首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

Linux安全问答(3)

1、如何启用linux下的***检测系统LIDS?    首先, 要想使LIDS设置的ACLS发挥作用,应在系统引导时把LIDS封装进内核中。这样每次系统启动到最后阶段,此设置会根据你的系统上的/etc/lids/lids.cap文件中的内容来设置全局功能,此文件中保存的是你设置ACLS。设置封装内核,在你的/etc/rc.d/rc.local文件的未尾加入如下内容:  /sbin/lidsadm –I lidsadm -S -- +RELOAD_CONF 特别要注意的是,在对LIDS做了任何修改后,都应使用上述命令重新更新LIDS的配置文件,它将重新加载下列配置文件: /etc/lids/lids.conf #ACLS配置文件 /etc/lids/lids.cap #LIDS capabilities(功能)配置文件 /etc/lids/lids.pw #LIDS密码文件 /etc/lids/lids.net # LIDS邮件警告配置文件 然后重新启动系统服务使应用改变生效。 使用如下命令打开一个LIDS终端会话: # lidsadm -S -- -LIDS 在完成对文件或数据的修改后,你应通过如下命令重新启用LIDS: # lidsadm -S -- +LIDS 2、保护文件为只读。 # lidsconf -A -o /some/file -j READONLY 此命令保证一旦LIDS启用,任何人都不能修改或删除此文件。如果你在lids自由会话终端方式下,你就可以修改/some/file指定的文件,只要此分区不是挂载为只读方式。应用时用实际的文件路径代替/some/file。 3、保护一个目录为只读。 # lidsconf -A -o /some/directory -j READONLY 此命令用保证一旦LIDS启用,任何人都不能列出或删除此目录及其中的内容。如果你在自由会话终端方式下,你就可以修改/some/directory目录,只要分区不是挂载为只读方式。例如,你可以设置保护/etc/目录为只读方式: lidsconf -A -o /etc -j READONLY 这里要告别注意的是:当你设定/etc目录为只读后,当你想挂载文件系统时,你应该删除/etc/mtab文件,然后使用它的一个符号连接/proc/mounts。同时,你必须修改你的初始化脚本,使用“-n”选项来设置任何mount和umount命令。这个选项告诉mount和umount不更新/etc/mtab文件。例如,你发现在你的初始化脚本中有一行:mount -av -t nonfs,nproc,应把它改为:mount -av -n -t nonfs,nproc。 4、隐藏任何人都看不到的文件或目录。 # lidsconf -A -o /some/file_or_directory -j DENY 此设置将使用任何人甚至root用户都不能访问它,如果是一个目录,那么此目录下的文件、目录都将隐藏,文件系统也一样。 5、指定某些特定的程序以只读方式访问一些非常敏感的文件。 比如在系统登录时要访问/etc/shadow文件,我可以指定某些程序能在系统认证时使用它,如login、ssh、su和vlock。例如,你可以只允许login以只读方式访问/etc/shadow文件: # lidsconf -A -s /bin/login -o /etc/shadow -j READONLY 6、以根用户身份启动一个服务在指定的端口上运行。 服务运行在指定的端口(1024以下)上需要CAP_NET_BIND_SERVICE功能。如果你禁止了此功能在/etc/lids/lids.cap文件中,你就不能以根用户身份启动任何一个服务运行在指定的端口上。你可以授与某个程序有此功能: # lidsconf -A -s /usr/local/bin/apache -o CAP_NET_BIND_SERVICE 80 -J GRANT 或者在LIDS_GLOBAL被禁止时启用此服务。 7、在LIDS启用时,保证X Windows系统能工作。 X server必须使用CAP_SYS_RAWIO功能才能在LIDS启用时工作。  # lidsconf -A -s /path/to /your/x-server -o CAP_SYS_RAWIO -j GRANT 8、启用ssh和scp。 缺省状态下,ssh和scp通过指定的端口创建远程连接,它需要CAP_NET_BIND_SERVICE功能,因此你可以授与CAP_NET_BIN_SERVICE功能给ssh:  # lidsconf -A -s /usr/bin/ssh -o CAP_NET_BIN_SERVICE 22 -J GRANT 9、设置限制访问时间

