침해사고 피해시스템을 분석하는 중, 외부 IP(200.200.200.1)에서 지속적으로
telnet 접속했던 것이 확인되었다. 해당 피해시스템은 Apache 웹서버이고 웹서버의
option 설정은 디폴트로 되어 있었다. 조사결과 침입자는 웹서버의
디렉토리 리스팅 취약점을 이용하여 passwd, shadow 파일을 읽은 후
패스워드를 크랙한 것으로 추정된다. 비인가된 재접속을 막기 위하여
다음과 같이 보안조치를 하시오.

1. 웹서버 Option 설정변경 : Server-side includes(exec 기능 제외) 기능만
가능하도록 설정
2. 패스워드 정책변경 : passwd 유효기간을 8주, 8자리 이상으로 강제함
3. 공격IP에서의 접근제한 설정 : ipfilter를 이용하여 200.200.200.1에서의 접근을
제한

2> /dev/null의 의미알기

/dev/null의 의미는 아무것도 아닌곳을 의미한다. null 장치라고 보면된다.


1의 의미는 STDOUT(standard output)
2의 의미는 STDERR(standard error)

STDOUT은 표준출력으로 정상적인 메시지를 출력하고
STDERR은 표준에러로 에러메시지를 출력하는것이다.

위의 의미는 STDOUT 또는 STDERR 출력을 /dev/null로 redirection한다는 의미이다.

문제풀이
웹서버 설정 파일 경로를 찾아서 내용을 찾아서 수정하고 httpd 데몬을 재시작한다
# find / -name httpd.conf 2> /dev/null
/usr/local/apache/conf/httpd.conf
# vi /usr/local/apache/conf/httpd.conf
# This may also be "None", "All", or any combination of "Indexes",
# "Includes", "FollowSymLinks", "ExecCGI", or "MultiViews".
#
# Note that "MultiViews" must be named *explicitly* --- "Options All"
# doesn't give it to you.
#
Options IncludesNOEXEC
# pkill httpd
# /usr/local/apache/bin/httpd start

패스워드 정책을 변경해준다.
# vi /etc/default/passwd
#ident  "@(#)passwd.dfl 1.3     92/07/14 SMI"

MAXWEEKS=8
MINWEEKS=0
WARNWEEKS=1
PASSLENGTH=8

공격자 IP를 접근제한을 해주고, ipfilter를 재시작 해준다.

# vi /etc/opt/ipf/ipf.conf
#
# The following routes should be configured, if not already:
#
route add 211.241.82.54 localhost 0
#

block in log quick from any to any with ipopts
block in log quick proto tcp from any to any with short
pass out on eri0 all head 250
block out from 127.0.0.0/8 to any group 250
block out from any to 127.0.0.0/8 group 250
block out from any to 211.241.82.54/32 group 250
pass in on eri0 all head 200
block in from 127.0.0.0/8 to any group 200
block in from 211.241.82.54/32 to any group 200

# block reserved networks
block in quick from 192.168.0.0/16 to any
block in quick from 172.16.0.0/12 to any
block in quick from 10.0.0.0/8 to any
block in quick from 200.200.200.1/32 to any

# block Back Orifice and NetBus
block in quick proto tcp from any to any port = 12345
block in quick proto tcp from any to any port = 12346
block in quick proto tcp from any to any port = 20034
block in quick proto udp from any to any port = 31337
# pkill  ipmon
# /usr/sbin/ipmon start
문제
1. 윈도우 서버는 기본적으로 원격 컴퓨터에서 익명 연결을 허용하고 있다.
익명 접근을 통해 서버에서 획득 가능한 정보들로는 로컬컴퓨터의 사용자명,
그룹정보, 공유자원 정보, 네트워크 정보 등이다.
이러한 위험에 대비하기 위해 원격 컴퓨터에서 익명 사용자의 접근을
차단하도록 레지스트리 값을 설정하여라.

2. 바이러스, 해킹은 공유된 폴더나 관리용 폴더를 통해 전파되는 특성이 있다.
특히 관리용 폴더는 초기 공유 폴더 이름이 모든 컴퓨터 마다 동일하게
적용되어 있으므로 유추가 매우 쉽다. 시스템이 자동으로
관리 공유(IPC$,C$,D$등)를 만들지 않도록 레지스트리 값을 설정하여라.

