探究NFS服务器的安全问题

2023-04-02 05:39:35
来源：本站整理
在手机上看

扫一扫立即进入手机端

　　我们知道，网络的发展离不开资源的共享。那么在这里面我们则是使用NFS协议来完成共享的。那么对NFS服务器的一些安全问题，我们则要时刻注意。NFS是网络文件系统（Network File System）的简称，是分布式计算系统的一个组成部分，可实现在异种网络上共享和装配远程文件系统。NFS由Sun公司开发，目前已经成为文件服务的一种标准（RFC1904，RFC1813）。其最大的功能就是可让不同操作系统的计算机共享数据，所以也可以将它看做是一个文件服务器。NFS提供了除SAMBA之外，Windows与Linux、Unix与Linux之间通信的方法。

　　任何网络服务器都会有安全问题，NFS也不例外。由于设计方面的因素，NFS服务器不可能绝对安全。一般来说，不应该将NFS服务器运行在比较敏感的系统或者只有一般防火墙的机器上，应该尽量将其置于防火墙之后。配置安全的NFS服务器，可以从限制RCP服务的访问和控制文件系统的导出权限两方面着手。

　　NFS面临的安全隐患

　　因为NFS在网络上明文传输所有信息，按照默认设置，NFS共享把根用户改成用户nfsnobody，它是一个不具备特权的用户账号。这样，所有根用户创建的文件都会被用户nfsnobody所有，从而防止了设置setuid的程序被上传到系统。如果使用了no_root_squash，远程用户就能够改变共享文件系统上的任何文件，把设置了特洛伊木马的程序留给其他用户，在无意中执行。

　　NFS服务器安全策略

　　（1）使用TCP_Wrappers

　　portmap和rpc.nfsd结合起来，使NFS服务器上的文件即使没有任何权限也能容易得到。可以使用访问控制保障网络安全，在使用NFS时最好结合TCP_Wrappers来限制使用范围。

　　（2）注意配置文件语法错误

　　NFS服务器通过/etc/exports文件来决定要导出哪些文件系统，以及把这些目录导出到哪些主机上。编辑这个文件的时候要特别小心，不要添加额外的空格。

　　例如：/etc/exports文件的以下行会使主机bob.example.com 能够共享/tmp/nfs/目录。

　　/tmp/nfs/ bob.example.com(rw)

　　但是 /etc/exports 文件中这一行的情况却不同。它共享同一目录，让主机 bob.example.com 拥有只读权限，却给全局以读写权限。这全是由主机后面的一个空格造成的。

　　/tmp/nfs/

　　bob.example.com (rw)

　　使用 showmount 命令来校验哪些目录被共享，从而检查NFS共享配置是一个好习惯。showmount格式为：

　　showmount -e

　　（3）使用iptables防火墙

　　因为NFS在网络上明文传输所有信息，所以让NFS服务器在防火墙后、在一个分段的安全网络上运行就很重要。无论何时在不安全的网络上传递NFS信息都有被截取的危险。从这个角度讲，谨慎制定网络计划就有助于防御重要的安全破坏。限制RCP服务访问的办法一般是使用防火墙，除了TCP-Wrapper还有ipchians和iptalbes的防火墙。在全面使用Linux 2.4或更高版本内核的今天，了解iptables这种防火墙方法也就足够了。缺省的状态下，portmap使用111端口，而NFS使用2049端口，可以通过iptables来限制对该端口的访问：

　　iptables -t filter -A INPUT -p udp -d 127.0.0.1 –dport 111 -j DROP iptables -t filter -A INPUT -p udp -d 127.0.0.1 –dport 2049 -j DROP iptables -t filter -A INPUT -p udp -s trusted_client -d this_server_ip –dport \2049 -j ACCEPTiptables -t filter -A INPUT -p udp -s not_trusted_client -d this_server_ip -dport \2049 -j DROP

　　（4）把开放目录限制为只读权限

　　可以在/etc/exports文件中设定权限选项ro，通常需要把NFS服务器对客户开放的任何目录或文件系统设置为只读访问：

　　/app devpc.nitec.com(ro)

