Linux主機安全配置的幾個指令碼(轉)

#!/bin/bash  
cp /etc/sysctl.conf /etc/sysctl.conf.bak  
echo "####add by hx10###">> /etc/sysctl.conf  
echo "net.ipv4.ip_local_port_range = 1024 65536" >> /etc/sysctl.conf  
echo "net.core.rmem_max=16777216" >> /etc/sysctl.conf  
echo "net.core.wmem_max=16777216" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_rmem=4096 87380 16777216" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_wmem=4096 65536 16777216" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_fin_timeout = 15" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_keepalive_time = 600" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_tw_recycle = 1" >> /etc/sysctl.conf  
echo "net.core.netdev_max_backlog = 30000" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_no_metrics_save=1" >> /etc/sysctl.conf  
echo "net.core.somaxconn = 262144" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_syncookies = 1" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_max_orphans = 8000" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_max_syn_backlog = 8000" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_synack_retries = 2" >> /etc/sysctl.conf  
echo "net.ipv4.tcp_syn_retries = 2" >> /etc/sysctl.conf  
sysctl -p  
###change max open files  
ulimit -SHn 102400  
echo "ulimit -SHn 102400" >>/etc/rc.local  
ulimit -a  
exit  

#!/bin/bash  
#change password policy  
cp /etc/login.defs  /etc/login.defs.bak  
sed -i 's/^PASS_MAX_DAYS\s*99999/PASS_MAX_DAYS    90/' /etc/login.defs  
sed -i 's/^PASS_MIN_DAYS\s*0/PASS_MIN_DAYS    10/' /etc/login.defs  
sed -i 's/^PASS_MIN_LEN\s*5/PASS_MIN_LEN     8/' /etc/login.defs  
sed -i 's/^PASS_WARN_AGE\s*7/PASS_WARN_AGE    5/' /etc/login.defs  
#stop Linux detection  
echo 'ONLY Authorized users only! All accesses logged' > /etc/motd  
cp /etc/issue /etc/issue.bak  
cp /etc/issue.net /etc/issue.net.bak  
rm -f /etc/issue  
rm -f /etc/issue.net  
touch /etc/issue  
touch /etc/issue.net  
#stop rhosts  
#find / -name *.rhosts   
touch /.rhosts && chmod 0 /.rhosts  
#stop ip spoof  
cp /etc/host.conf /etc/host.conf.bak  
echo "nospoof on" >>/etc/host.conf  
#stop service  
chkconfig bluetooth off  
chkconfig firstboot off  
chkconfig cups off  
chkconfig ip6tables off  
chkconfig iptables off  
chkconfig isdn off  
chkconfig kudzu off  
chkconfig sendmail off  
chkconfig smartd off  
chkconfig autofs off  
chkconfig ntpd off  
chkconfig snmpd on  
chkconfig portmap on  
chkconfig nfs on  
#service vncserver off  
/etc/init.d/vncserver stop  
service bluetooth stop  
service firstboot stop  
service cups stop  
service ip6tables stop  
service iptables stop  
service isdn stop  
service kudzu stop  
service sendmail stop  
service smartd stop  
service autofs stop  
service vncserver stop  
service ntpd stop  
service snmpd restart  
service portmap restart  
service nfs restart  
#lock user unnecessary  
usermod -L adm  
usermod -L lp  
usermod -L sync  
usermod -L shutdown  
usermod -L halt  
usermod -L news  
usermod -L uucp  
usermod -L operator  
usermod -L ftp  
usermod -L rpc  
usermod -L rpcuser  
usermod -L gopher  
usermod -L nscd  
#add jboss user  
useradd jboss && echo "23adjfajskdfja" | passwd --stdin jboss  
usermod -g jboss -G wheel jboss   
#chown -R jboss.jboss /usr/local/jboss-4.2.3.GA  
#change system character  
cp /etc/sysconfig/i18n /etc/sysconfig/i18n.bak  
cat /dev/null> /etc/sysconfig/i18n  
echo 'LANG="en_US.UTF-8"' >/etc/sysconfig/i18n  
#echo 'LANG="zh_CN.GB18030"' >/etc/sysconfig/i18n  
#sed -i -e 's/^LANG=.*/LANG="en_US.UTF-8"/' /etc/sysconfig/i18n  
source /etc/sysconfig/i18n  
#add ssh user  
cp /etc/hosts.allow /etc/hosts.allow.bak  
cp /etc/hosts.deny /etc/hosts.deny.bak  
echo "sshd:192.168.0.199,192.168.0.201,192.168.0.121" >>/etc/hosts.allow  
echo "sshd:all" >>/etc/hosts.deny  
#Limit ROOT from Remote server  
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak  
echo "PermitRootLogin no" >> /etc/ssh/sshd_config  
echo "ClientAliveCountMax 2" >> /etc/ssh/sshd_config  
#clean history  
cp /etc/skel/.bash_logout /etc/skel/.bash_logout.bak  
cp /etc/profile /etc/profile.bak  
sed -i 's/^HISTSIZE=1000/HISTSIZE=20/' /etc/profile  
echo "rm -rf \$HOME/.bash_history " >>/etc/skel/.bash_logout  
#install DenyHosts  
cd /usr/local/src  
wget ftp://192.168.0.21/pub/DenyHosts-2.6.tar.gz  
tar -zxvf DenyHosts-2.6.tar.gz  
cd DenyHosts-2.6  
python setup.py install  
cd /usr/share/denyhosts/  
grep -v "^#" denyhosts.cfg-dist > denyhosts.cfg  
cp daemon-control-dist daemon-control  
cp denyhosts.cfg denyhosts.cfg.bak  
sed -i 's/^PURGE_DENY =/PURGE_DENY = 5m/' /usr/share/denyhosts/denyhosts.cfg  
sed -i 's/^DENY_THRESHOLD_INVALID = 5/DENY_THRESHOLD_INVALID = 1/' /usr/share/denyhosts/denyhosts.cfg  
sed -i 's/^DENY_THRESHOLD_VALID = 10/DENY_THRESHOLD_VALID = 5/' /usr/share/denyhosts/denyhosts.cfg  
sed -i 's/^DENY_THRESHOLD_ROOT = 1/DENY_THRESHOLD_ROOT = 5/' /usr/share/denyhosts/denyhosts.cfg  
chown root daemon-control  
chmod 700 daemon-control  
cp /etc/rc.local /etc/rc.local.bak  
echo "/usr/share/denyhosts/daemon-control start" >>/etc/rc.local  
/usr/share/denyhosts/daemon-control start  
#limit alt-ctl-delete  
cp /etc/inittab /etc/inittab.bak  
sed -i 's/^ca::ctrlaltdel:\/sbin\/shutdown -t3 -r now/\#ca::ctrlaltdel:\/sbin\/shutdown -t3 -r now/g' /etc/inittab  
#limit key file  
chmod  744  /etc/passwd  
chmod  740  /etc/shadow  
chmod  744  /etc/rc3.d  
chmod  744  /etc/profile  
chmod  1777  /tmp  
chmod 644 /etc/exports  
chmod -R 700 /etc/rc.d/init.d/*  
chattr +i /etc/passwd  
chattr +i /etc/shadow  
chattr +i /etc/group  
chattr +i /etc/services  
chmod 600 /etc/xinetd.conf  
#remove   
#chattr -i /etc/passwd  
#chattr -i /etc/shadow  
service sshd restart  
service xinetd restart  
ps -ef |grep vnc |grep '/usr/share/vnc/classes' |awk '{print $2}' |xargs kill -9  
echo "congratulations!"  
sleep 2  
exit