3. 익명 사용자가 서버 공유 폴더 명을 확인하지 못하도록 'c:\data'를 data이름을
가진 숨김 공유로 만들어라.


내 컴퓨터\HKEY_LOCAL_CACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous
--> 익명 사용자의 접근 차단 : 값을 2로 변경

내 컴퓨터\HKEY_LOCAL_CACHINE\SYSTEM\CurrentControlSet\Service\lanmanserver\parameters
-->관리 공유 생성 차단 : 새로 만들기 - DWORD 값 추가 - 'AutoShareServer'란 이름으로 생성

실행 - cmd
숨김공유로 만들기.
net share data$=c:\data
시스템 관리자는 관리하고 있는 시스템의 사용자들이 취약한 패스워드를 사용하고 있는지 주기적으로
점검해야 한다. 취약한 패스워드 점검은 패스워드 점검툴을 이용하여 수행하고, 점검결과를 보고
해당 시스템의 사용자 중 패스워드가 취약한 사용자의 계정과 패스워드를 찾으시오.
단, 점검툴은 john the ripper(/usr/sbin/john)를 사용할 수 있다.

john the ripper   - 패스워드 해킹 하는 프로그램.. 해보자

john /etc/shadow





예전것/시스템 보안2009. 5. 31. 22:31
문제:
솔라리스 7 시스템에서 telnet, ftp 접속시 보여주는 배너의 내용에는 기본적으로
OS 버전이 나타난다. 이는 OS 버전별 취약점을 이용한 공격을 한층 쉽게 만드므로
배너에서 OS버전을 보여주지 않도록 설정하고자 한다.

telnet, ftp의 배너를 제거하도록 설정하시오.

cd /etc/default/

vi ftpd
vi telnetd
해서 BANNER=" 아무거나 " 써주자...
예전것/시스템 보안2009. 5. 31. 22:10

문제 : OS 패치를 하기 위해 패치 파일을 다운받은 관리자는 해당 파일이 변조가 되지 않은 무결한 파일인지
확인해 보려고 한다. 패치 파일의 checksum 값과 MD5 값을 확인하여 변조여부를 확인해 보시오.
(패치 파일은 /var/spool/patch 아래에 존재)

checksum 이란?

체크섬(checksum)은 중복 검사의 한 형태로, 오류 정정을 통해, 공간(전자 통신)이나 시간(기억 장치) 속에서 송신된 자료의 무결성을 보호하는 단순한 방법이다.

기본적인 메시지 구성 요소(보통 비트)를 추가하여 결과값을 저장함으로써 동작한다. 나중에 누구나 데이터에 같은 작업을 수행할 수 있고, 무결성 검사에 대한 결과를 비교할 수 있으며, (체크섬이 맞아 떨어지는지 확인해 봄으로써) 메시지가 손상되지 않았다고 결론을 내릴 수도 있다


MD5란?

암호학에서 MD5(Message-Digest algorithm 5)는 128비트 해시를 제공하는 암호화 해시 함수이다. RFC 1321로 지정되어 있으며 수많은 프로그램과 파일의 무결성 검사에 사용된다.

MD5는 1991년로널드 라이베스트가 예전에 쓰이던 MD4를 대체하기 위해 고안했다. 1996년에는 MD5의 설계상 결함이 발견되었다. 매우 치명적인 결함은 아니었지만, 암호학자들은 SHA-1 같은 다른 알고리즘을 사용할 것을 권장하기 시작했다. 2004년에는 더욱 심한 암호화 결함[1]이 발견되었고 2006년에는 노트북 컴퓨터 한 대의 계산 능력으로 1분 내에 해시 충돌을 찾을 정도로 빠른 알고리즘이 발표[2]되기도 하였다. MD5 알고리즘을 보안 관련 용도로 쓰는 것은 권장하지 않으며, 심각한 보안 문제를 야기할 수도 있다. 2008년 12월에는 MD5의 결함을 이용해 SSL 인증서를 변조하는 것이 가능하다는 것이 발표되기도 했다[3].

