CentOS7-InitializeSecurity
CentOS7-InitializeSecurity.sh
#!/bin/bash
#
# @Author: liyanjing，@E-mail: [email protected], @wechat: Sd-LiYanJing
# @CreateTime: 2022-10-18 10:30 , @Last ModifiedTime: 2022-12-03 13:50
# @Github: https://github.com/919927181/linux-initialization.git
# @Version: 3.6
# @用途：适用于企业内部 CentOS7 系列服务器初始化、系统安全加固
# @参考：https://github.com/WeiyiGeek/SecOpsDev/tree/master/OS-%E6%93%8D%E4%BD%9C%E7%B3%BB%E7%BB%9F/Linux
# @问题：若设置了用户登陆超时，需要执行 source /etc/profile时，报错 -bash: TMOUT: readonly variable，解决 vi /etc/profile将#export TMOUT #readonly TMOUT 注释掉。
## ----------------------------------------- ##
# @包含：
#
# [0] 创建SWAP交换分区(默认2G)
# [1] 设置网卡静态IP和DNS(按引导输入ip\子网掩码\默认网关)
# + <11> 全局配置DNS
# + <12> 判断能不能上网
# [2] 在线设置国内yum源，在线yum安装常用软件（htop\ncdu比du性能强\...）
# [3] 系统优化、安全加固等一键设置：
# + <31> 系统的最大文件打开数限制，系统内核参数优化(含关闭ipv6)
# + <32> 时区设置为东8区
# + <33> 禁用ctrl+alt+del重启系统、定义回收站目录等
# + < > 系统安全加固(等保三级-操作系统检查项)如下：
# ++ <35> 用户口令策略(密码过期90天、到期前15天提示、密码长度至少15等)
# ++ <36> GRUB 安全设置
# ++ <37> ssh安全加固设置
# ++ <38> 设置或恢复重要目录和文件的权限
# ++ <39> 开启防火墙、禁用SELINUX等更多设置，然后重启主机
# [4] 更改ssh端口号(等保要求不使用22端口，缺省时改为40107)
# [5] 创建一个拥有管理权限的普通用户(uudocker)，执行sodu命令时需要输入密码
# [6] 禁止或允许root用户远程登陆(等保要求禁止root远程登陆,正解:普通用户登陆后su root）
# [7] 强制用户在下次登录时更改密码
# [8] 使用Chrony配置主机时间同步(根据环境需要，可选项)
# [9] 禁用与设置系统中的某些服务(根据环境需要，可选项)
# [10] 清空回收站内容 and 询问你删除回收站功能吗？（执行rm误删时，它可拯救你）
#
# 以下脚本，仅供参考：
# Os_Kernel_Upgrade 推荐"离线升级系统内核"
# disk_Lvsmanager 磁盘LVS逻辑卷添加与配置\033[32m
## --------------------------------------------- ##
#
## 全局变量定义
SSH_PORT=40107
# 创建拥有管理权限的普通用户名
user_name="uudocker"
# 用户密码，注意特殊字符问题，单引号中的任何字符都只当作是普通字符
user_passwd='zRM8B%Ka!5Fh%Out'
group_name="docker"
# [SNMP配置]
SNMP_user=liyanjing
SNMP_group=group_snmp
SNMP_view=view_snmp
# 密码 dont use public
SNMP_password='110.c0m'
SNMP_ip=127.0.0.1
# [备份目录]
BACKUPDIR=/data/back/system
if [ ! -d ${BACKUPDIR} ];then mkdir -vp ${BACKUPDIR}; fi
# [记录目录]
HISDIR=/var/log/.history
if [ ! -d ${HISDIR} ];then mkdir -vp ${HISDIR}; fi
EXEC_TIME=$(date +%Y%m%d-%m%S)
## 公共方法-全局Log信息打印函数
## 参数: $@
log_err() {
printf "[$(date +'%Y-%m-%dT%H:%M:%S')]: \033[31mERROR: $@ \033[0m\n"
}
log_info() {
printf "[$(date +'%Y-%m-%dT%H:%M:%S')]: \033[32mINFO: $@ \033[0m\n"
}
log_warning() {
printf "[$(date +'%Y-%m-%dT%H:%M:%S')]: \033[33mWARNING: $@ \033[0m\n"
sleep 5
}
## 公共方法-验证否为数字
function isValidNum() {
local num=$1
local ret=1
if [ "$num" -gt 0 ] 2>/dev/null ;then
echo "$num is number."
ret=0
else
echo "$num not a number!"
ret=1
fi
return $ret
}
## 公共方法-校验IP地址合法性
function isValidIp() {
local ip=$1
local ret=1
if [[ $ip =~ ^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}.[0-9]{1,3}$ ]]; then
ip=(${ip//\./ }) # 按.分割，转成数组，方便下面的判断
[[ ${ip[0]} -le 255 && ${ip[1]} -le 255 && ${ip[2]} -le 255 && ${ip[3]} -le 255 ]]
ret=$?
else
echo "IP format error!"
ret=1
fi
return $ret
}
## 公共方法-检查能否上网
function internetCheck()
{
#超时时间
local timeout=1
#目标网站
local target=www.baidu.com
#获取响应状态码
local ret_code=`curl -I -s --connect-timeout ${timeout} ${target} -w %{http_code} | tail -n1`
if [ "x$ret_code" = "x200" ]; then
#网络畅通
return 1
else
#网络不畅通
return 0
fi
return 0
}
## 公共方法-设置DNS
function setDNS()
{
log_info "[-] DNS域名解析服务设置..."
# DNS服务器地址
DNSIP=("114.114.114.114" "223.5.5.5" "8.8.8.8" "8.8.4.4" )
cp -a /etc/resolv.conf ${BACKUPDIR}/resolv.conf.bak
for dns in ${DNSIP[@]};do
egrep -q "^nameserver .*${dns}$" /etc/resolv.conf && sed -ri "s/^nameserver.*${dns}$/nameserver ${dns}/" /etc/resolv.conf || echo "nameserver ${dns}" >> /etc/resolv.conf
done
log_info "[*] restarting Network........."
service network restart && ip addr
log_warning "\nDNS域名解析服务设置完毕，请ping下百度试试吧...";
}
## 名称: Os_Swap
## 用途: Liunx 系统创建SWAP交换分区(默认2G) ，无论物理内存多大，都统一设置成2G即可 - 请按需调用执行
## 参数: $1(几G)
Os_Swap() {
# 创建虚拟分区文件
if [ -e $1 ];then
sudo dd if=/dev/zero of=/var/swap bs=1024 count=2048000 # 2G Swap 分区 1024 * 1024 , centos 以 1000 为标准
else
number=$(echo "${1}*1024*1024"|bc)
sudo dd if=/dev/zero of=/swapfile bs=1024 count=${number}
fi
# 启用swap
sudo mkswap /var/swap && mkswap -f /var/swap && sudo swapon /var/swap
# 设置swap文件永久有效
if [ $(grep -c "/var/swap" /etc/fstab) -eq 0 ];then
sudo tee -a /etc/fstab <<'EOF'
/var/swap swap swap default 0 0
EOF
fi
sudo swapon --show && sudo free -h
}
## 名称: Os_YumSource_Aliyun
## 用途: 设置yum阿里源。设置yum源的三种方式：本地源、阿里云在线yum源和远程访问yum源
## 参数: 无
Os_YumSource_Aliyun() {
log_info "[*] CentOS 软件仓库镜像源配置&&初始化更新... "
internetCheck
if [ $? -eq 0 ];then echo -e "\033[31m主机无法上网，请检查网络设置！\n\033[0m" && exit 2; fi
mkdir -p /etc/yum.repos.d/back
cp -a /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/back/CentOS-Base.repo
curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
curl -o /etc/yum.repos.d/CentOS-epel.repo http://mirrors.aliyun.com/repo/epel-7.repo
sed -i "s#mirrors.cloud.aliyuncs.com#mirrors.aliyun.com#g" /etc/yum.repos.d/CentOS-Base.repo
sed -i "s#mirrors.aliyuncs.com#mirrors.aliyun.com#g" /etc/yum.repos.d/CentOS-Base.repo
# 代理方式设置
# curl -x 192.168.12.215:3128 -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
# tee -a /etc/yum.conf <<'EOF'
# proxy=http://192.168.12.215:3128/
# EOF
rpm --import http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7
# 清除并建立新缓存,然后更新
yum clean all && yum makecache
yum --exclude=kernel* update -y && yum upgrade -y && yum -y install epel*
}
## 名称: Os_Yum_Install_Software
## 用途: 安装常用的软件\工具
## 参数: 无
Os_Yum_Install_Software() {
# 编译软件
yum install -y gcc gcc-c++ g++ make jq libpam-cracklib openssl-devel bzip2-devel
# 常规软件
yum install -y nano vim git unzip wget ntpdate dos2unix net-tools policycoreutils-python
yum install -y tree htop ncdu nload sysstat psmisc bash-completion fail2ban nfs-utils chrony lsof
# 清空缓存和已下载安装的软件包
yum clean all
log_info "[*] Software configure modifiy successful!Please Happy use........."
