数据安全谈：看NFS网络文件系统的安全

2023-03-19 05:33:20
来源：本站整理
在手机上看

扫一扫立即进入手机端

NFS是网络文件系统（Network File System）的简称，是分布式计算系统的一个组成部分，可实现在异种网络上共享和装配远程文件系统。NFS由Sun公司开发，目前已经成为文件服务的一种标准（RFC1904，RFC1813）。其最大的功能就是可让不同操作系统的计算机共享数据，所以也可以将它看做是一个文件服务器。NFS提供了除SAMBA之外，Windows与Linux、Unix与Linux之间通信的方法。

任何网络服务器都会有安全问题，NFS也不例外。由于设计方面的因素，NFS服务器不可能绝对安全。一般来说，不应该将NFS服务器运行在比较敏感的系统或者只有一般防火墙的机器上，应该尽量将其置于防火墙之后。配置安全的NFS服务器，可以从限制RCP服务的访问和控制文件系统的导出权限两方面着手。

NFS面临的安全隐患

因为NFS在网络上明文传输所有信息，按照默认设置，NFS共享把根用户改成用户nfsnobody，它是一个不具备特权的用户账号。这样，所有根用户创建的文件都会被用户nfsnobody所有，从而防止了设置setuid的程序被上传到系统。如果使用了no_root_squash，远程用户就能够改变共享文件系统上的任何文件，把设置了特洛伊木马的程序留给其他用户，在无意中执行。

NFS服务器安全策略

（1）使用TCP_Wrappers

portmap和rpc.nfsd结合起来，使NFS服务器上的文件即使没有任何权限也能容易得到。可以使用访问控制保障网络安全，在使用NFS时最好结合TCP_Wrappers来限制使用范围。

（2）注意配置文件语法错误

NFS服务器通过/etc/exports文件来决定要导出哪些文件系统，以及把这些目录导出到哪些主机上。编辑这个文件的时候要特别小心，不要添加额外的空格。

例如：/etc/exports文件的以下行会使主机bob.example.com 能够共享/tmp/nfs/目录。

/tmp/nfs/ bob.example.com(rw)

但是 /etc/exports 文件中这一行的情况却不同。它共享同一目录，让主机 bob.example.com 拥有只读权限，却给全局以读写权限。这全是由主机后面的一个空格造成的。

/tmp/nfs/

bob.example.com (rw)

使用 showmount 命令来校验哪些目录被共享，从而检查NFS共享配置是一个好习惯。showmount格式为：

showmount -e

（3）使用iptables防火墙

因为NFS在网络上明文传输所有信息，所以让NFS服务器在防火墙后、在一个分段的安全网络上运行就很重要。无论何时在不安全的网络上传递NFS信息都有被截取的危险。从这个角度讲，谨慎制定网络计划就有助于防御重要的安全破坏。限制RCP服务访问的办法一般是使用防火墙，除了TCP-Wrapper还有ipchians和iptalbes的防火墙。在全面使用Linux 2.4或更高版本内核的今天，了解iptables这种防火墙方法也就足够了。缺省的状态下，portmap使用111端口，而NFS使用2049端口，可以通过iptables来限制对该端口的访问：

iptables -t filter -A INPUT -p udp -d 127.0.0.1 --dport 111 -j DROP
iptables -t filter -A INPUT -p udp -d 127.0.0.1 --dport 2049 -j DROP
iptables -t filter -A INPUT -p udp -s trusted_client -d this_server_ip --dport \2049 -j
ACCEPTiptables -t filter -A INPUT -p udp -s not_trusted_client -d this_server_ip -dport
\2049 -j DROP

（4）把开放目录限制为只读权限

可以在/etc/exports文件中设定权限选项ro，通常需要把NFS服务器对客户开放的任何目录或文件系统设置为只读访问：

/app devpc.nitec.com(ro)

这样，devpc.nitec.com网络中的客户只能对/app目录进行只读访问。

（5）禁止对某些目录的访问

当开放一个完整的文件系统或者一个目录时，缺省情况下它的子目录会自动开放访问权限。如果希望限制对其子目录的访问可以使用noaccess访问选项，例如希望开放/pub目录权限但是禁止访问/pub/staff-only子目录：

/pub weblab-??.nitec.com (ro)
/pub/staff-only weblab-??.nitec.com (noaccess)