cksum : Print CRC checksum and byte counts of each FILE.

sum : Print checksum and block counts for each FILE.

cksum 명령은 File 매개변수에 지정한 파일을 읽고
각 파일에 대한 32비트 체크섬 CRC(순회 중복 검사) 및 바이트 수를 계산합니다. 

chsum 명령을 실행할 때 체크섬, 바이트 수 및 파일 이름이 출력됩니다.
(sum 명령은 체크섬, 블럭 수 및 파일이름이 출력되지요)

cksum 명령은 sum 명령과 다른 알고리즘을 사용하여 32 비트 체크섬 CRC를 계산합니다.

(cksum 명령은 이더넷 표준 프레임 검사를 바탕으로 하는 CRC 알고리즘을 사용합니다.)

---------------------------------------------------------------------------------------

예)

file1 및 file2의 체크섬과 크기를 바이트 단위로 표시하려면, 다음과 같이 입력하십시오.

$ cksum file1 file2

file1 파일의 체크섬이 3995432187이고 이 파일이 1390 바이트이며
file2 파일의 체크섬이 3266927833이고 이 파일이 20912 바이트일 경우

cksum 명령은 다음을 표시합니다.
$ cksum file1 file2
3995432187 1390 file1
3266927833 20912 file2

예전것/시스템 보안2009. 5. 31. 21:17
문제:
관리중인 솔라리스 시스템에 계정을 가지고 있는 내부사용자들에게 패스워드를
자주 바꿀것을 공지하고 있으나 일부 사용자들이 잘 따라주지 않아서
부득이 강제로 패스워드를 바꿔야하는 제한기간을 설정해야 한다.
yspace라는 계정의 패스워드 정책을 다음과 같이 강제 설정하시오.
- 패스워드를 바꾼지 14일이 되면 무조건 새 패스워드로 바꿔야함.
- 패스워드를 새로 바꾼지 만 하루가 지나기 전에는 패스워드를 변경할 수 없음.
(단, yspace라는 계정에 대해서만 적용되어야 하고
타 계정에 영향을 주어서는 안됨)
사용자 관리 명령어를 사용하면 변경되는 정보는 '/etc/passwd', '/etc/group', '/etc/shadow' 파일에 적용된다. 
사용자가 시스템에 로그인을 하게 되면 시스템에서는 이 파일에 있는 정보와 암호를 가지고 사용자를 구분하고 로그인을 할 수 있게 해준다.


/etc/passwd 파일 필드 구성은 다음과 같다.
사용자명 : 패스워드 : UID : GID : Comment : 홈 디렉토리 : 로그인 쉘

사용자명 
  - 시스템에서 사용되는 사용자의 이름
패스워드
  - 사용자의 패스워드가 설정됨을 알림
UID
  - 사용자의 UID를 저장, 시스템에서 사용자를 구분하는 용도로 사용
GID
  - 사용자가 속한 기본 그룹의 GID를 저정
Comment
  - 사용자의 Comment를 저장한다. 특별한 의미는 없고 내용중에 ':' 가 있으면 안된다.
홈디렉토리
  - 사용자가 시스템에 로그인 할 때 위치하는 홈 디렉토리의 절대 경로
로그인 쉘
  - 로그인 쉘의 절대경로. 리눅스에서 지원하는 로그인쉘을 지정해서 사용한다.

desktop:x:80:80:desktop:/var/lib/menu/kde:/sbin/nologin
user:x:500:500:user:/home/user:/bin/bash



/etc/shadow 파일의 필드 구성은 다음과 같다.
사용자명 : 암호화 된 패스워드 : 최종 변경 일수 : 최소값 변경일수 : 최대 값 변경일수 : 경고 일수 : 최대값 비활성 일수 : 만기날짜 :