}
## 名称: Os_Optimizationn
## 用途: 操作系统优化设置(内核参数)
## 参数: 无
Os_Optimizationn() {
log_info "[-] 正在进行操作系统内核参数优化设置......."
# (1) Linux 系统的最大进程数和最大文件打开数限制
# 修改用户级的限制，先删除掉以前设置的，然后再在# End 上面增加以下内容
sed -i '/^*/d' /etc/security/limits.conf
sed -i "/# End/i * soft nofile 102400" /etc/security/limits.conf
sed -i "/# End/i * hard nofile 102400" /etc/security/limits.conf
sed -i "/# End/i * soft nproc 102400" /etc/security/limits.conf
sed -i "/# End/i * hard nproc 102400" /etc/security/limits.conf
# (2) 系统内核参数的配置
log_info "[-] 系统内核参数的配置 "
# sysctl -p报错 sysctl: nf_conntrack_xxxx: No such file or directory
conntrack_str=$(lsmod | grep conntrack)
if [[ "$conntrack_str" = "" ]]; then
modprobe ip_conntrack
fi
cat > /etc/sysctl.d/99-sysctl.conf << EOF
# sysctl settings are defined through files in
# /usr/lib/sysctl.d/, /run/sysctl.d/, and /etc/sysctl.d/.
#
# Vendors settings live in /usr/lib/sysctl.d/.
# To override a whole file, create a new file with the same in
# /etc/sysctl.d/ and put new settings there. To override
# only specific settings, add a file with a lexically later
# name in /etc/sysctl.d/ and put new settings there.
#
# For more information, see sysctl.conf(5) and sysctl.d(5).
#inotify的watch数量，默认值8192
fs.inotify.max_user_watches=8192000
#aio最大值，默认值65536
fs.aio-max-nr=1048576
#系统级别的打开文件描述符的最大值，默认值98529，是指所有进程的最大文件打开数
fs.file-max = 1048575
#单用户进程最大文件打开数
fs.nr_open = 1048575
#关sysrq功能
kernel.sysrq = 0
#core文件名添加pid作为扩展名
kernel.core_uses_pid = 1
#修改消息队列长度
kernel.msgmnb = 65536
kernel.msgmax = 65536
#设置最大内存共享段大小bytes
kernel.shmmax = 68719476736
kernel.shmall = 4294967296
#centos7上默认值是30，在Centos6上是60,当内存使用100-10=90%，就开始出现有交换分区的使用
vm.swappiness=10
net.ipv4.tcp_max_tw_buckets = 6000
net.ipv4.tcp_sack = 1
net.ipv4.tcp_window_scaling = 1
#内核分配给TCP连接的内存，单位是Page，1 Page = 4096 Bytes，4KB，可用命令# getconf PAGESIZE 查看
#8T内存机器，建议用以下参数：
#net.ipv4.tcp_mem = 94500000 915000000 927000000
#第一个数字表示，当 tcp 使用的 page 少于 94500000 时，kernel 不对其进行任何的干预，建议=系统内存*50%*50%
#第二个数字表示，当 tcp 使用了超过 915000000 的 pages 时，kernel 会进入 “memory pressure” 压力模式，建议=系统内存*50%*70%
#第三个数字表示，当 tcp 使用的 pages 超过 927000000 时（相当于3536GB内存），就会报：Out of socket memory,建议=系统内存的50%
#8GB内存机器，TCP连接最多约使用4GB内存），524288*4096/1024/1024/104=2GB,2.7GB,4GB，建议用以下参数：
#net.ipv4.tcp_mem = 524288 699050 1048576
#256GB内存机器，TCP连接最多约使用128GB内存，建议用以下参数：
net.ipv4.tcp_mem = 16777216 22369600 33554432
#为每个TCP连接分配的读、写缓冲区内存大小，单位是Byte
#4GB，TCP内存能容纳的连接数，约为 4096MB/16KB = 256K = 26万
#48GB，TCP内存能容纳的连接数约为300万
net.ipv4.tcp_rmem = 10240 87380 12582912
net.ipv4.tcp_wmem = 10240 87380 12582912
net.core.wmem_default = 8388608
net.core.rmem_default = 8388608
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.core.somaxconn = 262144
#每个网络接口接收数据包速率比内核处理这些包的速率快时,允许送到队列数据包的最大数目,网络设备的收发包的队列大小
net.core.netdev_max_backlog = 262144
#最大孤儿套接字(orphan sockets)数，单位是个，每个孤儿socket占用64KB空间
#注意：当cat /proc/net/sockstat看到的orphans数量达到net.ipv4.tcp_max_orphans的约一半时，就会报：Out of socket memory
#每个孤儿socket可占用多达64KB内存，此时占用内存 3276800/2*64KB/1024=102400MB=100GB
net.ipv4.tcp_max_orphans = 3276800
#未收到客户端确认信息的连接请求最大值
net.ipv4.tcp_max_syn_backlog = 262144
net.ipv4.tcp_timestamps = 0
#内核放弃建立连接之前发送SYNACK包数量
net.ipv4.tcp_synack_retries = 1
#内核放弃建立连接之前发送SYN包数量
net.ipv4.tcp_syn_retries = 1
#开SYN洪水攻击保护,防范DDOS攻击，防止SYN队列被占满
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_fin_timeout = 1
##keepalive启用时，TCP发送keepalive消息的频度缺省是2小时
##nginx做反向代理，为了快速释放链接，超时时间配置短一些，这样可以处理更高的并发。但是如果供tomcat、数据库等服务的话，就要配置长一些，来达到稳定的效果
##tcp空闲连接保持1200秒（20分钟），然后经过 3次探测 * 30秒后被丢弃
net.ipv4.tcp_keepalive_time = 1200
net.ipv4.tcp_keepalive_intvl= 30
net.ipv4.tcp_keepalive_probes= 3
#允许系统打开端口范围，默认是32768 61000，则只能发起2w多连接，改成以下，一个IP可发起差不多6.4w连接。
net.ipv4.ip_local_port_range = 1024 65000
#修改防火墙的表大小默认65536
net.netfilter.nf_conntrack_max = 655350
net.netfilter.nf_conntrack_tcp_timeout_established = 1200
#避免放大攻击
net.ipv4.icmp_echo_ignore_broadcasts = 1
#开启恶意的icmp错误消息保护
net.ipv4.icmp_ignore_bogus_error_responses = 1
#开启路由转发
net.ipv4.ip_forward = 1
#关闭反向路径过滤
net.ipv4.conf.all.rp_filter = 0
net.ipv4.conf.default.rp_filter = 0
#处理无源路由的包
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
#关闭ipv6
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1
EOF
# 使其永久生效
sysctl -p /etc/sysctl.d/99-sysctl.conf
# (3) 禁用ipv6
log_info "[-] 禁用ipv6... "
sed -i 's/GRUB_CMDLINE_LINUX="/GRUB_CMDLINE_LINUX="ipv6.disable=1 /g' /etc/default/grub
# 重新生成grub.cfg文件
grub2-mkconfig -o /boot/grub2/grub.cfg
sed -i 's/::/#::/g' /etc/hosts
}
## 名称: Os_TimedataZone
## 用途: 操作系统系统时间时区配置相关脚本
## 参数: 无
Os_TimedataZone() {
log_info "[*] 系统时间时区配置相关脚本,开始执行..."
# (1) 时区设置东8区，date -R查看系统时间
log_info "[*] 时区设置前的时间: $(date -R) "
timedatectl set-timezone Asia/Shanghai
echo 'Asia/Shanghai' >/etc/timezone
timedatectl set-local-rtc 1
}
## 名称: Os_HostTimeSync_Chrony
## 用途: 主机间的时间同步，时间不一致会导致很多重要应用的故障。chrony既可作时间服务器服务端，也可作客户端。
## 参数: 无
Os_HostTimeSync_Chrony() {
log_info "[*] 主机的时间同步，使用chrony,开始执行....."
time_server_ip_1=192.168.0.254
time_server_ip_2=192.168.10.254
read -r -p " The time server IP is 192.168.0.254? If not, please enter? [Y/n] " input_yn
case $input_yn in
[yY][eE][sS]|[yY])
echo -e "\033[32mYes, continue...\033[0m"
;;
[nN][oO]|[nN])
while true; do
read -p "请输入时间服务器-1的Ip：" time_server_ip_1
isValidIp ${time_server_ip_1}
[ $? -eq 0 ] && break
done
while true; do
read -p "请输入时间服务器-2的Ip：" time_server_ip_2
isValidIp ${time_server_ip_2}
[ $? -eq 0 ] && break
done
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
# (1) 时间同步软件安装
systemctl status chronyd || yum -y install chrony
grep -q "${time_server_ip_1}" /etc/chrony.conf || sudo tee -a /etc/chrony.conf <<'EOF'
pool ${time_server_ip_1} iburst maxsources 1
pool ${time_server_ip_2} iburst maxsources 1
pool ntp.aliyun.com iburst maxsources 4
keyfile /etc/chrony.keys
driftfile /var/lib/chrony/chrony.drift
logdir /var/log/chrony
maxupdateskew 100.0
rtcsync
makestep 1.0 3
#stratumweight 0.05
#noclientlog
#logchange 0.5
EOF
systemctl enable chronyd && systemctl restart chronyd && systemctl status chronyd -l
# 将当前的 UTC 时间写入硬件时钟 (硬件时间默认为UTC),运行命令timedatectl set-local-rtc 0，关闭硬件时钟校时
sudo timedatectl set-local-rtc 0
# 启用NTP时间同步：
timedatectl set-ntp yes
# 时间服务器连接查看
chronyc tracking
# 手动校准-强制更新时间
# chronyc -a makestep
# 硬件时钟(系统时钟同步硬件时钟 )
hwclock --systohc
# 备用方案: 采用 ntpdate 进行时间同步 ntpdate 192.168.10.254
# (2) 重启依赖于系统时间的服务
sudo systemctl restart rsyslog.service crond.service
log_info "[*] Tie confmigure modifiy successful! restarting chronyd rsyslog.service crond.service........."
timedatectl
}
## 名称: Os_Security_UserPwd
## 用途: 操作系统安全加固配置脚本(符合等保要求-三级要求)-1-用户密码策略
## 参数: 无
Os_Security_UserPwd () {
log_info "[-] 操作系统安全加固配置(符合等保要求-三级要求)-1..."