　　这样，devpc.nitec.com网络中的客户只能对/app目录进行只读访问。

　　（5）禁止对某些目录的访问

　　当开放一个完整的文件系统或者一个目录时，缺省情况下它的子目录会自动开放访问权限。如果希望限制对其子目录的访问可以使用noaccess访问选项，例如希望开放/pub目录权限但是禁止访问/pub/staff-only子目录：

　　/pub weblab-??.nitec.com (ro)

　　/pub/staff-only weblab-??.nitec.com (noaccess)

　　注意： “？？“代表任意字符。

　　（6）root squashing访问问题

　　按照默认设置，root用户的用户ID和组群ID都是0。root权限压缩（Root squashing）把用户ID0和组群ID0映射为匿名的用户和组群ID，因此客户上的根用户就不会在NFS服务器上具备根特权。如果这个选项被选，root用户就不会被映射为匿名用户，客户上的root用户就会对导出的目录拥有根特权。选择这个选项会大大降低系统的安全性。除非绝对必要，请不要选择它。为了明确执行该规则，可以修改文件/etc/exports：

　　/www www1.nitec.com(rw, root_squash)

　　这样如果客户端的UID0（root）用户想要访问（读、写、删除）一个NFS文件系统，服务器端会用UID代替服务器的nobody账户。这样客户端的root用户不能修改和访问服务器端root用户才能访问和修改的文件。

　　（7）使用nosuid和noexec选项

　　SUID（Set User ID）或SGID（Set Group ID）程序可以让普通用户以超过自己权限的形式执行。很多SUID/SGID可执行程序是必须的，比如上面提到的passwd。SUID/SGID程序会被一些恶意的本地用户利用，获取本不应有的权限。运行以下命令可以找到所有具有这一属性的程序：

　　#find / \( -perm -4000 -o -perm -2000 \)

　　使用者必须查看这一列表，尽量减少那些所有者是root或是在root组中却拥有SUID/SGID属性的文件，删除或对其属性进行更改。使用nosuid选项禁止set-UID程序在 NFS服务器上运行，可以修改文件/etc/exports加入一行：

　　/www www1.nitec.com(rw, root_squash, nosuid)

　　上面的例子说明：/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是不能运行set- UID程序。

　　/www www1.nitec.com(rw, root_squash, noexec)

　　上面的例子说明/www目录在www1.nitec.com上可以登录，www1.nitec.com的用户可以读取/www中的文件和目录，但是禁止所登录文件系统中文件的执行。

　　NFS是非常重要的网络协议，许多企业通过NFS协议共享硬盘和其它设备。把能登录NFS目录设置为只读访问、提高portmap服务的安全性、squashing root访问、使用on set-UID 和non executable文件设置可以提高NFS服务器的安全。

