Proteger TMP e TMPFS no CentOS 6

Diretórios temporários, tais como /tmp, /var/tmpe /dev/shmoferecer uma plataforma para hackers para scripts e executar programas. Esses executáveis ​​maliciosos são usados ​​para abusar ou comprometer seu servidor. Idealmente, o /tmpdiretório deve ser montado em sua própria partição com permissões limitadas.

Este guia é para usuários do Vultr cuja configuração do servidor não inclui um /tmpdiretório montado em sua própria partição, o que os deixa inseguros e vulneráveis. A implementação deste guia tornará extremamente difícil para os hackers usar esses diretórios.

Nota: As instalações padrão do CentOS não montam o /tmpdiretório em sua própria partição.

Mude para o diretório inicial.

 cd /home

Crie um arquivo no diretório inicial com qualquer nome. Aqui estamos usando 'mntTmp' e criando um arquivo de 2GB. Você pode ajustar isso para atender às suas necessidades.

 dd if=/dev/zero of=mntTmp bs=1024 count=2000000

Crie um sistema de arquivos estendido para este arquivo.

 mkfs.ext4  /home/mntTmp

Faça backup do seu /tmpdiretório atual .

 cp -Rpf /tmp /tmp_backup1

Retorne ao diretório base.

 cd /

Crie a /tmpopção de montagem para executar na inicialização usando um editor de texto.

 nano /etc/fstab

Adicione o seguinte à parte inferior do arquivo fstab em uma linha separada. Em seguida, pressione enter para garantir que haja uma linha vazia abaixo dela (a linha vazia é importante para evitar problemas ao reiniciar).

 /home/mntTmp   /tmp    ext4    loop,nosuid,noexec,nodev,rw 0 0

Nota: Essa montagem pode precisar ser removida temporariamente quando você compila ou instala o software

Mantenha o arquivo aberto, pois outra linha será alterada.

O CentOS usa um sistema de arquivos temporário (tmpfs) na memória virtual chamado "shm". Parece montado apesar do fato de não ser um sistema de arquivos físico. Podemos aplicar permissões para proteger shm. Procure a linha no arquivo fstab com tmpfs e /shm. Substitua 'defaults'por 'defaults,nosuid,noexec,nodev'. Salve o arquivo.

Agora você pode montar o /tmpsistema de arquivos.

 mount -o loop,nosuid,noexec,nodev /home/mntTmp /tmp

Defina permissões de leitura, gravação e execução.

 chmod 777 /tmp

Verifique se há erros de montagem com as novas configurações de inicialização.

 mount -o remount /tmp

Mova o /tmpbackup que você criou de volta para o /tmpsistema de arquivos montado .

 mv /tmp_backup1/* /tmp/

Remova o backup que você criou.

 rm -Rf /tmp_backup1

Faça backup /var/tmp.

 cp -Rpf var/tmp /tmp_backup2

Remova o /var/tmpdiretório

 rm -Rf /var/tmp

Crie um link simbólico de /var/tmppara /tmp.

 ln -s /tmp /var/tmp

Copie o /var/tmpbackup para /tmp.

 mv /tmp_backup2/* /tmp/

Remova o backup.

 rm -Rf /tmp_backup2

Opcional

Dependendo do software específico que você está usando, você pode ter um diretório "tmp" no diretório inicial. Você pode remover este diretório e criar um link simbólico para /tmp. Deve-se tomar cuidado ao fazer isso, pois isso pode danificar o software, principalmente o software de hospedagem na web.

 rm -Rf /home/tmp
 ln -s /tmp /home/tmp