# (0) 系统用户及其终端核查配置
log_info "[-] 锁定或者删除多余的系统账户以及创建低权限用户"
# cat /etc/passwd | cut -d ":" -f 1 | tr '\n' ' '
defaultuser=(root bin daemon adm lp sync shutdown halt mail operator games ftp nobody systemd-network dbus polkitd sshd postfix chrony ntp rpc rpcuser nfsnobody)
for i in $(cat /etc/passwd | cut -d ":" -f 1,7);do
flag=0; name=${i%%:*}; terminal=${i##*:}
if [[ "${terminal}" == "/bin/bash" || "${terminal}" == "/bin/sh" ]];then
log_warning "用户${i} ，shell终端为 /bin/bash 或者 /bin/sh"
fi
for j in ${defaultuser[@]};do
if [[ "${name}" == "${j}" ]];then
flag=1
break;
fi
done
if [[ $flag -eq 0 ]];then
log_warning "${i} 非默认用户"
fi
done
#用户的密码文件：/etc/shadow
cp -a /etc/shadow /${BACKUPDIR}/shadow-${EXEC_TIME}.bak
# -l锁定用户的密码使其不能被更改，-u 解锁
passwd -l adm&>/dev/null 2&>/dev/null; passwd -l daemon&>/dev/null 2&>/dev/null; passwd -l bin&>/dev/null 2&>/dev/null; passwd -l sys&>/dev/null 2&>/dev/null; passwd -l lp&>/dev/null 2&>/dev/null; passwd -l uucp&>/dev/null 2&>/dev/null; passwd -l nuucp&>/dev/null 2&>/dev/null; passwd -l smmsplp&>/dev/null 2&>/dev/null; passwd -l mail&>/dev/null 2&>/dev/null; passwd -l operator&>/dev/null 2&>/dev/null; passwd -l games&>/dev/null 2&>/dev/null; passwd -l gopher&>/dev/null 2&>/dev/null; passwd -l ftp&>/dev/null 2&>/dev/null; passwd -l nobody&>/dev/null 2&>/dev/null; passwd -l nobody4&>/dev/null 2&>/dev/null; passwd -l noaccess&>/dev/null 2&>/dev/null; passwd -l listen&>/dev/null 2&>/dev/null; passwd -l webservd&>/dev/null 2&>/dev/null; passwd -l rpm&>/dev/null 2&>/dev/null; passwd -l dbus&>/dev/null 2&>/dev/null; passwd -l avahi&>/dev/null 2&>/dev/null; passwd -l mailnull&>/dev/null 2&>/dev/null; passwd -l nscd&>/dev/null 2&>/dev/null; passwd -l vcsa&>/dev/null 2&>/dev/null; passwd -l rpc&>/dev/null 2&>/dev/null; passwd -l rpcuser&>/dev/null 2&>/dev/null; passwd -l nfs&>/dev/null 2&>/dev/null; passwd -l sshd&>/dev/null 2&>/dev/null; passwd -l pcap&>/dev/null 2&>/dev/null; passwd -l ntp&>/dev/null 2&>/dev/null; passwd -l haldaemon&>/dev/null 2&>/dev/null; passwd -l distcache&>/dev/null 2&>/dev/null; passwd -l webalizer&>/dev/null 2&>/dev/null; passwd -l squid&>/dev/null 2&>/dev/null; passwd -l xfs&>/dev/null 2&>/dev/null; passwd -l gdm&>/dev/null 2&>/dev/null; passwd -l sabayon&>/dev/null 2&>/dev/null; passwd -l named&>/dev/null 2&>/dev/null
# (2) 口令策略设置
log_info "[-] 用户口令复杂性策略设置 (密码过期周期0~90、到期前15天提示、密码长度至少15、复杂度设置至少有一个大小写、数字、特殊字符、密码三次不能一样、尝试次数为三次)"
# 相关修改文件备份
cp /etc/login.defs ${BACKUPDIR}/login.defs.bak;
cp /etc/pam.d/password-auth ${BACKUPDIR}/password-auth.bak
cp /etc/pam.d/system-auth ${BACKUPDIR}/system-auth.bak
egrep -q "^\s*PASS_MIN_DAYS\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)PASS_MIN_DAYS\s+\S*(\s*#.*)?\s*$/\PASS_MIN_DAYS 0/" /etc/login.defs || echo "PASS_MIN_DAYS 0" >> /etc/login.defs
egrep -q "^\s*PASS_MAX_DAYS\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)PASS_MAX_DAYS\s+\S*(\s*#.*)?\s*$/\PASS_MAX_DAYS 90/" /etc/login.defs || echo "PASS_MAX_DAYS 90" >> /etc/login.defs
egrep -q "^\s*PASS_WARN_AGE\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)PASS_WARN_AGE\s+\S*(\s*#.*)?\s*$/\PASS_WARN_AGE 15/" /etc/login.defs || echo "PASS_WARN_AGE 15" >> /etc/login.defs
egrep -q "^\s*PASS_MIN_LEN\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)PASS_MIN_LEN\s+\S*(\s*#.*)?\s*$/\PASS_MIN_LEN 15/" /etc/login.defs || echo "PASS_MIN_LEN 15" >> /etc/login.defs
egrep -q "^password\s.+pam_pwquality.so\s+\w+.*$" /etc/pam.d/password-auth && sed -ri '/^password\s.+pam_pwquality.so/{s/pam_pwquality.so\s+\w+.*$/pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=15 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 difok=1 enforce_for_root/g;}' /etc/pam.d/password-auth
egrep -q "^password\s.+pam_unix.so\s+\w+.*$" /etc/pam.d/password-auth && sed -ri '/^password\s.+pam_unix.so/{s/pam_unix.so\s+\w+.*$/pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=3/g;}' /etc/pam.d/password-auth
egrep -q "^password\s.+pam_pwquality.so\s+\w+.*$" /etc/pam.d/system-auth && sed -ri '/^password\s.+pam_pwquality.so/{s/pam_pwquality.so\s+\w+.*$/pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=15 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 difok=1 enforce_for_root/g;}' /etc/pam.d/system-auth
egrep -q "^password\s.+pam_unix.so\s+\w+.*$" /etc/pam.d/system-auth && sed -ri '/^password\s.+pam_unix.so/{s/pam_unix.so\s+\w+.*$/pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=3/g;}' /etc/pam.d/system-auth
log_info "[-] 存储用户密码的文件，其内容经过sha512加密，所以非常注意其权限"
# 解决首次登录配置密码时提示"passwd: Authentication token manipulation error"
touch /etc/security/opasswd && chown root:root /etc/security/opasswd && chmod 600 /etc/security/opasswd
# 此参数需要根据业务来定，否则在使用时候会出现某些权限不足导致程序安装报错
log_info "[-] 配置用户 umask 为022 "
cp -a /etc/profile ${BACKUPDIR}/profile
egrep -q "^\s*umask\s+\w+.*$" /etc/profile && sed -ri "s/^\s*umask\s+\w+.*$/umask 022/" /etc/profile || echo "umask 022" >> /etc/profile
source /etc/profile
#log_info "[-] 设置用户目录创建默认权限, (初始为077比较严格)在未设置umask为027则默认为077"
