernel 那行最后加上S (或者Single)
3.按B，启动到single-user mode
4.进入后执行下列命令
# mount -t proc proc /proc
# mount -o remount,rw /
#passwd
#sync
#reboot

(二)Debian linux 系统密码破解

1.在grub选项菜单'Debian GNU/Linux,...(recovery mode)'，按e进入编辑模式
2.编辑kernel那行最后面的 ro single 改成 rw single init=/bin/bash，按b执行重启
3.进入后执行下列命令
root@(none)#mount -a
root@(none)#passwd root
root@(none)#reboot

(三)Freebsd 系统密码破解

1.开机进入引导菜单
2.选择每项(按4)进入单用户模式
3.进入之后输入一列命令
root@#mount -a
root@#fsck -y
root@#passwd(修改密码命令)
root@#root(要破解密码的用户名)
Enter new unix password:
root@#init 6 (重启)

(四)Solaris 系统密码破解

1.在grub选项菜中选择solaris failasfe 项
2.系统提示Do you wish to have it mounted read-write on /a ?[y,n,?] 选择y
3.就进入单用户模式
4.输入下列命令:passwd
root@#init 6 (重启)

(五)NetBsd 系统密码破解

1.开机：当出现提示符号并开始倒数五秒时， 键入以下指令：
> boot -s (进入单用户模式命令)
2.在以下的提示符号中
Enter pathname of shell or RETURN for sh:
按下 Enter。
3.键入以下指令：
# mount -a
# fsck -y
4.使用 passwd 更改 root 的密码。
5.使用 exit 指令进入多人模式。

(六)SUSE 系统密码破解

1.重新启动机器，在出现grub引导界面后，在启动linux的选项里加上init=/bin/bash，通过给内核传递init=/bin/bash参数使得OS在运行login程序之前运行bash，出现命令行。
2.稍等片刻出现(none)#:命令行。
3.这时输入mount -n / -o remount,rw 表示将根文件系统重新mount为可读写，有了读写权限后就可以通过passwd命令修改密码了。
4.这时输入passwd命令就可以重置密码了
5.修改完成后记得用mount -n / -o remount,ro将根文件系统置为原来的状态

nagios是目前非常流行的系统，服务器监控免费软件，很多大的国内站点像搜狐，网易都在使用nagios进行服务器监控。
nagios的有点在于他本身只是一个框架，对于nagios扩展监控模块，以及报警模块非常方便，能很方便的加入自己编写的服务监控，以及手机短信，邮件，gtalk ,msn报警等等。
以下是nagios在linux REDHAT AS4U4 下的安装和简单的配置过程：
下载软件：
wget http://surfnet.dl.sourceforge.net/sourceforge/nagios/nagios-3.0.3.tar.gz
wget http://nchc.dl.sourceforge.net/sourceforge/nagiosplug/nagios-plugins-1.4.12.tar.gz
wget http://nchc.dl.sourceforge.net/sourceforge/nagiosplug/nagiosmib-1.0.0.tar.gz
添加用户：

useradd -m nagios
passwd nagios
groupadd nagcmd
usermod -G nagcmd nagios
usermod -G nagcmd daemon

编译安装nagios
tar -xvzf nagios-3.0.3.tar.gz
cd nagios-3.0.3
./configure --with-command-group=nagcmd
make all
make install
make install-init
make install-config
make install-commandmode
设置apache服务器访问密码：
cd /usr/local/nagios/etc/
/usr/local/apache/bin/htpasswd -c /usr/local/nagios/etc/htpasswd.users nagiosadmin
cd /usr/local/apache/conf/
vi httpd-vhosts.conf
配置apache的cgi ，具体配置如下：
ScriptAlias /nagios/cgi-bin /usr/local/nagios/sbin

Options ExecCGI
AllowOverride None
Order allow,deny
Allow from all
AuthName "Nagios Access"
AuthType Basic
AuthUserFile /usr/local/nagios/etc/htpasswd.users
Require valid-user

Alias /nagios /usr/local/nagios/share

Options None
AllowOverride None
Order allow,deny
Allow from all
AuthName "Nagios Access"
AuthType Basic
AuthUserFile /usr/local/nagios/etc/htpasswd.users
Require valid-user

重启apache
/usr/local/apache/bin/apachectl configtest
/usr/local/apache/bin/apachectl stop
/usr/local/apache/bin/apachectl start
安装nagios插件
tar -xvzf nagios-plugins-1.4.12.tar.gz
cd nagios-plugins-1.4.12
./configure --with-nagios-user=nagios --with-nagios-group=nagios
make
make install
chkconfig --add nagios
chkconfig nagios on
/usr/local/nagios/bin/nagios -v /usr/local/nagios/etc/nagios.cfg
service nagios start
现在你可以通过浏览器访问监控的界面了，http://www.example.com/nagios
现在你仅仅能看到对于本机的监控，接下来我们添加一个http服务的监控
cd /usr/local/nagios/
vi nagios.cfg
添加一行：
cfg_file=/usr/local/nagios/etc/objects/wwws.cfg
编写配置wwws.cfg
touch objects/hosts.cfg objects/wwws.cfg
vi objects/wwws.cfg
具体内容如下：
define host{                                          
        use             generic-host                  
        host_name               maycode              
        alias           www.maycode.com              
        address         10.11.24.42                  
        hostgroups              webhosts              
        max_check_attempts 10                        
}                                                    
                                                      
define hostgroup{                                    
        hostgroup_name  webhosts                      
        alias           web service hosts            
        members         maycode                      
}                                                    
                                                      
define service{                                      
        use             generic-service              
        host_name               maycode              
        service_description     HTTP                  
        check_command   check_http! -H www.maycode.com
}
请根据具体情况修改为你要监控的主机以及域名，现在来看看你的配置文件是否正确：

/usr/local/nagios/bin/nagios -v /usr/local/nagios/etc/nagios.cfg
如果争取，请重启nagios服务器
service nagios start
接下来请去浏览器看看吧，如果在host部分看到pending别奇怪啊，我们只设置了监控www服务器，如果你需要监控alive ，请参考localhost.cfg配置文件。
在libexec目录下，所有的监控脚本和应用都在，你可以用 prog -h ，查看如何使用这些监控脚本和程序。如果你自己写的程序最好也放在这个目录下。