사용자명
  - 사용자의 이름을 저장하는 용도
암호화 된 패스워드
  - 암호화된 패스워드가 들어간다. 이 필드는 NP로 지정되어 있으면 패스워드를 가지지 못하는 사용자이다. 최초 사용자가 만들어 지고 패스워드가 지정되지 않으면 '!!'가 필드 값으로 들어간다.
최종 변경 일수
  - 마지막으로 패스워드를 변경한 날짜가 저장된다.
최소값 변경 일수
  - 패스워드의 변경 제한 일수를 저장한다.
최대값 변경 일수
  - 현재 지정된 패스워드를 사용할 수 있는 최대 일수를 저장한다. 이 기간을 넘어선 후 로그인을 할 경우 강제로 passwd 명령어가 실행된다.
경고 일수
  - 최대값 변경 일수가 되어간다는 경고 메시지를 로그인시에 보여주기 위한 날짜를 지정한다.
최대값 비활성 일수
  - 시스템에 로그인을 하지 않고 사용자의 계정이 유지될 수 있는 최대 일수를 저장한다.
만기 날짜
  - 사용자 계정이 유지되는 만기 날짜를 저장한다.

desktop:!!:14181:0:99999:7:::
user:!!:13212:0:99999:7:::



/etc/group 파일 필드 구성
그룹명 : 암호화 된 그룹 패스워드 : GID : 사용자 목록

그룹명 
  - 시스템에 정의된 그룹의 이름을 저장한다.
암호화 된 그룹 패스워드
  - 암호화 된 그룹 패스워드를 저장한다. 과거에 사용하던 필드로써 현재는 사용하지 않는다. 호환성을 위해 남겨둔 필드.
GID 
  - 그룹의 GID 를 저장한다. 시스템에서 그룹을 구분하기 위해서 사용하는 값이다.
사용자 목록
  - 그룹에 속해 있는 사용자들의 목록을 저장한다. 여러명의 사용자를 동시에 기입할 수 있으며, 구분은 ','로 한다.

desktop:x:80:
user:x:500:





풀이 :
vi /etc/shadow
yspace라고 되어있는 부분에 설정을 한다 1, 14 항목을 추가
예전것/시스템 보안2009. 5. 31. 17:44

문제:
IT 업체인 W사는 솔라리스 서버를 이용하여 사용자들의 홈페이지를 제작해주는
업체를 경영하였다. 1년 정도의 시간이 지나자 많은 사용자들이 서버에 입주했고
입주 업무가 폭주하다 보니 별도의 상담 업무만을 전담하는 직원을 두게 되었다.
상담원 이씨에게 사용자들의 id 개설 업무를 주었는데 팀장 황씨는 시스템의
다른 권한은 주고 싶지 않았다.
이에 대한 접근제어 역할을 제공하는 도구를 찾던 중 sudo라는 도구가 훌륭히 역할을
수행 할 수 있다는 것을 알았다.
sudo를 이용하여 상담자 이씨(id: user_admin)에게 useradd 명령어에 대한 권한을
주도록 설정하라.

sudo
사용목적: 관리자(root)가 특정 사용자(특정 그룹)에게 특정 명령(명령 그룹)을 root계정으로 실행 할 수 있는 권한부여

구성파일 : /etc/sudoers
1.유저 , 호스트, 커맨드를 정의가능
2.유저, 호스트, 커맨드의 앨리어스도 지정가능
3. 구조
user host = commands
user :로그인 id나 앨리어스 네임
host : hostname ,앨리어스 호스트네임
commands : 콤마로 구분되어지는 명령어 리스트

vi /etc/sudoers
user_admin ALL=/usr/sbin/adduser 추가

예전것/시스템 보안2009. 5. 31. 17:09
문제:
관리자 이씨는 솔라리스 서버를 관리하는 초보 관리자이다.
훌륭한 관리자가 되기 위해서는 서버의 설치 관리뿐만 아니라 보안에도 많은 신경을
써야한다는 것을 알게 되었다. 그래서 보안에 관한 공부를 하던 도중 해킹 기법 중에
일반 사용자가 root권한을 얻기 위해 crontab을 이용하여 race condition과 같은
해킹 기법을 할 수 있다는 것을 알고 root가 아닌 일반 사용자의 접근제어가 필요하다
는 사실을 알게 되었다.

crontab 명령어를 사용하는데 있어 백업 관리자(dump_admin)를 제외한 일반 계정의
접근 권한을 제한 하시오.


crontab

crontab 은 윈도우의 스케줄러와 같은 역할을 하는 명령어입니다.