02

表空间的状态(二) - read/write

1. 只读表空间的主要用途就是为了消除对数据库大部分静态数据的备份和恢复的需要。Oracle不会更新只读表空间爱你的文件,因此这部分文件可以存储于只读介质中,例如CD-ROM或WORM drives。 2. 只读表空间并不是为了满足归档的要求。只读表空间不能修改。如果需要修改只读表空间中的记录,则需要先将表空间置为read/write。更新表空间后,可以重置为只读。 3. 由于只读表空间不能修改,所以只要没有置为read/write,就不需要重复地进行备份。而且,如果需要恢复数据库时,也不需要恢复只读表空间,原因就是他们未曾修改过。 4. 能从只读表空间中删除对象,例如表或索引,但不能创建或修改对象。可以执行修改数据字典中文件描述的语句,例如ALTER TABLE ... ADD或ALTER TABLE ... MODIFY,但不能添加任何新的描述信息,除非表空间置为read/write。 5. 只读表空间可以导出导入到其他数据库。既然只读表空间不能修改,他们就能存储于CD-ROM或WORM(一次写-多次读)这些设施中。 6. 所有表空间初始创建都是read/write。使用READ ONLY子句可以设置表空间为只读。前提是必须具有ALTER TABLESPACE或MANAGE TABLESPACE的系统权限。 使用ALTER TABLESPACE ... READ ONLY前,需要满足以下条件: > 表空间处于online状态。这是为了确保不会有UNDO信息需要应用到表空间。注:如果处于offline,则会将UNDO信息存储于SYSTEM表空间,待恢复online时应用这些UNDO信息。 > 不能修改活动的UNDO表空间或SYSTEM表空间。 > 表空间不能处于当前正在进行的online备份中,因为备份结束时会更新表空间所有数据文件的头部信息。 > 为了让从只读表空间读取数据得到更好的性能,可以在置为read-only之前执行一次访问表空间的表中所有数据块的查询。一个像SELECT COUNT(*)这样简单的查询,就可以确保在表空间的数据块在接下来的访问中获得最佳的效率。因为这种做法就不需要数据库检查最近经常修改数据块的交易状态。 7. 可以在数据库正处理交易的时候执行ALTER TABLESPACE ... READ ONLY语句。执行语句后,表空间就处于交易只读状态。不会允许任何交易(DML操作)应用于表空间。如果尝试进行交易操作,那么此操作会被终止和回滚。然而,那些已经做了变更并不再进行进一步修改的交易,就允许执行commit或roll back操作。 如果ALTER TABLESPACE ... READ ONLY语句执行前,一个交易已经执行了,但是回滚到一个保存点,回滚了他对表空间的变更,那么ALTER TABLESPACE ... READ ONLY语句不会等待这个活动的交易。 8. 交易级只读状态仅仅当初始化参数COMPATIBLE是8.1.0或以上值时才能使用。如果参数值小于8.1.0,并且存在活动的交易,ALTER TABLESPACE ... READ ONLY语句会失败。 9. 如果ATLER TABLESPACE语句执行时间太长了,那么就需要找到阻止只读状态生效的那些交易。如下语句可以找出执行ALTER TABLESPACE ... RAED ONLY语句的交易入口和session地址(saddr): SELECT SQL_TEXT, SADDR FROM V$SQLAREA,V$SESSION WHERE V$SQLAREA.ADDRESS = V$SESSION.SQL_ADDRESS AND SQL_TEXT LIKE 'alter tablespace%'; SQL_TEXT                                  SADDR ---------------------------------------- -------- alter tablespace tbs1 read only           80034AF0 每个活动交易的开始SCN会存储于V$TRANSACTION视图中。起始SCN越小,说明这步操作就越早。潜在地这条语句越可能阻止接下来只读状态的变更。 SELECT SES_ADDR, START_SCNB FROM V$TRANSACTION ORDER BY START_SCNB; SES_ADDR START_SCNB -------- ---------- 800352A0 3621 --> waiting on this txn 80035A50 3623 --> waiting on this txn 80034AF0 3628 --> this is the ALTE