#egrep -q "^\s*umask\s+\w+.*$" /etc/csh.login && sed -ri "s/^\s*umask\s+\w+.*$/umask 022/" /etc/csh.login || echo "umask 022" >> /etc/csh.login
#egrep -q "^\s*umask\s+\w+.*$" /etc/csh.cshrc && sed -ri "s/^\s*umask\s+\w+.*$/umask 022/" /etc/csh.cshrc || echo "umask 022" >> /etc/csh.cshrc
}
## 名称: Os_Security_Grub
## 用途: 操作系统安全加固配置脚本(符合等保要求-三级要求)-2-grub
## 参数: 无
Os_Security_Grub () {
# grub是一个用于加载和管理系统启动的完整程序,是一种引导程序;它是计算机启动时运行的第一个软件,会加载操作系统的内核,再由内核初始化操作系统的其他部分。
# (8) GRUB 安全设置
log_info "[-] 系统 GRUB 安全设置(防止物理接触从grub菜单中修改密码) "
# Grub 关键文件备份
cp -a /etc/grub.d/00_header ${BACKUPDIR}/'00_header'${EXEC_TIME}.bak
cp -a /etc/grub.d/10_linux ${BACKUPDIR}/'10_linux'${EXEC_TIME}.bak
# 设置Grub菜单界面显示时间
sed -i -e 's|set timeout_style=${style}|#set timeout_style=${style}|g' -e 's|set timeout=${timeout}|set timeout=3|g' /etc/grub.d/00_header
# sed -i -e 's|GRUB_TIMEOUT_STYLE=hidden|#GRUB_TIMEOUT_STYLE=hidden|g' -e 's|GRUB_TIMEOUT=0|GRUB_TIMEOUT=3|g' /etc/default/grub
# grub 用户认证密码创建
#sudo grub2-mkpasswd-pbkdf2
# 输入口令：
# Reeter password:n
# PBKDF2 hash of your password is grub.pbkdf2.sha512.10000.D3A42D2E24A2B2A62CFAB435890840E868088982B3B5EA14FB5F62BC5F0DF6E267CF1D42950A710A2539B4EA0E1D08569928427243E61E063DF2CEF34A571E6B.E7360FF876927678BD33348531B493039D9606062F7A4D9D722BDE94FF26A4B7D2B62AFDDA3F7D47EFDF46623DEAC547733B24E98630FE3961BEDA9257BAEA95
# 设置认证用户和密钥（使用grub2-mkpasswd-pbkdf2生成密钥，口令为Liyanjing）
tee -a /etc/grub.d/00_header <<'END'
cat <<'EOF'
# GRUB Authentication
set superusers="grub"
password_pbkdf2 grub grub.pbkdf2.sha512.10000.D3A42D2E24A2B2A62CFAB435890840E868088982B3B5EA14FB5F62BC5F0DF6E267CF1D42950A710A2539B4EA0E1D08569928427243E61E063DF2CEF34A571E6B.E7360FF876927678BD33348531B493039D9606062F7A4D9D722BDE94FF26A4B7D2B62AFDDA3F7D47EFDF46623DEAC547733B24E98630FE3961BEDA9257BAEA95
EOF
END
# 设置进入正式系统不需要认证如进入单用户模式进行重置账号密码时需要进行认证。 （高敏感数据库系统不建议下述操作）
# 在 135 加入 -unrestricted ，例如, 此处与Ubuntu不同的是不加--user=grub
# 133 echo "menuentry $(echo "$title" | grub_quote)' ${CLASS} \$menuentry_id_option 'gnulinux-$version-$type- $boot_device_id' {" | sed "s/^/$submenu_indentation/"
# 134 else
# 135 echo "menuentry --unrestricted '$(echo "$os" | grub_quote)' ${CLASS} \$menuentry_id_option 'gnulinux-simple-$boot_devic e_id' {" | sed "s/^/$submenu_indentation/"
sed -i '/echo "$title" | grub_quote/ { s/menuentry /menuentry /;}' /etc/grub.d/10_linux
sed -i '/echo "$os" | grub_quote/ { s/menuentry /menuentry --unrestricted /;}' /etc/grub.d/10_linux
# CentOS 方式更新GRUB从而生成boot启动文件
grub2-mkconfig -o /boot/grub2/grub.cfg
}
## 名称: Os_Security_Ssh
## 用途: 操作系统安全加固配置脚本(符合等保要求-三级要求)-3-ssh安全加固设置
## 参数: 无
Os_Security_Ssh () {
# (4) SSHD 服务安全加固设置以及网络登陆Banner设置
log_info "[-] sshd 服务安全加固设置"
cp /etc/ssh/sshd_config ${BACKUPDIR}/sshd_config.bak
# 严格模式
sudo egrep -q "^\s*StrictModes\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*StrictModes\s+.+$/StrictModes yes/" /etc/ssh/sshd_config || echo "StrictModes yes" >> /etc/ssh/sshd_config
# 禁用X11转发以及端口转发
sudo egrep -q "^\s*X11Forwarding\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*X11Forwarding\s+.+$/X11Forwarding no/" /etc/ssh/sshd_config || echo "X11Forwarding no" >> /etc/ssh/sshd_config
sudo egrep -q "^\s*X11UseLocalhost\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*X11UseLocalhost\s+.+$/X11UseLocalhost yes/" /etc/ssh/sshd_config || echo "X11UseLocalhost yes" >> /etc/ssh/sshd_config
sudo egrep -q "^\s*AllowTcpForwarding\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*AllowTcpForwarding\s+.+$/AllowTcpForwarding no/" /etc/ssh/sshd_config || echo "AllowTcpForwarding no" >> /etc/ssh/sshd_config
sudo egrep -q "^\s*AllowAgentForwarding\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*AllowAgentForwarding\s+.+$/AllowAgentForwarding no/" /etc/ssh/sshd_config || echo "AllowAgentForwarding no" >> /etc/ssh/sshd_config
# 关闭禁用用户的 .rhosts 文件 ~/.ssh/.rhosts 来做为认证: 缺省IgnoreRhosts yes
egrep -q "^(#)?\s*IgnoreRhosts\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^(#)?\s*IgnoreRhosts\s+.+$/IgnoreRhosts yes/" /etc/ssh/sshd_config || echo "IgnoreRhosts yes" >> /etc/ssh/sshd_config
# 登陆前后欢迎提示设置
egrep -q "^\s*(banner|Banner)\s+\W+.*$" /etc/ssh/sshd_config && sed -ri "s/^\s*(banner|Banner)\s+\W+.*$/Banner \/etc\/issue/" /etc/ssh/sshd_config || \
echo "Banner /etc/issue" >> /etc/ssh/sshd_config
log_info "[-] 远程SSH登录前后提示警告Banner设置"
# SSH登录前后提示警告Banner设置
sudo tee /etc/issue <<'EOF'
******************* [ 安全登陆 (Security Login) ] *******************
您的所有活动都将被安全中心监控和报告.
All activities will be monitored and reported by the security center.
EOF
# SSH登录后提示Banner
# 艺术字B格: http://www.network-science.de/ascii/
sudo tee /etc/motd <<'EOF'
################## [ 安全运维 (Security Operation) ] ##################
_ _ _ _
| | (_)_ _ __ _ _ _ _ | (_)_ _ __ _
| |__| | || / _` | ' \ || | | ' \/ _` |
|____|_|\_, \__,_|_||_\__/|_|_||_\__, |
|__/ |___/
※ 不用22/3306/6379/等高危默认端口, 不对 Internet 开放; 密码设置足够强壮.
※ WEB应用上线前须做安全渗透测试; 系统/软件/等定期打补丁.
※ 跳板机尽量将SSH限制IP在最小化范围内.
登录成功, 请仔细执行命令和操作数据.
Login success. Please execute the command and operation data carefully.