CRONtab

crontab -l
-> 현재 crontab에 등록된 작업보기

crontab -e
-> crontab 편집하기

------------------------------------------------------------------------------------

CRONtab
/etc/cron, /usr/spool/cron/crontabs/*

“/etc/cron" 프로그램 은 주기적으로 어떤 프로그램을 수행시키는데 사용된다.

이때 주기적으로 수행되어질 프로그램은 "/usr/spool/cron/crontabs" 디렉토리

밑에 각 사용자의 사용자명과 같은 이름으로 생성된다.

이 화일은 만드는 방법은 아래 명령을 사용하면 된다.

% crontab -l root : /var/spool/cron/crontabs/root 내용 display

% crontab -e root :

이 명령을 root가 수행했으면 /var/spool/cron/crontabs/ DIR 하위에

"root" 라는 이름의 화일이 생성된다)

또는 vi 로 편집

--------------------------------------------------------------------------------

예)

# more /var/spool/cron/crontabs/root

# minute hour day month week

# 0~59 0~23 1~31 1~12 0~6 (0=sunday, 1=monday)

#

15,45 3 * * * find / -name .nfs\* -mtime +7 -exec rm -f {} \; -o -fstype nfs -prune

5 9 * * 6 /usr/lib/newsyslog >/dev/null 2>&1

15 0,8 16 * * find /var/preserve/ -mtime +7 -a -exec rm -f {} \;

--------------------------------------------------------------------------------

crontab 화일의 맨 앞의 5번째 칼럼까지에는 각 명령이 수행되어질 일시와 요일이다.

지정한 것들은 아래와 같은 의미를 갖는다.

분 시간 날짜 달 요일 : 구분은 Space

15,45 3 * * * : 매일 3시 15분관 45분에 수행

5 9 * * 6 : 매주 금요일 9시 5분에 수행

15 1,18 16 * * : 매달 16일 1시15분과 오후 6시 15분에 수행



1) /var/spool/cron/crontabs/root (root계정으로 가정할때..)

위 파일을 편집하여 원하는 스케쥴을 설정/편집 한다.

2) ps -ef|grep cron : 현재 cron deamon이 돌고 있는지 확인

3) kill -9 "pid of cron" : cron deamon kill

4) rm /usr/lib/cron/FIFO : lock파일제거(/usr/lib/cron directory는 /etc/cron.d와 링크되어있음)

5) /usr/sbin/cron : deamon 재실행(위 편집한 명령대로 수행함)



예) vi /var/spool/cron/crontabs/root

###############################

#Min Hour Day Month Day Command

###############################

15 4 * * * find /var/preserve/ -mtime +7 -a -exec rm -f {} \;

0 23 * * * sh `sed -n 1p /etc/Alis`/janitor

0 * * * * /usr/lib/acct/ckpacct

10 12 * * 1-6 /usr/lib/acct/dodisk

20 12 1 * * /usr/lib/acct/monacct

30 12 * * 1-6 /usr/lib/acct/runacct 2> /var/adm/acct/nite/fd2log

※ log는 /var/cron/..... 에 생성됨
------------------------------------------------------------------------------------

1. 개요 (cron이 뭐하는 것인지 전혀 모르는 분들만)

cron(크론)은 원하는 시간에 명령(프로그램)을 시키기 위한 데몬이다.
서버는 늘 깨어있다는 것을 이용한 최대한의 활용법이 될 수 있다.

- 내가 새벽 3시에 서버에 특정 작업을 해줘야하는데 그 때 깨어있을 수 있는가?
- 또는 30분간격으로 HDD의 사용량을 운영자에게 알리도록 해야한다면?
- 매월 초에 자료를 백업 받고 싶다면?

바로 이럴 때 cron은 최고의 해결책을 제시한다.
cron은 항상 지정한 시간이 되었는지 확인을 하여 해당 명령어을 실행하는 것이다.