注意： “？？“代表任意字符。

（6）root squashing访问问题

按照默认设置，root用户的用户ID和组群ID都是0。root权限压缩（Root squashing）把用户ID0和组群ID0映射为匿名的用户和组群ID，因此客户上的根用户就不会在NFS服务器上具备根特权。如果这个选项被选，root用户就不会被映射为匿名用户，客户上的root用户就会对导出的目录拥有根特权。选择这个选项会大大降低系统的安全性。除非绝对必要，请不要选择它。为了明确执行该规则，可以修改文件/etc/exports：

/www www1.nitec.com(rw, root_squash)

这样如果客户端的UID0（root）用户想要访问（读、写、删除）一个NFS文件系统，服务器端会用UID代替服务器的nobody账户。这样客户端的root用户不能修改和访问服务器端root用户才能访问和修改的文件。

（7）使用nosuid和noexec选项

SUID（Set User ID）或SGID（Set Group ID）程序可以让普通用户以超过自己权限的形式执行。很多SUID/SGID可执行程序是必须的，比如上面提到的passwd。SUID/SGID程序会被一些恶意的本地用户利用，获取本不应有的权限。运行以下命令可以找到所有具有这一属性的程序：

#find / \( -perm -4000 -o -perm -2000 \)

使用者必须查看这一列表，尽量减少那些所有者是root或是在root组中却拥有SUID/SGID属性的文件，删除或对其属性进行更改。使用nosuid选项禁止set-UID程序在 NFS服务器上运行，可以修改文件/etc/exports加入一行：

/www www1.nitec.com(rw, root_squash, nosuid)

上面的例子说明：/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是不能运行set- UID程序。

/www www1.nitec.com(rw, root_squash, noexec)

上面的例子说明/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是禁止所登录文件系统中文件的执行。

NFS是非常重要的网络协议，许多企业通过NFS协议共享硬盘和其它设备。把能登录NFS目录设置为只读访问、提高portmap服务的安全性、squashing root访问、使用on set-UID 和non executable文件设置可以提高NFS服务器的安全。