02

C语言编程程序的内存如何布局

C语言程序在内存中各个段的组成   C语言程序连接过程中的特性和常见错误   C语言程序的运行方式   一:C语言程序的存储区域   由C语言代码(文本文件)形成可执行程序(二进制文件),需要经过编译-汇编-连接三个阶段。编译过程把C语言文本文件生成汇编程序,汇编过程把汇编程序形成二进制机器代码,连接过程则将各个源文件生成的二进制机器代码文件组合成一个文件。   C语言编写的程序经过编译-连接后,将形成一个统一文件,它由几个部分组成。在程序运行时又会产生其他几个部分,各个部分代表了不同的存储区域:   1.代码段(Code或Text)   代码段由程序中执行的机器代码组成。在C语言中,程序语句进行编译后,形成机器代码。在执行程序的过程中,CPU的程序计数器指向代码段的每一条机器代码,并由处理器依次运行。   2.只读数据段(RO data)   只读数据段是程序使用的一些不会被更改的数据,使用这些数据的方式类似查表式的操作,由于这些变量不需要更改,因此只需要放置在只读存储器中即可。   3.已初始化读写数据段(RW data)   已初始化数据是在程序中声明,并且具有初值的变量,这些变量需要占用存储器的空间,在程序执行时它们需要位于可读写的内存区域内,并具有初值,以供程序运行时读写。   4.未初始化数据段(BSS)   未初始化数据是在程序中声明,但是没有初始化的变量,这些变量在程序运行之前不需要占用存储器的空间。   5.堆(heap)   堆内存只在程序运行时出现,一般由程序员分配和释放。在具有操作系统的情况下,如果程序没有释放,操作系统可能在程序(例如一个进程)结束后回收内存。   6.栈(stack)   栈内存只在程序运行时出现,在函数内部使用的变量、函数的参数以及返回值将使用栈空间,栈空间由编译器自动分配和释放。   C语言目标文件的内存布局   看一个例子:   int a = 0; //全局初始化区,。data段   static int b=20; //全局初始化区,。data段   char *p1; //全局未初始化区 .bss段   const int A = 10; //.rodata段   void main(void)   {   int b; //栈   char s[] = "abc"; //栈   char *p2; //栈   static int c = 0; //全局(静态)初始化区 .data段   char *p3 = "123456"; //123456\0在常量区,p3 在栈上。   p1 = (char*) malloc(10);//分配得来的10和20个字节的区域就在堆区   p2 = (char*) malloc(20);   strcpy(p1, "123456"); //123456\0 在常量区,编译器可能会将它与p3所指向的"123456"优化成一个地方   }    代码段、只读数据段、读写数据段、未初始化数据段属于静态区域,而堆和栈属于动态区域。代码段、只读数据段和读写数据段将在链接之后产生,未初始化数据 段将在程序初始化的时候开辟,而堆和栈将在程序的运行中分配和释放。C语言程序分为映像和运行时两种状态。在编译-连接后形成的映像中,将只包含代码段 (Text)、只读数据段(RO Data)和读写数据段(RW Data)。在程序运行之前,将动态生成未初始化数据段(BSS),在程序的运行时还将 动态形成堆(Heap)区域和栈(Stack)区域。一般来说,在静态的映像文件中,各个部分称之为节(Section),而在运行时的各个部分称之为段 (Segment)。如果不详细区分,可以统称为段。   知识点:   C语言在编译和连接后,将生成代码段(Text)、只读数据段(RO Data)和读写数据段(RW Data)。在运行时,除了以上三个区域外,还包括未初始化数据段(BSS)区域和堆(Heap)区域和栈(Stack)区域。   二:C语言程序的段   1.代码段(code或text)   代码段由各个函数产生,函数的每一个语句将最终经过编绎和汇编生成二进制机器代码(具体生生哪种体系结构的机器代码由编译器决定)。   2.只读数据段(RO Data)   只读数据段由程序中所使用的数据产生,该部分数据的特点是在运行中不需要改变,因此编译器会将该数据段放入只读的部分中。C语言中的只读全局变量,只读局部变量,程序中使用的常量等会在编译时被放入到只读数据区。    注意:定义全局变量const char a[100]={"ABCDEFG"};将生成大小为100个字节的只读数据区,并使用“ABCDEFG”初 始化。如果定义为:const char a[ ]={"ABCDEFG"};则根