2. cron 설정

1) crontab 파일 위치 및 조회

작업 설정 파일을 crontab 파일이라고 부르며, 이 파일의 위치는 OS별로 차이가 있다.
리눅스는 /var/spool/cron/ID, 솔라리스는 /var/spool/corn/crontabs/ID 에 위치한다.
그럼 이 파일을 직접 수정해야 하는가? 그렇지 않다. crontab 명령을 통해 설정과 조회를 한다.

설정 내용을 조회해 보자. (-l 옵션)

$ crontab -l
no crontab for truefeel

설정한 적이 없어 아직 비어있다.

2) crontab 파일 형식
------ -------- ---------------------------------------------------
필 드 의 미 범 위
------ -------- ---------------------------------------------------
첫번째 분 0-59
두번째 시 0-23
세번째 일 0-31
네번째 월 1-12
다섯번째 요일 0-7 (0 또는 7=일요일, 1=월, 2=화,...)
여섯번째 명령어 실행할 명령을 한줄로 쓴다.
------ -------- ---------------------------------------------------


- 한 줄당 하나의 명령 (두줄로 나눠서 표시할 수 없음)
- # 으로 시작하는 줄은 실행하지 않는다.

설정을 해보자. (-e 옵션)
crontab -e 을 하면 vi 에디터가 나온다.(환경변수 EDITOR에 따라 다른 에디터를 사용할 수 있다.)

$ crontab -e
# /home 디렉토리를 /BACKUP/home 으로 백업해둠
#
# 30분, 새벽 4시와 낮 12시, 모든 일, 모든 월, 모든 요일
30 4,12 * * * /usr/bin/rsync -avxH --delete /home /BACKUP/home > /dev/null 2>&1
#
# 파일/디렉토리 퍼미션 설정
# 40분, 새벽 1시, 매주 일요일
40 1 * * 0 /root/bin/perm_set.sh > /dev/null 2>&1


위는 매일 4:30분과 12:30분에 rsync 명령을, 매주 일요일 1:40분에 perm_set.sh를 실행함을 의미한다.

vi 에디터를 통해 설정을 하므로 중요한 몇 가지 에디터 사용법은 익혀야 한다.

---- -----------------------------------------------------------------------------
키 의미
---- -----------------------------------------------------------------------------
i 현재 칸에 글을 넣는다.
o 다음줄에 글을 넣는다.
dd 한줄을 삭제한다.
:wq 저장하고 빠져나온다.
ESC 설정중에 명령어 모드(위의 i, o, dd 등을 사용할 수 있는 상태)로 빠져 나온다.
---- -----------------------------------------------------------------------------


3) 설정 예

시간 설정에서 몇가지 의미있는 것들을 알아보자.

- '*'표시는 해당 필드의 모든 시간을 의미한다.
- 3,5,7 와 같이 콤마(,)로 구분하여 여러 시간대를 지정할 수 있다.
- 2-10와 같이 하이픈(-)으로 시간 범위도 지정할 수 있다.
- 2-10/3와 같이 하이픈(-)으로 시간 범위를 슬래쉬(/)로 시간 간격을 지정할 수 있다.
(2~10까지 3간격으로. 즉, 3,6,9를 의미함)


원하는 시간 형 식

매주 토요일 새벽 2:20 20 2 * * 6 명령어

매일 오후 4,5,6시 0 4-6 * * * 명령어

매일 2시간간격으로 5분대에 5 */2 * * * 명령어

매월 1일 새벽 1:15 15 1 1 * * 명령어

1,7월 1일 새벽 0:30 30 0 1 1,7 * 명령어




3. FAQ

1) cron 설정한 후에는 crond 데몬을 재실행해야 하나요?

아닙니다. crontab -e 으로 설정 후 빠져나오면 바로 적용됩니다.

2) truefeel 사용자는 cron을 못 쓰게 하고 싶습니다.

/etc/cron.allow : 허용할 사용자 ID 목록
/etc/cron.deny : 거부할 사용자 ID 목록

cron.allow 파일이 있으면 이 파일에 들어있는 ID만 사용 가능
cron.deny 파일이 있으면 이 파일에 들어있는 ID는 사용 불가

따라서 cron.deny에 truefeel ID를 추가해주면 됩니다.