游戏推荐

《荒野大镖客2》online版好看捏脸数据分享(《荒野大镖客2》online版好看捏脸数据分享在哪) 《荒野大镖客2》美洲野马数据一览(荒野大镖客2美洲野马必刷点) 《战神诸神黄昏》装备系统,技能介绍(《战神诸神黄昏》装备系统,技能介绍图) apex怎么显示延迟丢包数据(apex延迟高) 《刺客信条:英灵殿》猎人瞄准系统解析(刺客信条英灵殿瞄准) 《影武者2》龙刃武器介绍图(影武者2武器奇异数据) dayz帐篷放哪里最安全(dayz帐篷) 《破晓传说》强化系统简单介绍(破晓传说数值) 《全面战争:三国》武将单挑系统介绍(全面战争三国什么属性的人单挑厉害) nba2k20体型有影响吗(nba2k20身体数据) jump大乱斗鸣人技能怎么用(jump大乱斗鸣人捏脸数据) jump大乱斗鸣人捏脸数据(jump大乱斗鸣人怎么变身) 《怪物猎人:崛起》任务系统详解图(怪物猎人崛起任务表) 《航海日记:起航》npc系统基础介绍大全(航海日记起航挣钱路线) 《荒野大镖客2》美国花马数据一览(《荒野大镖客2》美国花马数据一览下载) 《火炬之光3》新圣物系统解析(火炬之光3圣物能量上限) 《硬核机甲》战斗系统介绍(《硬核机甲》战斗系统介绍) csgo数据互换器用几次(csgo数据互换器用几次会封号) cod17黑色行动(cod17黑色行动卡在连接网络) 《荒野大镖客2》美国花马数据一览(荒野大镖客2美国花马和纯血马) 《原神》北斗属性数据是什么(《原神》北斗属性数据是什么样的) 《攻城英雄》打造系统介绍图(攻城英雄dlc内容) 《喷射战士2》网络对战模式介绍(喷射战士2网速要求) 2077猎杀谷仓安保(2077猎杀谷仓安保系统) csgostattrak数据互换器(csgo使用数据互换器会影响交易吗?) win11系统怎么升级(win11系统怎么升级微信) 《诺亚之心》捏脸数据大全(《诺亚之心》捏脸数据大全下载) 《天涯明月刀手游》染色系统怎么玩不了(天涯明月刀手游染色不见了) gog账号注册密码有什么要求(gog账号注册密码不安全) 《杀戮尖塔》卡牌系统相关游戏(《杀戮尖塔》卡牌系统相关游戏) 2k21艾弗森捏脸数据(nba2k22艾弗森捏脸) 2077网络监察(2077网络监察特工怎么选择) 《使命召唤18:先锋》g43僵尸模式数据怎么看(使命召唤18先锋ps4) lol手游外服可以转国服吗(英雄联盟手游外服数据互通吗) 暗黑地牢古董商人技能(暗黑地牢古董商人技能数据) 《天涯明月刀》手游能用电脑玩吗安全吗(《天涯明月刀》手游能用电脑玩吗安全吗知乎) 《对马岛之鬼》战斗系统点评怎么写(对马岛之鬼流派) 《王国之心3》游戏系统详细介绍图(王国之心3gamespot) 《博德之门3》女号捏脸数据推荐图(《博德之门3》女号捏脸数据推荐图) 《地牢战争》陷阱数据一览(地牢战争陷阱最高等级) csgo加利尔数据(csgo加利尔怎么用) 《破晓传说》战斗系统详细分析(破晓传说战斗中怎么使用道具) 《荣耀战魂》烈火行军dlc装备系统详解攻略(荣耀战魂火吗) 《天神镇物语》神力系统介绍大全(天神镇物语什么时候上线) 2077系统重置制作规范(2077系统重置致命吗) sd高达g世纪火线纵横废弃零件作用(sd高达g世纪火线纵横各项数据作用) steam游戏装在哪个文件夹(steam的游戏安装在哪个文件夹比较好) 《兵马俑》游戏配置要求(兵马俑网络游戏) cod安全区域设置(使命召唤安全区域) 《古剑奇谭3》战斗系统详解(《古剑奇谭3》战斗系统详解) 暗黑破坏神:不朽交易系统(暗黑破坏神不朽交易系统详解) 《幻塔》数据中继器怎么获取(幻塔分系统吗) lol手游台服网络连接错误(lol手游台服官网) 《荒野大镖客2》美国花马数据怎么看(《荒野大镖客2》美国花马数据怎么看不了) 《饥荒联机版》怎么存档备份到手机(饥荒联机版怎么保存数据) 《星球大战:前线2》氪金系统解析(星球大战前线2代币) 《原神》神里绫人属性数据是什么(原神神里绫人多久出) lol韩服掉线了永远连接不上(lol韩服掉线了永远连接不上网络) 《破坏领主》幻化系统开启方法介绍图(破坏领主怎么幻化装备) dnf修炼场有系统奶妈(dnf修炼场有系统奶妈装备吗) ps4联网不稳定掉线怎么解决(ps4网络一直断) 《原神》丽莎属性数据是什么意思(原神丽莎强度) 《喷射战士2》网络对战模式介绍(《喷射战士2》网络对战模式介绍) 《大将军:罗马》战斗系统详解(大将军,罗马) 《中华三国志》进贡系统和官爵系统详解(中华三国志贡献够了怎么升官) win10系统性感海滩3无法进入游戏(性感沙滩3win10) 《灰烬战线》押运盾章换什么装备(灰烬战线武装押运安全度) 2077免疫系统义体在哪买(赛博朋克2077免疫电击义体) 《古剑奇谭3》战斗系统解析(古剑奇谭3战斗力排行) 贝贝消防安全知识大全app下载贝贝消防安全知识大全文件系 