Linux 安全优化之临时目录
发布网友
发布时间：2024-10-02 12:05
共1个回答
热心网友
时间：2024-11-06 04:40
/etc/fstab文件用于存放文件系统的静态信息，位于/etc目录下，通过命令`less /etc/fstab`查看内容。若需修改，使用命令`vi /etc/fstab`进行操作。在系统启动时，会自动读取此文件信息并挂载指定的文件系统。
对于 /tmp 的安全设置，如果它是一个独立的磁盘分区，只需在 `/etc/fstab` 文件中修改挂载属性，加入`nosuid, noexec, nodev`三个选项。这将阻止任何suid程序，禁用在该分区执行脚本等程序，且不存在设备文件。完成属性设置后，重新挂载分区，确保设置生效。
参数解释如下：`nosuid`表示不允许任何suid程序运行，`noexec`禁止执行任何脚本等程序，`nodev`则不存在设备文件。
如果 /tmp 是根目录下的一个目录，可以通过创建一个loopback文件系统来利用Linux内核的loopback特性将其挂载到/tmp下，并在挂载时指定限制加载选项。一个简单的操作示例如下：`dd`用于复制文件并对原文件内容进行转换和格式化处理，`mke2fs`创建ext2/ext3/ext4文件系统，`cp`用于复制文件，`mount`用于挂载文件系统，`chmod`用于变更文件或目录权限。
编辑 `/etc/fstab`，添加内容以实现自动加载loopback文件系统。
为了验证挂载时指定限制加载选项是否生效，可以在 /tmp 分区创建一个测试文件。测试结果会显示虽然具有执行权限，但在 /tmp 下无法执行任何文件。
对于 /var/tmp 的安全设置，如果是独立的磁盘分区，与 /tmp 的设置方法相同。如果是 /var 下的一个目录，则可以将 /var/tmp 下的所有数据移动到 /tmp 分区，并在 /var 下创建指向 /tmp 的软连接。
特别值得注意的是 /dev/shm，这是Linux下的一个共享内存设备，在启动时默认加载。使用的是 tmpfs 文件系统，存储在 tmpfs 文件系统中的数据会完全驻留在RAM中，这将非常危险。因此，确保 /dev/shm 安全至关重要。
对于 /dev/shm 的安全设置，可以通过修改 `/etc/fstab` 文件设置，限制任何suid程序，并限制/dev/shm的可执行权限，从而进一步提升系统安全性。
在修改 `/etc/fstab` 后，若系统启动过程中出现提示需要输入root密码进行维护，但发现所有文件系统变为只读，无法进行存盘操作。这时，可以使用命令进行修改。