3) > /dev/null 2>&1 이 무슨 뜻입니까?

지정한 명령어 처리 결과와 발생할지 모르는 에러메시지를 출력하지 않고 모두 버린다는(/dev/null)는
뜻입니다. 만약 결과와 에러를 파일로 저장하려면 /dev/null 대신 파일명을 적어주면 됩니다.
예전것/시스템 보안2009. 5. 31. 16:27
문제:
UNIX 시스템의 /data 디렉토리 전체를 ufsdump 명령어를 사용하여
/data_bak/data.dump 파일로 가장 낮은 수준의 전체 백업을 하고, 백업한 데이터에서
/data/test.data 파일을 ufsrestore 명령을 사용하여 /data_bak/data.dump 파일로
복구하시오.

ufsdump, ufsrestore에 대해 자세히 나옴
http://study.ibluerain.com/entry/ufsdump%EB%A5%BC-%EC%9D%B4%EC%9A%A9%ED%95%9C-Backup

http://serings.tistory.com/tag/ufsrestore

문제 풀이
ufsdump 0uf /data_bak/data.dump /data  <== 가장 낮은 수준의 전체백업 인 0uf ,
유의 :: cp나 mv 명령과는 다르게 백업대상이 나중에오고 백업 되는 장소가 처음에 옴...

일부만 풀고싶을때 /data_bak_data.dump 에서 /data/test.data만
ufsrestore xvf /data_bak/data.dump /data/test.data






예전것/시스템 보안2009. 5. 30. 04:05

문제:
학교 연구실에 있는 실험용 서버인 Linux 7.0 서버는 학생들이 많이 출입하는 실습실에 설치되어 있다.
Linux 시스템의 물리적 보안을 위하여 BIOS에 암호를 설정한 상태이며 학생들이 싱글 유저 모드로 부팅하여
root 패스워드를 바꾸지 못하도록 미리 패스워드를 sislilo로 설정하여라.

리눅스에도 윈도우즈 처럼 안전모드의 개념이 있는데,
이를 싱글모드라고 한다. 리눅스에서 싱글모드로 부팅하는 방법은 다음과 같다.

보통의 경우 부팅시에 GRUB부팅 메뉴에서 e를 눌러주면 부팅 편집 모드가 되어 다음과 같은 3줄이 뜨게 된다.

root ...
kernel ...
initrd ...

2번째 줄인 kernel 부분에서 다시 e키를 눌러 다시 편집 모드로 들어간 다음 (한 칸 띄고) single이라고 입력한 후 enter를 치고,b키를 눌러 부팅을 해주면 된다.

/****** 글 발췌 : http://www.ibm.com/developerworks/forums/thread.jspa?threadID=218871 
싱글모드로 부팅을 했다면 su명령으로 루트권한을 획득할 필요가 없지요.
왜냐? 싱글모드자체가 루트권한으로 접근이 된거니깐요..

그리고, 싱글모드로 부팅을 하려면 님처럼
/etc/inittab의 runlevel을 1로 바꾸어도 되지만.. 매년 싱글모드로 접근을 할 필요가 있을까요??

필요시 그래픽리로로 부팅시 ctrl + x로 해서
boot: linux 1 (or linux single) 로 부팅을 하면 되겠지요..

그리고, 싱글모드로 부팅을 해서 루트권한을 획득하지 못하게 하려면
/etc/lilo.conf 에 패스워드를 넣어주면 되겠지요.
password=xxxxxxx
그런데, 이렇게 넣어두면 ctrl + x로 부팅시 마다 매번 패스워드를 물어봅니다.

단지 싱글모드로만 부팅을 할때 패스워드를 물어보게 하려면
restricted을 패스워드 아래에 넣어주면 되겠군요..

또, /etc/lilo.conf를 일반계정에서도 접근이 가능하므로 접근하지 못하도록 하려면
# chmod 600 /etc/lilo.conf 를 하면 되겠군요..

참, lilo.conf를 바꾸면 항상
# lilo (or /sbin/lilo) 를 실행해 주어야 하는거 아시죠??