02

U盘的超级用法

转自360         U盘是大家最常用的移动存储设备,不过它的即插即用特性在给我们带来方便同时,也带来了极大的安全隐患。一款没有加密功能的U盘,在借给他人使用或不慎丢失时,其中所保存的资料将很容易被查看或删除。而要想避免这种情况发生,你只要稍加动手,不需使用任何软件,即可将普通U盘打造得“固若金汤”,不相信的朋友就随我一起来吧! 一、NTFS格式是安全基础 默认情况下,U盘的磁盘格式都为FAT,而我们只要把它转化为NTFS格式,就可使U盘也可以使用NTFS下的权限、配额等安全设置了。转换方法很简单,只要在插入U盘后,在“运行”对话框中输入“convert j: /fs:NTFS /x”命令(这里“j:”是本机U盘的盘符,“/x”表示强行卸载卷),回车后就能在资源管理器中看到U盘已转化为NTFS分区。接下来,我们就可在此基础上打造各具安全特色的U盘了。 由于NTFS磁盘格式的特性所限,16MB容量的U盘是无法完成转换的。而如果使用Convert命令时提示无法转换,那么可先将U盘拔下,重新插入后再执行命令即可。 二、我的U盘会认人 U盘上都有只读切换开关,它可使U盘变为只读,从而更好的保护U盘资料。不过这个路人皆知的方法显然无法全面保护U盘内的资料,现在借助NTFS的权限功能,我们来打造一款真正安全的只读U盘。 打开“我的电脑”,单击菜单栏中的“工具→文件夹选项→查看”命令,去除“高级设置”选项下“简单文件共享”的选中状态。现在,右击U盘选择“属性”,在打开的窗口中转到“安全”选项卡,将“组和用户列表”下Everyone的权限设置为“只读”、“读取和运行”、“列出文件夹目录”,然后单击“添加”将自己使用的帐户名(本例为LCR)添加到“组和用户”列表中,并设置权限为“完全控制”。 好了,现在单击确定后退出,你会发现U盘除了自己外,其他人都无法再向U盘内写入或删除任何文件,这样一个只读U盘便打造成功了。因为每个用户都拥有“读取和运行”权限,所以该U盘并不会妨碍到其他人的使用 (但只能读,而且由于所有权的原因,即使将U盘拿到其它电脑上使用,也是无法更改权限的)。 如果是你的Windows XP系统打了最新的SP2补丁,那么可依次展开注册表的“HKEY_LOCAL_ MACHINE\SYSTEM\CurrentControlSet \Control”子键,然后在该分支下新建一个名为“StorageDevice Policies”的子项。接着在右侧窗口中新建一个名为“WriteProtect”的DWORD值,并设置其值为“1”。如此也可使U盘变为只读,自己使用时则将该键值删除。不过这个设置是对本机所有用户生效的,无法像NTFS权限一样进行灵活细致的权限设置。 三、我的U盘“六亲不认” 为了使U盘更安全,我们还可将U盘打造的“六亲不认”。基本操作同上,在“安全”选项卡窗口中,将所有用户都删除,这样U盘插到任何一台电脑上都无法使用。而因为权限设置是保存在U盘和系统的帐户中的,所以如果自己要访问如此设置的U盘时,在不同电脑上就还需要进行不同的设置操作。 1.在本机上使用。虽然没有任何用户可以访问,但是本机系统管理员可有更改权限,因此可以系统管理员的身份登录,即可打开“安全”选项,并将自己的帐户添加到用户列表中(权限为完全控制),从而达到对U盘进行操作的目的。 2.在其它电脑上使用。访问U盘必须先取得所有权,以系统管理员的身份登录其它电脑后,这时插入U盘系统会提示你无法访问U盘,但可以更改U盘所有权。同上,打开“安全”选项卡后,单击“高级”,在弹出窗口单击“所有者”选项卡,将所有者更改为当前用户LCR,然后将权限设置为“完全控制”即可。 如果你的U盘使用的是FAT分区,那么也有方法实现在本机禁止使用U盘。方法是展开注册表的“HKEY_LOCAL_MACHINE\  SYSTEM\CurrentControlSet\Services\USBSTOR”子键,然后将右侧窗口中的“Start”值,更改为“4”。这样当U盘插入电脑时,系统就不会提示发现新硬件,自然也就无法使用U盘了。在自己使用时,将键值更改回去即可,如此便能防止它人在我们的电脑上使用U盘。 四、U盘写入容量我控制 上述方法似乎有些太过绝对,在很多时候我们的U盘还是会经常借给他人使用。所以最好还是通过设置,使其他人只能对一定的磁盘容量进行操作会比较好,现在我们就利用NTFS磁盘配额来实现。同上,在U盘的属性窗口中选择“配额”选项卡,勾选“启用配额管理”和“拒绝将磁盘空间给超过配额限制的用户”两项。单击“配额项”,在弹出窗口中单击“配额→新建配额项”,接着按提示为本机或本网络其它用户设置相应的配额项。这样,当本机其他用户要在本机使用这个U盘时,其所能使用的空间就是我们在配额项中所限制的容量。 上述配额限制操作只能在

02
领券