Безопасный TMP и TMPFS на CentOS 6

Временные каталоги, такие как /tmp, /var/tmpи /dev/shmпредлагают платформу для хакеров для запуска скриптов и программ. Эти вредоносные исполняемые файлы используются для злоупотребления или взлома вашего сервера. В идеале /tmpкаталог должен быть смонтирован на своем собственном разделе с ограниченными разрешениями.

Это руководство предназначено для пользователей Vultr, чья конфигурация сервера не включает в себя смонтированный /tmpкаталог в своем собственном разделе, что делает эти каталоги небезопасными и уязвимыми. Реализация этого руководства сделает хакерам чрезвычайно трудным использование этих каталогов.

Примечание. Установки CentOS по умолчанию не монтируют /tmpкаталог в своем собственном разделе.

Перейдите в домашний каталог.

 cd /home

Сделайте файл в домашнем каталоге с любым именем. Здесь мы используем 'mntTmp' и создаем файл размером 2 ГБ. Вы можете настроить это в соответствии с вашими потребностями.

 dd if=/dev/zero of=mntTmp bs=1024 count=2000000

Сделайте расширенную файловую систему для этого файла.

 mkfs.ext4  /home/mntTmp

Сделайте резервную копию вашего текущего /tmpкаталога.

 cp -Rpf /tmp /tmp_backup1

Вернитесь в базовый каталог.

 cd /

Создайте параметр /tmpмонтирования для запуска при загрузке с помощью текстового редактора.

 nano /etc/fstab

Добавьте следующее в конец файла fstab в отдельной строке. Затем нажмите Enter, чтобы убедиться, что под ним пустая строка (пустая строка важна, чтобы избежать проблем при перезагрузке).

 /home/mntTmp   /tmp    ext4    loop,nosuid,noexec,nodev,rw 0 0

Примечание. При компиляции или установке программного обеспечения может потребоваться временное удаление этого монтирования.

Держите файл открытым, так как другая строка будет изменена.

CentOS использует временную файловую систему (tmpfs) в виртуальной памяти, которая называется "shm". Он выглядит смонтированным, несмотря на то, что это не физическая файловая система. Мы можем применить разрешения для безопасного ШМ. Найдите строку в файле fstab с помощью tmpfs и /shm. Заменить 'defaults'на 'defaults,nosuid,noexec,nodev'. Сохраните файл.

Теперь вы можете смонтировать /tmpфайловую систему.

 mount -o loop,nosuid,noexec,nodev /home/mntTmp /tmp

Установите права на чтение, запись, выполнение.

 chmod 777 /tmp

Проверьте наличие ошибок при установке с новыми настройками загрузки.

 mount -o remount /tmp

Переместите /tmpсозданную резервную копию обратно в смонтированную /tmpфайловую систему.

 mv /tmp_backup1/* /tmp/

Удалите резервную копию, которую вы создали.

 rm -Rf /tmp_backup1

Резервное копирование вверх /var/tmp.

 cp -Rpf var/tmp /tmp_backup2

Удалить /var/tmpкаталог.

 rm -Rf /var/tmp

Создайте символическую ссылку из /var/tmpв /tmp.

 ln -s /tmp /var/tmp

Скопируйте /var/tmpрезервную копию в /tmp.

 mv /tmp_backup2/* /tmp/

Удалить резервную копию.

 rm -Rf /tmp_backup2

Необязательный

В зависимости от того, какое программное обеспечение вы используете, у вас может быть каталог «tmp» в домашнем каталоге. Вы можете удалить этот каталог и создать символическую ссылку на /tmp. При этом следует соблюдать осторожность, так как это может привести к поломке программного обеспечения, особенно программного обеспечения для веб-хостинга.

 rm -Rf /home/tmp
 ln -s /tmp /home/tmp