Zabezpečte TMP a TMPFS na CentOS 6

Dočasné adresáře jako /tmp, /var/tmp, a /dev/shmnabízejí platformu pro hackery pro spouštění skriptů a programů. Tyto škodlivé spustitelné soubory se používají ke zneužití nebo kompromitaci vašeho serveru. V ideálním případě /tmpby měl být adresář připojen na vlastní oddíl s omezenými oprávněními.

Tato příručka je pro uživatele Vultr, jejichž konfigurace serveru nezahrnuje připojený /tmpadresář na vlastním oddílu, což ponechává tyto adresáře nezabezpečené a zranitelné. Implementace této příručky hackerům extrémně ztíží používání těchto adresářů.

Poznámka: Výchozí instalace CentOS nepřipojují /tmpadresář na vlastní oddíl.

Přejděte do domovského adresáře.

 cd /home

V domovském adresáři vytvořte soubor s libovolným názvem. Zde používáme 'mntTmp' a vytváříme 2GB soubor. Můžete to upravit podle svých potřeb.

 dd if=/dev/zero of=mntTmp bs=1024 count=2000000

Vytvořte pro tento soubor rozšířený souborový systém.

 mkfs.ext4  /home/mntTmp

Zálohujte aktuální /tmpadresář.

 cp -Rpf /tmp /tmp_backup1

Vraťte se do základního adresáře.

 cd /

Vytvořte /tmpmožnost připojení ke spuštění při spouštění pomocí textového editoru.

 nano /etc/fstab

Přidejte následující na konec souboru fstab na samostatný řádek. Poté stiskněte klávesu Enter, abyste se ujistili, že je pod ní prázdný řádek (prázdný řádek je důležitý, aby nedošlo k problémům při restartování).

 /home/mntTmp   /tmp    ext4    loop,nosuid,noexec,nodev,rw 0 0

Poznámka: Při kompilaci nebo instalaci softwaru může být nutné toto připojení dočasně odebrat

Nechte soubor otevřený, protože se bude měnit další řádek.

CentOS používá dočasný souborový systém (tmpfs) ve virtuální paměti s názvem „shm“. Zdá se, že je připojený, přestože se nejedná o fyzický souborový systém. Můžeme použít oprávnění k zabezpečení shm. Hledejte řádek v souboru fstab s tmpfs a /shm. Nahradit 'defaults'za 'defaults,nosuid,noexec,nodev'. Uložte soubor.

Nyní můžete připojit /tmpsouborový systém.

 mount -o loop,nosuid,noexec,nodev /home/mntTmp /tmp

Nastavte oprávnění pro čtení, zápis, spouštění.

 chmod 777 /tmp

Zkontrolujte případné chyby při montáži pomocí nového nastavení spouštění.

 mount -o remount /tmp

Přesuňte /tmpzálohu, kterou jste vytvořili, zpět do připojeného /tmpsystému souborů.

 mv /tmp_backup1/* /tmp/

Odeberte zálohu, kterou jste vytvořili.

 rm -Rf /tmp_backup1

Zálohovat /var/tmp.

 cp -Rpf var/tmp /tmp_backup2

Odeberte /var/tmpadresář.

 rm -Rf /var/tmp

Vytvořte symbolický odkaz od /var/tmpdo /tmp.

 ln -s /tmp /var/tmp

Zkopírujte /var/tmpzálohu do /tmp.

 mv /tmp_backup2/* /tmp/

Odstraňte zálohu.

 rm -Rf /tmp_backup2

Volitelný

V závislosti na konkrétním softwaru, který používáte, můžete mít v domovském adresáři adresář „tmp“. Tento adresář můžete odstranit a vytvořit symbolický odkaz na /tmp. Při tomto postupu je třeba postupovat opatrně, protože to může poškodit software, zejména webhostingový software.

 rm -Rf /home/tmp
 ln -s /tmp /home/tmp