EOF
# (5) 用户远程登录失败次数与终端超时设置
log_info "[-] 用户远程连续登录失败10次锁定帐号5分钟包括root账号"
cp /etc/pam.d/sshd ${BACKUPDIR}/sshd.bak
cp /etc/pam.d/login ${BACKUPDIR}/login.bak
# 远程登陆
sed -ri "/^\s*auth\s+required\s+pam_tally2.so\s+.+(\s*#.*)?\s*$/d" /etc/pam.d/sshd
sed -ri '2a auth required pam_tally2.so deny=10 unlock_time=300 even_deny_root root_unlock_time=300' /etc/pam.d/sshd
# 宿主机控制台登陆(可选)
# sed -ri "/^\s*auth\s+required\s+pam_tally2.so\s+.+(\s*#.*)?\s*$/d" /etc/pam.d/login
# sed -ri '2a auth required pam_tally2.so deny=10 unlock_time=300 even_deny_root root_unlock_time=300' /etc/pam.d/login
# (6) 切换用户命令改为大写的SU,设置用户的日志记录
log_info "[-] 切换用户命令改为大写的SU，设置用户的日志记录"
cp -a /etc/rsyslog.conf ${BACKUPDIR}/rsyslog.conf-${EXEC_TIME}.bak
egrep -q "^\s*authpriv\.\*\s+.+$" /etc/rsyslog.conf && sed -ri "s/^\s*authpriv\.\*\s+.+$/authpriv.* \/var\/log\/secure/" /etc/rsyslog.conf || echo "authpriv.* /var/log/secure" >> /etc/rsyslog.conf
egrep -q "^(\s*)SULOG_FILE\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)SULOG_FILE\s+\S*(\s*#.*)?\s*$/\SULOG_FILE \/var\/log\/.history\/sulog/" /etc/login.defs || echo "SULOG_FILE /var/log/.history/sulog" >> /etc/login.defs
egrep -q "^\s*SU_NAME\s+\S*(\s*#.*)?\s*$" /etc/login.defs && sed -ri "s/^(\s*)SU_NAME\s+\S*(\s*#.*)?\s*$/\SU_NAME SU/" /etc/login.defs || echo "SU_NAME SU" >> /etc/login.defs
mkdir -vp /usr/local/bin
cp /usr/bin/su ${BACKUPDIR}/su.bak
mv /usr/bin/su /usr/bin/SU
chmod 777 ${HISDIR}
chattr -R +a ${HISDIR}
# (7) 用户终端执行的历史命令记录
log_info "[-] 保存用户终端执行的历史命令记录 "
egrep -q "^HISTSIZE\W\w+.*$" /etc/profile && sed -ri "s/^HISTSIZE\W\w+.*$/HISTSIZE=101/" /etc/profile || echo "HISTSIZE=101" >> /etc/profile
source /etc/profile
sudo tee /etc/profile.d/history-record.sh <<'EOF'
# 历史命令执行记录文件路径
LOGTIME=$(date +%Y%m%d-%H-%M-%S)
export HISTFILE="/var/log/.history/${USER}.${LOGTIME}.history"
if [ ! -f ${HISTFILE} ];then
touch ${HISTFILE}
fi
chmod 600 /var/log/.history/${USER}.${LOGTIME}.history
# 历史命令执行文件大小记录设置
HISTFILESIZE=128
HISTTIMEFORMAT="%F_%T $(whoami)#$(who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'):"
EOF
sudo chmod +775 /etc/profile.d/history-record.sh
sudo chmod a+x /etc/profile.d/history-record.sh
source /etc/profile.d/history-record.sh
log_info "[-] 关闭执行命令时提示：You have new mail in /var/spool/mail/root "
egrep -q "unset MAILCHECK" /etc/profile && sed -ri "s/unset MAILCHECK/unset MAILCHECK/" /etc/profile || echo -e "unset MAILCHECK" >> /etc/profile
source /etc/profile
ls -lth /var/spool/mail/
cat /dev/null > /var/spool/mail/root
log_info "[-] 设置登录超时时间为10分钟 "
# source /etc/profile 报错 -bash: TMOUT: readonly variable，需要打开/etc/profile将#export TMOUT #readonly TMOUT 注释掉。 环境变量readonly TMOUT防止用户更改
egrep -q "^\s*(export|)\s*TMOUT\S\w+.*$" /etc/profile && sed -ri "s/^\s*(export|)\s*TMOUT.\S\w+.*$/export TMOUT=600\nreadonly TMOUT/" /etc/profile || echo -e "export TMOUT=600\nreadonly TMOUT" >> /etc/profile
source /etc/profile
egrep -q "^\s*.*ClientAliveInterval\s\w+.*$" /etc/ssh/sshd_config && sed -ri "s/^\s*.*ClientAliveInterval\s\w+.*$/ClientAliveInterval 600/" /etc/ssh/sshd_config || echo "ClientAliveInterval 600" >> /etc/ssh/sshd_config
}
## 名称: Os_Security_FilePermissions
## 用途: 操作系统安全加固配置脚本(符合等保要求-三级要求)-4-设置或恢复文件or目录权限
## 参数: 无
Os_Security_FilePermissions () {
# (3) 设置或恢复重要目录和文件的权限
log_info "[-] 操作系统安全加固配置(符合等保要求-三级要求)-4..."
log_info "[-] 设置或恢复重要目录和文件的权限(设置日志文件非全局可写)"
chmod 755 /etc;
chmod 755 /etc/passwd;
chmod 755 /etc/shadow;
chmod 755 /etc/security;
chmod 644 /etc/group;
chmod 644 /etc/services;
chmod 750 /etc/rc*.d;
chmod 755 /var/log/messages;
chmod 775 /var/log/spooler;
chmod 775 /var/log/cron;
chmod 775 /var/log/secure;
chmod 775 /var/log/maillog;
chmod 775 /var/log/mail&>/dev/null 2&>/dev/null;
chmod 775 /var/log/localmessages&>/dev/null 2&>/dev/null
chmod 600 ~/.ssh/authorized_keys 2&>/dev/null
# 提高系统安全，更改其执行权限，解决Polkit 权限提升漏洞
chmod 0755 /usr/bin/pkexec
log_info "[-] 删除潜在威胁文件 "
find / -maxdepth 3 -name hosts.equiv | xargs rm -rf
find / -maxdepth 3 -name .netrc | xargs rm -rf
find / -maxdepth 3 -name .rhosts | xargs rm -rf
}
## 名称: Os_Security_Others
## 用途: 操作系统安全加固配置脚本(符合等保要求-三级要求)-5-更多
## 参数: 无
Os_Security_Others () {
# (9) 记录安全事件日志
log_info "[-] 记录安全事件日志"
touch /var/log/.history/adm&>/dev/null; chmod 755 /var/log/.history/adm
semanage fcontext -a -t security_t '/var/log/.history/adm'
restorecon -v '/var/log/.history/adm'&>/dev/null
egrep -q "^\s*\*\.err;kern.debug;daemon.notice\s+.+$" /etc/rsyslog.conf && sed -ri "s/^\s*\*\.err;kern.debug;daemon.notice\s+.+$/*.err;kern.debug;daemon.notice \/var\/log\/.history\/adm/" /etc/rsyslog.conf || echo "*.err;kern.debug;daemon.notice /var/log/.history/adm" >> /etc/rsyslog.conf
# (10) 配置自动屏幕锁定（适用于具备图形界面的设备）, 非图形界面不需要执行
log_info "[-] 对于有图形界面的系统配置10分钟屏幕锁定"
# gconftool-2 --direct \
# --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory \
# --type bool \
# --set /apps/gnome-screensaver/idle_activation_enabled true \
# --set /apps/gnome-screensaver/lock_enabled true \
# --type int \
# --set /apps/gnome-screensaver/idle_delay 10 \
# --type string \
# --set /apps/gnome-screensaver/mode blank-only
# (11) 启防火墙服务
log_info "[-] 开启防火墙服务..."
yum -y install firewalld
systemctl start firewalld.service
systemctl enable firewalld.service
sleep 2
# 161端口是用于“Simple Network Management Protocol”,该协议主要用于管理TCP/IP网络中的网络协议，目前，几乎所有的网络设备厂商都实现对SNMP的支持。
firewall-cmd --zone=public --add-port=161/udp --permanent
firewall-cmd --reload
sleep 3
# (12) 禁用CentOS服务器中 SELINUX
log_info "[-] 禁用SELinux，永久关闭，重启服务器生效. "
# 临时关闭"
setenforce 0
sed -i --follow-symlinks 's/SELINUX=enforcing/SELINUX=disabled/g' /etc/sysconfig/selinux
log_info "[-] \n系统将在5s后重启。"
shutdown -r -t 5
}
## 名称: Os_Operation
## 用途: 操作系统安全运维设置相关脚本
## 参数: 无
Os_Operation () {
log_info "[-] 操作系统安全运维设置相关脚本..."
# (0) 禁用ctrl+alt+del组合键对系统重启 (必须要配置,我曾入过坑)
log_info "[-] 禁用控制台ctrl+alt+del组合键重启"
mv /usr/lib/systemd/system/ctrl-alt-del.target ${BACKUPDIR}/ctrl-alt-del.target-${EXEC_TIME}.bak
# (1) 设置文件删除rm命令的别名
log_info "[-] 设置文件删除rm命令的别名(防止误删数据，不删除而是移动到回收站) "
sudo cat > /etc/profile.d/alias.sh <<EOF
# User specific aliases and functions
# 删除回收站
# find ~/.trash -delete
# 删除空目录
# find ~/.trash -type d -delete
alias rm='sh /usr/local/bin/remove.sh'
EOF
# $HOME是linux自身的变量，是当前用户的家目录变量，cd $HOME 进入当前用户的主目录
sudo tee /usr/local/bin/remove.sh <<'EOF'
#!/bin/sh
# 定义回收站文件夹目录.trash
trash="/.trash"
deltime=$(date +%Y%m%d-%H-%M-%S)
TRASH_DIR="${HOME}${trash}/${deltime}"
# 回收站目录不存在则创建
if [ ! -e ${TRASH_DIR} ];then
mkdir -p ${TRASH_DIR}
fi
for i in $*;do
if [ "$i" = "-rf" ];then continue;fi
# 防止误操作
if [ "$i" = "/" ];then echo '# Danger delete command, Not delete / directory!';exit -1;fi
#定义秒时间戳
STAMP=$(date +%s)
#得到文件名称(非文件夹)，参考man basename
fileName=$(basename $i)
#将输入的参数，对应文件mv至.trash目录，文件后缀，为当前的时间戳
mv $i ${TRASH_DIR}/${fileName}.${STAMP}
done
EOF
sudo chmod +775 /usr/local/bin/remove.sh /etc/profile.d/alias.sh
sudo chmod a+x /usr/local/bin/remove.sh /etc/profile.d/alias.sh
source /etc/profile.d/alias.sh
source /etc/profile
}
## 名称: Os_Disable_SomeServices
## 用途: 禁用与设置操作系统中某些服务(需要根据实际环境进行)
## 参数: 无
Os_Disable_SomeServices () {
log_info "[-] 禁用操作系统中某些服务(需要根据实际环境进行配置)..."