linux下挂载NTFS和FAT文件系统数据安全保护数据安全全面了解快速关机的危害局域网内共享文件安全安全知识：局域网内共享文件安全性如何才能保障系统应用程序安全应用程序安全是保护数据的关键 Windows7中如何删除病毒文件夹应用指南：利用网络设备防范TCPSYN攻击操作系统位数查看windows操作系统位数部署基于Windows2008防火墙策略提升域安全解析系统资源不足形成与解决方案文件解决VistaWin7双系统画面混乱问题菜鸟宝典：两个技巧让Windows系统无毒磁盘数据的安全性限制访问磁盘加强数据的安全性巧用系统命令看是否中毒避免遭受攻击保证上传FTP服务器的安全发现病毒感染后怎样清理系统 RunEForce健身系统下载企业网络安全漏洞越来越多企业网络安全如何保障 linux系统日志不自动切分的问题打好新安全架构基础建立网络新秩序如何把任意文件隐藏在一张图片里? Windows2000操作系统内存优化全攻略芯平台管理系统下载交换机安全设置交换机安全设置六大原则总结如何解决XP和Windows7文件不能互访安全卡巴斯基全功能安全软件2009设置让WinXP十大系统服务隐患彻底消失光驱也疯狂Autorun病毒冒充文件夹 Linux系统telnet服务设置大全安全取证相机免费版下载安全取证相机关闭XP十大隐患提高系统的安全性 wpa无线网络 linux下wpa无线网络的配置安全技巧：防止你的主机成为“肉鸽” 安全第一第三层交换机预防病毒能力防范四种级别攻击确保Linux安全 linuxext3文件 linuxext3文件被删除如何恢复只防病毒并不安全　安全攻略全解优化预读文件设置 Linux系统下PPPOE拨号共享上网方法安全第一如何彻底的删除硬盘数据保障电子邮件安全的两种加密方式 Windows7通过本地连接快速解决网络问题安全管理漏应用服务器的常见安全管理漏洞文件系统 Linux文件系统精通指南系统内存优化 windows系统内存优化九秘招安全防范：堵住黑客常用缺口从禁止端口入手 Windows系统安全模式九大应用技巧系统中毒：一次病毒手杀记录 Windows系统服务器(网站)安全注意事项 Linux服务器安全 Linux服务器安全设置关闭无用端口 Linux系统各个目录的作用(中英文对照) 安全上网之“防毒八法” 改良系统窗口让文件打改良系统窗口让文件打开操作更加方便如何保障Server2008服务器的远程桌面安全 windows服务器八个需要注意的安全维护问题 RedHatLinux网络服务器构架实务(四) 关于木马在windows系统中的启动方式 Linux系统swap分区解决Linux系统swap分区太小问题系统安全命令安全基础Linux必学的系统安全命令如何巧妙利用Hosts文件有效防范QQ病毒系利用系统日志查看Windows7系统运行速度快速扫清系统中的木马在Windows系统下搭建SVN服务器船上高空作业(船上高空作业安全操作规程) 第五人格安全点(第五人格账号安全中心) 动森的天气系统(动森天气预测网站) 地铁跑酷安卓转苹果(地铁跑酷安卓怎么找回之前的数据) 苍翠猎弓突破(苍翠猎弓数据) 毒药法术伤害怎么算(毒药法术升级数据2020) 博德之门3更新50g(博德之门3更新文件损坏) 动物森友会保存数据转移(动物森友会怎么备份存档) 拆迁金库怎么进入管理(拆迁金库怎么进入管理系统) 超级机器人大战t系统详解(超级机器人大战t机体一览) 船员高空作业注意事项(船员高空作业安全) 地平线4网络差(地平线四网络问题解决方法) 刺客信条英灵殿保存数据损坏(刺客信条英灵殿存储数据损坏) 地痞街区安全旅行(地痞街区攻略秘籍) 船舶高空作业注意事项(船舶高空作业的安全风险) 动物森友会清楚数据(动物森友会保存数据转移) 戴森球计划基础物流系统(戴森球计划基础物流系统怎么解锁) 电竞传奇的存档文件夹(电竞传奇的存档文件夹怎么删除) 穿越火线跨系统(穿越火线跨系统角色转移卡怎么用) 船员高空作业安全(船舶高空作业安全注意事项) 崩坏三数据清除会怎么样(崩坏三数据包) 飙酷车神2911gt3rs调校数据(飙酷车神2gtr调教数据) 电竞传奇怎么修改数据(电竞传奇怎么修改数据库) 地平线4无法与xbox服务器连接(地平线4无法连接xbox网络) 动物森友会删档不删游戏(动物森友会删除保存数据) 电竞传奇怎么修改(电竞传奇怎么修改数据) 达龙云有云盘吗(达龙云有云盘吗安全吗) 部落冲突,超级法师(部落冲突超级法师数据) 刺客信条英灵殿家园系统(刺客信条英灵殿家园系统升级) 崩坏三数据文件在哪里(崩坏3数据文件) 飙酷车神2911gt3rs调校数据(飙酷车神2gtr34调教) 蛋仔派对房卡是永久的吗安全吗(蛋仔派对(测试服)) 电竞传奇怎么保存游戏数据(电竞传奇存档在哪) 地铁跑酷同步数据(地铁跑酷互通吗) 部落冲突戈仑石人升级数据表(coc戈仑石人升级数据) 刺客信条英灵殿保存数据损坏(英灵殿无法保存) 黑帽大会重磅炸弹：SSL安全不堪一击