Linux服务器常见高危配置漏洞梳理与可直接落地修复实操指南

前置准备

本文所有操作适配CentOS 7/8、Ubuntu 18.04+主流Linux发行版，操作前先执行系统基础更新，命令如下：

``` CentOS系列 yum update -y Ubuntu/Debian系列 apt update && apt upgrade -y ```

安装开源服务器配置漏洞扫描工具Lynis，用于一键检测所有配置风险：

``` CentOS安装命令 yum install -y lynis Ubuntu安装命令 apt install -y lynis ```

执行全量配置漏洞扫描，获取当前服务器的风险列表：

``` lynis audit system ```

扫描完成后会输出所有风险项，接下来针对最常见的高危配置漏洞，逐个执行修复操作。

常见高危配置漏洞修复步骤

1. 修复密码复杂度不足漏洞

默认Linux系统未开启强制密码复杂度规则，弱密码极易被暴力破解，修复步骤如下：

先安装密码复杂度校验模块：

``` CentOS安装 yum install -y pam_pwquality Ubuntu安装 apt install -y libpam-pwquality ```

修改PAM全局密码配置文件/etc/pam.d/system-auth，完整可复制配置如下，注释原有password相关配置后替换：

``` password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen=10 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so ```

以上配置规则：密码最小长度10位，必须包含数字、大写字母、小写字母、特殊字符各至少1个，重试次数限制为3次，修改完成后保存退出即可。

2. 修复SSH不安全配置漏洞

SSH是远程登录的核心入口，默认配置存在大量安全风险，修改配置文件/etc/ssh/sshd_config，找到对应项修改，没有的配置项直接新增：

``` 禁止root用户直接远程登录 PermitRootLogin no 关闭空密码登录 PermitEmptyPasswords no 修改默认SSH端口，默认22改为10000-60000之间未占用端口，示例为22345 Port 22345 开启密钥登录，不需要密码登录可将PasswordLogin改为no PubkeyAuthentication yes PasswordLogin yes 超时无操作自动断开连接 ClientAliveInterval 300 ClientAliveCountMax 2 ```

配置完成后，在防火墙开放新修改的SSH端口：

``` CentOS默认firewalld防火墙执行 firewall-cmd --add-port=22345/tcp --permanent firewall-cmd --reload Ubuntu默认ufw防火墙执行 ufw allow 22345/tcp ufw reload ```

重启SSH服务让配置生效：

``` systemctl restart sshd ```

关键注意事项：不要关闭当前已连接的终端，新开一个终端测试新端口登录正常后，再关闭旧连接，避免被锁死在服务器外。

3. 修复开放不必要端口服务漏洞

很多服务器默认安装了不必要的服务，开放多余端口会增加攻击面，先列出当前所有正在监听的端口：

``` 无netstat命令先安装工具 yum install -y net-tools || apt install -y net-tools 列出所有监听端口和对应服务 netstat -tulpn ```

找到不需要对外提供服务的端口对应的服务名，执行命令关闭并禁用开机自启：

``` systemctl stop [你的服务名] systemctl disable [你的服务名] ```

示例：如果不需要提供FTP服务，执行命令即可关闭：systemctl stop vsftpd && systemctl disable vsftpd

4. 修复敏感文件权限错误漏洞

敏感配置文件权限配置过大，会导致非授权用户窃取密码、配置信息，执行以下命令批量修复常见敏感文件权限：

``` 修复密码存储文件权限 chmod 600 /etc/shadow chmod 000 /etc/shadow- 2>/dev/null chmod 644 /etc/passwd 修复启动引导配置权限 chmod 600 /boot/grub2/grub.cfg 2>/dev/null chmod 600 /boot/grub/grub.cfg 2>/dev/null 修复SSH主机私钥权限 chmod 600 /etc/ssh/ssh_host__key chmod 644 /etc/ssh/ssh_host__key.pub ```

5. 修复内核提权漏洞未修复漏洞

长期不更新内核会残留大量公开提权漏洞，攻击者可通过低权限用户提权到root，执行以下命令更新内核：

``` CentOS更新内核 yum update kernel -y Ubuntu更新内核 apt install --install-recommends linux-generic -y ```

更新完成后重启服务器即可生效：reboot

修复完成验证

所有步骤操作完成后，重新执行Lynis全量扫描，验证高危漏洞是否修复：

``` lynis audit system ```

扫描完成后查看输出的Vulnerabilities和Hardening模块，所有高危风险项显示为OK即修复完成。日常维护可每月扫描一次，及时修复新出现的配置问题即可。

常规加固补充：服务器给每个运维人员单独创建普通账号，不要共享root账号，每3个月定期更换一次登录密码即可。