log_info "[-] 配置禁用telnet服务"
cp /etc/services ${BACKUPDIR}/'services-'${EXEC_TIME}.bak
egrep -q "^\s*telnet\s+\d*.+$" /etc/services && sed -ri "/^\s*telnet\s+\d*.+$/s/^/# /" /etc/services
log_info "[-] 禁止匿名用户、root用户登录FTP"
if [ -f /etc/vsftpd/vsftpd.conf ]; then
cp /etc/vsftpd/vsftpd.conf /etc/vsftpd/'vsftpd.conf-'`date +%Y%m%d`.bak
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*anonymous_enable\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "anonymous_enable=NO" >> /etc/vsftpd/vsftpd.conf
systemctl list-unit-files|grep vsftpd > /dev/null && echo "root" >> /etc/vsftpd/ftpusers
log_info "[-] 限制FTP用户上传的文件所具有的权限"
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*write_enable\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "write_enable=NO" >> /etc/vsftpd/vsftpd.conf
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*ls_recurse_enable\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "ls_recurse_enable=NO" >> /etc/vsftpd/vsftpd.conf
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*anon_umask\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "anon_umask=077" >> /etc/vsftpd/vsftpd.conf
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*local_umask\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "local_umask=022" >> /etc/vsftpd/vsftpd.conf
log_info "[-] 限制FTP用户登录后能访问的目录"
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*chroot_local_user\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "chroot_local_user=NO" >> /etc/vsftpd/vsftpd.conf
log_info "[-] FTP Banner 设置"
systemctl list-unit-files|grep vsftpd > /dev/null && sed -ri "/^\s*ftpd_banner\s*\W+.+$/s/^/#/" /etc/vsftpd/vsftpd.conf && echo "ftpd_banner='Authorized only. All activity will be monitored and reported.'" >> /etc/vsftpd/vsftpd.conf
log_info "[-] 限制不必要的服务 (根据实际环境配置)"
# systemctl disable rsh&>/dev/null 2&>/dev/null;systemctl disable talk&>/dev/null 2&>/dev/null;systemctl disable telnet&>/dev/null 2&>/dev/null;systemctl disable tftp&>/dev/null 2&>/dev/null;systemctl disable rsync&>/dev/null 2&>/dev/null;systemctl disable xinetd&>/dev/null 2&>/dev/null;systemctl disable nfs&>/dev/null 2&>/dev/null;systemctl disable nfslock&>/dev/null 2&>/dev/null
fi
log_info "[-] 配置SNMP默认团体字"
if [ -f /etc/snmp/snmpd.conf ]; then
cp /etc/snmp/snmpd.conf ${BACKUPDIR}/'snmpd.conf-'${EXEC_TIME}.bak
cat > /etc/snmp/snmpd.conf <<EOF
com2sec $SNMP_user default $SNMP_password
group $SNMP_group v1 $SNMP_user
group $SNMP_group v2c $SNMP_user
view systemview included .1 80
view systemview included .1.3.6.1.2.1.1
view systemview included .1.3.6.1.2.1.25.1.1
view $SNMP_view included .1.3.6.1.4.1.2021.80
access $SNMP_group "" any noauth exact systemview none none
access $SNMP_group "" any noauth exact $SNMP_view none none
dontLogTCPWrappersConnects yes
trapcommunity $SNMP_password
authtrapenable 1
trap2sink $SNMP_ip
agentSecName $SNMP_user
rouser $SNMP_user
defaultMonitors yes
linkUpDownNotifications yes
EOF
fi
}
## 名称: Os_Change_SShPort
## 用途: 更改ssh端口号，不输入参数则使用defaultport
## 参数: $1(端口号) 或 无
function Change_SShPort() {
log_info "[-] 更改ssh默认端口，提高安全性..."
# 判断是否输入了参数
if [ -n "$1" ];then
# echo "第一个参数$1"
SSH_PORT=${1}
fi
# 1. ssh配置文件去除原来的ssh登陆端口
arr_port=$(cat /etc/ssh/sshd_config | grep ^Port.* | awk '{print $2}' )
for port in ${arr_port[@]}
do
log_info "[-] 正在去除ssh端口：$port"
firewall-cmd --zone=public --remove-port=${port}/tcp --permanent
sleep 2
done
#这里注销掉所有以Port开头的。/d是删除所有以prot开头的行
sed -i 's/^Port/#Port/g' /etc/ssh/sshd_config
#sed -i '/^Port/d' /etc/ssh/sshd_config
# 2. ssh配置文件加入新端口
sed -i "/#Port 22/a\Port ${SSH_PORT}" /etc/ssh/sshd_config
# 3. 添加sshd服务20211端口到SELinux，已禁用了SELinux，就不用添加了
#semanage port -m -t ssh_port_t -p tcp 20211
# 4. 防火墙端口
firewall-cmd --permanent --add-port=${SSH_PORT}/tcp
firewall-cmd --zone=public --remove-port=22/tcp --permanent
firewall-cmd --reload
systemctl restart sshd
log_info "[-] 设置完毕，请使用ssh端口 ${SSH_PORT} 登陆 "
}
## 用途: 执行更改ssh端口号
function run_change_sshport() {
read -r -p "Do you agree change the SSH port to ${SSH_PORT} ? If not, please enter another port? [Y/n] " -t 30 input_ssh_yn
case $input_ssh_yn in
[yY][eE][sS]|[yY])
echo -e "\033[32mYes, continue...\033[0m"
Change_SShPort
;;
[nN][oO]|[nN])
while true; do
read -p "建议端口从40101开始，请输入 ssh 端口号：" SSH_PORT
isValidNum ${SSH_PORT}
[ $? -eq 0 ] && break
done
Change_SShPort ${SSH_PORT}
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
log_warning "[-!] 不要将 sshd 对 Internet 开放登陆权限，尽量将SSH局限在几个小范围内的 IP，请你另行设置！"
}
## 名称: Os_Kernel_Upgrade
## 用途: CentOS 操作系统内核升级(可选) ,yum方式在线升级，强烈推荐手动“离线升级”
## 参数: 无
Os_Kernel_Upgrade() {
log_info "[*] CentOS 操作系统内核升级(可选) "
# (2) CentOS 操作系统内核升级(可选)
cp -a /etc/grub2.cfg ${BACKUPDIR}/grub2.cfg.kernelupdate.bak
rpm --import https://www.elrepo.org/RPM-GPG-KEY-elrepo.org
yum -y install https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm
yum --disablerepo="*" --enablerepo=elrepo-kernel repolist
yum --disablerepo="*" --enablerepo=elrepo-kernel list kernel*
# 内核安装，服务器里我们选择长期lt版本，安全稳定是我们最大的需求，除非有特殊的需求内核版本需求;
yum update -y --enablerepo=elrepo-kernel
# 内核版本介绍, lt:longterm 的缩写长期维护版, ml:mainline 的缩写最新主线版本;
yum install -y --enablerepo=elrepo-kernel --skip-broken kernel-lt kernel-lt-devel kernel-lt-tools
# yum -y --enablerepo=elrepo-kernel --skip-broken install kernel-ml.x86_64 kernel-ml-devel.x86_64 kernel-ml-tools.x86_64
log_warning "[*] 当前 CentOS 操作系统可切换的内核内核版本"
awk -F \' '$1=="menuentry " {print i++ " : " $2}' /etc/grub2.cfg
sudo grub2-set-default 0
#传统引导
# grub2-mkconfig -o /boot/grub2/grub.cfg
# grubby --default-kernel
reboot
}
## 名称: Disk_LvsManager
## 用途: CentOS7 操作系统磁盘 LVS 逻辑卷添加与配置(扩容流程) - 请按需调用执行
## 参数: 无
Disk_lvsManager () {
echo -e "\n 分区信息:"
sudo df -Th
sudo lsblk
echo -e "\n 磁盘信息："
sudo fdisk -l
echo -e "\n PV物理卷查看："
sudo pvscan
echo -e "\n vgs虚拟卷查看："
sudo vgs
echo -e "\n lvscan逻辑卷扫描:"
sudo lvscan
echo -e "\n 分区扩展"
echo -e "CentOS \n lvextend -L +24G /dev/centos/root"
echo "lsblk"
echo -e "Centos \n # xfs_growfs /dev/mapper/centos-root"
}
## 名称: Os_Network
## 用途: 操作系统网络配置相关脚本包括(IP地址修改)
## 参数: 无
Os_Network(){
log_info "[-] 操作系统网络配置相关脚本,开始执行..."
# (1) 静态网络IP地址设置
log_info "[-] 修改网卡配置（设置静态ip）..."
tee /opt/network_staticIp_set.sh <<'EOF'
#!/bin/bash
IPADDR="${1}"
NETMASK="${2}"
GATEWAY="${3}"
DEVNAME="ifcfg-ens192"
if [ "${4}" != "" ];then
DEVNAME="ifcfg-${4}"
fi
if [[ $# -lt 3 ]];then
echo -e "\e[32m[*] Usage: $0 IP-Address MASK Gateway \e[0m"
echo -e "\e[32m[*] Usage: $0 192.168.1.99 255.255.255.0 192.168.1.1 \e[0m"
exit 1
fi
NET_FILE="/etc/sysconfig/network-scripts/${DEVNAME}"
if [[ ! -f ${NET_FILE} ]];then
echo "\033[31m[*] Not Found ${NET_FILE} File\n\033[0m"
exit 2
fi
cp ${NET_FILE}{,.bak}
sed -i -e 's/^ONBOOT=.*$/ONBOOT="yes"/' -e 's/^BOOTPROTO=.*$/BOOTPROTO="static"/' ${NET_FILE}
grep -q "^IPADDR=.*$" ${NET_FILE} && sed -i "s/^IPADDR=.*$/IPADDR=\"${IPADDR}\"/" ${NET_FILE} || echo "IPADDR=\"${IPADDR}\"" >> ${NET_FILE}
grep -q "^NETMASK=.*$" ${NET_FILE} && sed -i "s/^NETMASK=.*$/NETMASK=\"${NETMASK}\"/" ${NET_FILE} || echo "NETMASK=\"${NETMASK}\"" >> ${NET_FILE}
grep -q "^GATEWAY=.*$" ${NET_FILE} && sed -i "s/^GATEWAY=.*$/GATEWAY=\"${GATEWAY}\"/" ${NET_FILE} || echo "GATEWAY=\"${GATEWAY}\"" >> ${NET_FILE}
EOF
chmod +x /opt/network_staticIp_set.sh
# 网络变量，IPADDR静态ip\NETMASK子网掩码\GATEWAY默认网关
# 0.获取网卡名
network_name=$(ip a | sed -r -n 's/^[0-9]+: (.*):.*/\1/p' | grep -v lo)
array_network_name=(`echo $network_name | tr '\n' ' '` )
num=${#array_network_name[@]} #获取数组元素的个数
echo -e "\033[035m*********** 网络卡列表 ***********\033[0m"
for(( i=0;i<${#array_network_name[@]};i++)) do
echo -e "\033[032m* [ $i ] ${array_network_name[$i]} \033[0m"
done;
echo -e "\033[035m********************************\033[0m"
read -r -p "*请选择网卡名前的序号: " input_n
if [[ ! $input_n =~ [0-$num]+ ]]; then
echo -e "\033[31merror! the number you input isn't 1 to $num \n\033[0m"
exit 1
fi
DEVNAME=${array_network_name[$input_n]}
echo "您选择的网卡是：${DEVNAME}"
# 1. 输入静态ip
while true; do
read -p "请输入 ${DEVNAME} 的静态Ip：" IPADDR
isValidIp ${IPADDR}
[ $? -eq 0 ] && break
done
# 2. 输入子网掩码
while true; do
read -p "输入子网掩码(225.255.255.0):" NETMASK
if [ -z "$NETMASK" ];then
NETMASK="225.255.255.0"
fi
isValidIp ${NETMASK}
[ $? -eq 0 ] && break
done
#echo "子网掩码 is $NETMASK"
# 3. 输入默认网关
ip=(${IPADDR//\./ }) # 按.分割，转成数组
netmask_default="${ip[0]}.${ip[1]}.${ip[2]}.254"
while true; do
read -p "输入默认网关(${netmask_default}):" GATEWAY
if [ -z "$GATEWAY" ];then
GATEWAY=${netmask_default}
fi
isValidIp ${GATEWAY}
[ $? -eq 0 ] && break
done
#echo "默认网关 is $GATEWAY"
# 调用脚本，设置网卡信息（静态ip...）
/opt/network_staticIp_set.sh ${IPADDR} ${NETMASK} ${GATEWAY} ${DEVNAME}
# (2) 系统主机名与本地解析设置
log_info "[-] 系统主机名与本地解析设置..."
read -p "请数据主机名(`hostname`):" HOST_NAME
if [ -z "$HOST_NAME" ];then
HOST_NAME=`hostname`
fi
sudo hostnamectl set-hostname ${HOST_NAME}
# sed -i "s/127.0.1.1\s.\w.*$/127.0.1.1 ${NAME}/g" /etc/hosts
cp -a /etc/hosts ${BACKUPDIR}/hosts.bak
grep -q "^\$(hostname -I)\s.\w.*$" /etc/hosts && sed -i "s/\$(hostname -I)\s.\w.*$/${IPADDR} ${HOST_NAME}" /etc/hosts || echo "${IPADDR} ${HOST_NAME}" >> /etc/hosts
# (3) 系统DNS域名解析服务设置
log_info "[-] DNS域名解析服务设置..."
# DNS服务器地址
DNSIP=("8.8.8.8" "114.114.114.114" "223.5.5.5")
cp -a /etc/resolv.conf ${BACKUPDIR}/resolv.conf.bak
for dns in ${DNSIP[@]};do
egrep -q "^nameserver .*${dns}$" /etc/resolv.conf && sed -ri "s/^nameserver.*${dns}$/nameserver ${dns}/" /etc/resolv.conf || echo "nameserver ${dns}" >> /etc/resolv.conf
done
log_info "[*] network configure modifiy successful! restarting Network........."
service network restart && ip addr
}
## 名称: add_group
## 用途：创建普通用户的所属组
## 参数: 无
function add_group() {
# create group if not exists
egrep "^$group_name" /etc/group >& /dev/null
if [ $? -ne 0 ]
then
groupadd --gid 5001 $group_name
fi
}
## 名称: add_group
## 用途：创建普通用户的所属组
## 参数: $1(用户名) 或 无
function add_user() {
log_info "[-] 创建一个拥有管理权限的普通用户，执行sodu命令需要输入密码..."
# 判断是否输入了参数
if [ -n "$1" ];then
# echo "第一个参数$1"
user_name=${1}
fi
# 1.添加用户，并指定用户id,组id,
useradd --home-dir /home/$user_name --create-home --uid 5001 \
--gid 5001 --shell /bin/bash --skel /dev/null $user_name
# 2.设置用户密码
echo $user_passwd | passwd --stdin $user_name
# 3.给普通用户授权sudo，先删除后添加
cp /etc/sudoers ${BACKUPDIR}/sudoers.bak
chmod -v u+w /etc/sudoers
sed -i '/^'"$user_name"'.*$/d' /etc/sudoers
# 允许用户your_user执行sudo命令，不输入密码
tmp_str="$user_name ALL=(ALL) NOPASSWD:ALL"
# 允许用户your_user执行sudo命令，需要输入密码
#tmp_str="$user_name ALL=(ALL) ALL"
sed -i "/^root.*$/a ${tmp_str}" /etc/sudoers
chmod -v u-w /etc/sudoers
# 4.将普通用户加入到root组
usermod -a -G root $user_name
log_info "[-] 一个拥有管理权限的普通用户 $user_name 已创建完毕，记得更改其密码哦 "
}
## 名字：run_add_user
## 用途：执行添加用户方法
## 参数：无
function run_add_user() {
# create group if not exists
add_group
read -p "创建拥有管理权限的普通用户 ${user_name} (直接回车键)，若自定义名请输入:" input_user_name
# 若没有输入，则使用默认值
if [ -z "$input_user_name" ];then
input_user_name=${user_name}
fi
# create user if not exists
egrep "^$input_user_name" /etc/passwd >& /dev/null
if [ $? -ne 0 ]; then
add_user ${input_user_name}
else
log_warning "用户 ${input_user_name} 已存在，无需重复创建 "
fi
}
## 名字：Force_UserNextLogin_ChangePwd
## 用途：强制用户在下次登录时更改密码
## 参数: 无
function Force_UserNextLogin_ChangePwd() {
log_info "[-] 强制用户在下次登录时更改密码... "
Tmp_DefaultUser="root"
read -r -p "Yes 强制 ${DefaultUser} 用户在下次登录时更改密码? Not 输入其他用户名? [Y/n] " -t 30 input_uname_yn
case $input_uname_yn in
[yY][eE][sS]|[yY])
echo -e "\033[32mYes, continue...\033[0m"
chage -d 0 -m 0 -M 90 -W 15 root && passwd --expire root
;;
[nN][oO]|[nN])
read -p "请输入用户名：" Tmp_DefaultUser
# 判断用户是否存在
egrep "^$Tmp_DefaultUser" /etc/passwd >& /dev/null
if [ $? -ne 0 ]; then
log_warning "你输入的用户 ${user_name} 不存在！"
else
chage -d 0 -m 0 -M 90 -W 15 ${DefaultUser} && passwd --expire ${DefaultUser}
fi
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
}
## 名字：Permit_RootSshLogin
## 用途：禁止或允许root用户ssh远程登陆，等保三级要求禁止root远程登陆
## 参数: 无
function Root_NoLogin() {
read -r -p "禁止root远程登陆，普通用户你已创建好了吗? [Y/n] " -t 30 input_rootlogin_yn
case $input_rootlogin_yn in
[yY][eE][sS]|[yY])
log_info "[-] yes 已创建普通用户，继续禁止root用户ssh远程登陆... "
egrep -q "^\s*PermitRootLogin\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^\s*PermitRootLogin\s+.+$/PermitRootLogin no/" /etc/ssh/sshd_config || echo "PermitRootLogin no" >> /etc/ssh/sshd_config
systemctl restart sshd
;;
[nN][oO]|[nN])
log_info "[-] no 没创建普通用户，还不能禁止root远程登陆... "
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
}
function Permit_RootSshLogin() {
read -r -p "你想禁止还是允许root用户ssh远程登陆? [Y禁止/n允许] " -t 30 input_rootlogin_yn
case $input_rootlogin_yn in
[yY][eE][sS]|[yY])
Root_NoLogin
;;
[nN][oO]|[nN])
log_info "[-] 允许root用户ssh远程登陆... "
egrep -q "^\s*PermitRootLogin\s+.+$" /etc/ssh/sshd_config && sed -ri "s/^\s*PermitRootLogin\s+.+$/PermitRootLogin yes/" /etc/ssh/sshd_config || echo "PermitRootLogin yes" >> /etc/ssh/sshd_config
systemctl restart sshd
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
}
## 名字：Trash_Clear
## 用途：清空回收站，清除历史*.gz日志
## 参数: 无
function Trash_Clear() {
log_info "[-] （1）清空回收站... "
# 附-如何防止rm误删数据，1）为rm设置了别名，2）放弃使用rm改用mv\find ，3）不删除，移动到回收站，4）不要这样用rm -fr /opt/* 正确做法是先切换到指定目录下再删除
# 查看rm别名# alias rm ，默认设置的别名 # alias rm='rm -i' rm默认开启了alias保护，在删除之前会提示是否删除。
# 删除以前定义rm的别名。
#unalias rm > /dev/null 2>&1
#alias rm='rm -i'
# 删除家目录回收站中的文件，即清空垃圾桶
find ~/.trash/* -delete 2> /dev/null
# 删除其他用户(家目录)中的回收站中的文件目录
find /home/ -type d -name .trash -exec find {} -delete \;
log_info "[-] （2）清理log日志... "
find /var/log -name "*.gz" -delete
find /var/log -name "*log.*" -delete
find /var/log -name "vmware-*.*.log" -delete
find /var/log -name "*.log" -exec truncate -s 0 {} \;
find /var/log -name "system@*" -delete
find /var/log -name "user-1000@*" -delete
find /tmp/* -delete 2> /dev/null
log_warning "[-!] 询问要不要去掉回收站机制（测试类服务器不需要回收站）..."
echo -e -n "\033[31m\n你要去掉回收站机制吗? [Y去掉/n保留]:\033[0m"
read -t 30 input_trash_yn
case $input_trash_yn in
[yY][eE][sS]|[yY])
unalias rm > /dev/null 2>&1
alias rm='rm -i'
;;
[nN][oO]|[nN])
unalias rm > /dev/null 2>&1
alias rm='sh /usr/local/bin/remove.sh'
;;
*)
echo -e "\033[31merror! you input isn't yes or no.\n\033[0m"
exit 1
;;
esac
}
## 打印出选择项
function cmd_info_print() {
echo -e '\033[32m
==========================请选择要操作的项：==========================
# [0] 创建SWAP交换分区(默认2G)
# [1] 设置网卡静态IP和DNS(按引导输入ip\子网掩码\默认网关)
# + <11> 全局配置DNS
# + <12> 判断能不能上网
# [2] 在线设置国内yum源，在线yum安装常用软件（htop\ncdu比du性能强\...）
# [3] 系统优化、安全加固等一键设置：
# + <31> 系统的最大文件打开数限制，系统内核参数优化(含关闭ipv6)
# + <32> 时区设置为东8区
# + <33> 禁用ctrl+alt+del重启系统、定义回收站目录等
# + < > 系统安全加固(等保三级-操作系统检查项)如下：
# ++ <35> 用户口令策略(密码过期90天、到期前15天提示、密码长度至少15等)
# ++ <36> GRUB 安全设置
# ++ <37> ssh安全加固设置
# ++ <38> 设置或恢复重要目录和文件的权限
# ++ <39> 开启防火墙、禁用SELINUX等更多设置，然后重启主机
# [4] 更改ssh端口号(等保要求不使用22端口，缺省时改为40107)
# [5] 创建一个拥有管理权限的普通用户(uudocker)，执行sodu命令时需要输入密码
# [6] 禁止或允许root用户远程登陆(等保要求禁止root远程登陆,正解:普通用户登陆后su root）
# [7] 强制用户在下次登录时更改密码
# [8] 使用Chrony配置主机时间同步(根据环境需要，可选项)
# [9] 禁用与设置系统中的某些服务(根据环境需要，可选项)
# [10] 清空回收站内容 and 询问你删除回收站功能吗？（执行rm误删时，它可拯救你）
#
# 以下脚本，仅供参考：
# Os_Kernel_Upgrade 推荐"离线升级系统内核"
# disk_Lvsmanager 磁盘LVS逻辑卷添加与配置\033[32m
=====================================================================
\033[31m注意：
1. 切换用户的命令su已改为大写的SU
2. 回收站目录 cd ${HOME}/.trash 会不断堆积会导致空间不足哦！日志定时清理脚本记得不要用rm改用find或其他切分工具
3. 用户终端执行的历史命令记录保存目录为/var/log/.history/${USER}.${LOGTIME}.history\033[0m'
}
function run_main(){
log_info "run start..."
# 1. 判断系统内核
kernel=$(uname -r) && log_info "[-] 此系统的内核为：$kernel"
result=$(echo $kernel | grep "3.10")
if [[ "$result" != "" ]]; then
#echo "包含"
log_warning "[!] Centos7操作系统默认内核3.10存在一些Bugs，请尽快升级。"
fi
log_info "[-] 本系统的openssh 版本：" && ssh -V
result_openssh=$(rpm -qi openssh |grep "openssh-7.4")
if [[ "$result_openssh" != "" ]]; then
#echo "包含"
log_warning "[!] openssh默认版本是7.4存在安全漏洞，请尽快升级到最新版本。"
fi
# 2. 打印出选择项
cmd_info_print
# 3. 输入数字，执行对应的选项操作
# 定义一个循环次数计数器
declare -i autoprintcmd_count=0
while [[ "$autoprintcmd_count" -le "10" ]]; do
cmd_number=""
read -p "Please enter the number of the operation item or Press q to exit: " -t 90 cmd_number
if [[ $cmd_number = "Q" || $cmd_number = "q" ]]; then break; fi
case ${cmd_number} in
0)
# Liunx 系统创建SWAP交换分区(默认2G)
Os_Swap
;;
1)
# 网卡设置静态IP(根据提示，输入ip\子网掩码\默认网关），设置DNS
Os_Network
;;
2)
# 在线设置国内yum源、安装常用软件
Os_YumSource_Aliyun
Os_Yum_Install_Software
;;
3)
## 系统优化、安全加固等，一键设置
# 系统的最大文件打开数限制；系统内核参数优化(含关闭ipv6)
Os_Optimizationn
# 主机时区设置东8区
Os_TimedataZone
# 禁用ctrl+alt+del重启系统、定义回收站文件夹目录等安全运维有关的设置
Os_Operation
# 防止不生效，单独再执行一下
source /etc/profile.d/alias.sh
# 安全加固-用户口令策略
Os_Security_UserPwd
# 安全加固-GRUB 安全设置
Os_Security_Grub
# 安全加固-ssh设置
Os_Security_Ssh
# 安全加固-设置或恢复重要目录和文件的权限
Os_Security_FilePermissions
# 安全加固-开启防火墙、禁用SELINUX等更多设置，会重启服务器
Os_Security_Others
;;
31)
# 系统的最大文件打开数限制；系统内核参数优化(含关闭ipv6)
Os_Optimizationn
;;
32)
# 主机时区设置东8区
Os_TimedataZone
;;
33)
# 禁用ctrl+alt+del重启系统、定义回收站文件夹目录等安全运维有关的设置
Os_Operation
# 防止不生效，单独再执行一下
source /etc/profile.d/alias.sh
;;
34)
log_warning "[-!] 此选项未配置,请选择其他名目的序号"
;;
35)
# 安全加固-用户口令策略
Os_Security_UserPwd
;;
36)
# GRUB 安全设置
Os_Security_Grub
;;
37)
# 安全加固-ssh设置
Os_Security_Ssh
;;
38)
# 设置或恢复重要目录和文件的权限
Os_Security_FilePermissions
;;
39)
# 开启防火墙、禁用SELINUX等更多设置，然后重启主机
Os_Security_Others
;;
4)
# 更改ssh登陆端口(默认改为40107)
run_change_sshport
;;
5)
# 创建拥有sudo权限的运维用户(默认uudocker）
run_add_user
;;
6)
# 禁止或允许root远程登录（若禁止root远程登陆，确保已创建了普通用户）
Permit_RootSshLogin
;;
7)
# 强制用户在下次登录时更改密码
Force_UserNextLogin_ChangePwd
;;
8)
# 配置主机时间同步(使用Chrony，根据实际环境进行，可选项)
Os_HostTimeSync_Chrony
;;
9)
# 禁用与设置操作系统中某些服务(根据实际环境进行，可选项)
Os_Disable_SomeServices
;;
10)
# 清空回收站，清理log日志
Trash_Clear
;;
11)
# 全局配置DNS
setDNS
;;
12)
# 判断能不能上网
internetCheck
if [ $? -eq 0 ];then
echo -e "\033[31m主机无法上网，请检查网络设置！\n\033[0m";
# 配置下dns
setDNS
else
echo -e "\033[32m哇塞，可以上网冲浪啦！\n\033[0m";
fi
;;
*)
# 打印出选择项
cmd_info_print
((autoprintcmd_count++))
;;
esac
done
log_info " It's over, Good night. Bye!"
}
run_main