标签: apex突然连接服务器超时(apex连接服务器超时cloud) dayz帐篷放哪里最安全(dayz帐篷) apex各服务器(apex各服务器加速器延迟) cod18无法(cod18无法连接线上服务) 暗黑破坏神2重制版服务器互通(暗黑破坏神2服务器) nba2k19连接不上服务器可以玩生涯模式么(nba2k19一直连不上服务器) gog账号注册密码有什么要求(gog账号注册密码不安全) apex英雄无法连接服务器(apex无法连接到服务器) csgo社区服怎么进网页(csgo社区服务器怎么找) lol手游显示服务器尚未开启是什么意思(lol手游服务器暂时不可用) 《天涯明月刀》手游能用电脑玩吗安全吗(《天涯明月刀》手游能用电脑玩吗安全吗知乎) ubisoft服务器不可用(ubisoft服务器不可用怎么办) cod安全区域设置(使命召唤安全区域) ubisoft服务目前不可用解决方案(uplayubisoft服务目前不可用) 《网易》多款游戏因服务器故障出现登录异常怎么办(网易服务器瘫痪) 暗黑破坏神不朽什么时候开服(暗黑破坏神不朽什么时候开服务器) dayz服务器架设教程(dayz服务器搭建) 《灰烬战线》押运盾章换什么装备(灰烬战线武装押运安全度) 暗黑破坏神不朽开服(暗黑破坏神不朽最新服务器) 贝贝消防安全知识大全app下载贝贝消防安全知识大全保护数据安全全面了解快速关机的危害局域网内共享文件安全安全知识：局域网内共享文件安全性如何才能保障刀片服务器刀片服务器硬盘启动Linux独立安装应用程序安全应用程序安全是保护数据的关键查博士二手车服务下载部署基于Windows2008防火墙策略提升域安全好慷在家家政服务平台下载家政服务app 磁盘数据的安全性限制访问磁盘加强数据的安全性避免遭受攻击保证上传FTP服务器的安全服务器流量控制使用linux下的TC进行服务器流量控制企业网络安全漏洞越来越多企业网络安全如何保障交换机安全设置交换机安全设置六大原则总结安全卡巴斯基全功能安全软件2009设置让WinXP十大系统服务隐患彻底消失 Linux系统telnet服务设置大全安全取证相机免费版下载安全取证相机关闭XP十大隐患提高系统的安全性安全技巧：防止你的主机成为“肉鸽” 爱山东政务服务网企业开办一窗通服务平台下载安全第一第三层交换机预防病毒能力防范四种级别攻击确保Linux安全丢失WindowsAudio服务（AudioSrv）［警告：2003不一定适用只防病毒并不安全　安全攻略全解安全第一如何彻底的删除硬盘数据保障电子邮件安全的两种加密方式应用服务器安全管理漏应用服务器的常见安全管理漏洞 Radius服务器在ISA中利用Radius服务器搭建VPN服务器安全防范：堵住黑客常用缺口从禁止端口入手 Windows系统安全模式九大应用技巧服 Windows系统服务器(网站)安全注意事项 Linux服务器安全 Linux服务器安全设置关闭无用端口安全上网之“防毒八法” Server2008服务器如何保障Server2008服务器的远程桌面安全服务器 windows服务器八个需要注意的安全维护问题 RedHatLinux网络服务器构架实务(四) 代理服务器新手用Linux做代理服务器三招搞定系统安全命令安全基础Linux必学的系统安全命令在Windows系统下搭建SVN服务器船上高空作业(船上高空作业安全操作规程) 第五人格安全点(第五人格账号安全中心) 盗贼之海的服务器暂时不可用(盗贼之海的服务器暂时不可用llamabeard) 彩虹六号围攻服务器稳定吗(彩虹六号围攻服务器稳定吗) 地平线4版本不兼容无法连接服务器(地平线4无法链接服务器) 彩虹六号围攻连接失败2-0×0000c015(彩虹六号围攻登录上去后,为什么一直显示连接服务器) 喋血复仇被ban(喋血复仇被游戏服务器踢出,因为客户端反作弊认证失败) 东方证券的东方钱包是什么服务(东方钱包怎么样) 船员高空作业注意事项(船员高空作业安全) 地痞街区安全旅行(地痞街区攻略秘籍) 船舶高空作业注意事项(船舶高空作业的安全风险) 超级巴基球攻略(超级巴基球无法搜索到服务器) 地平线4xbox服务器连接已阻止解决方法(地平线4xboxlive服务器连接已阻止) 船员高空作业安全(船舶高空作业安全注意事项) 彩虹6号改服务器(彩虹6号修改服务器) 彩虹六号围攻连接不到服务器(彩虹六号围攻登录上去后,为什么一直显示连接服务器) 地平线4无法与xbox服务器连接(地平线4无法连接xbox网络) 超猎都市进不去vulkan(超猎都市进不去服务器) 彩虹六号如何裸连服务器(彩虹六号怎么裸连充值) 崩坏3通过uid判断什么服务器(崩坏三官服uid) 达龙云有云盘吗(达龙云有云盘吗安全吗) 刺客信条英灵殿千眼商会不能对话(英灵殿千眼商会在线服务错误) 彩虹六号围攻哪个服务器人多(彩虹六号围攻哪个服人最多?) 蛋仔派对房卡是永久的吗安全吗(蛋仔派对(测试服)) 彩虹六号围攻服务器稳定吗(彩虹六号围攻会关服吗) 穿越火线社区服务器在哪里(穿越火线社区在线是什么意思) 黑帽大会重磅炸弹：SSL安全不堪一击

游戏推荐

apex突然连接服务器超时(apex连接服务器超时cloud) dayz帐篷放哪里最安全(dayz帐篷) apex各服务器(apex各服务器加速器延迟) cod18无法(cod18无法连接线上服务) 暗黑破坏神2重制版服务器互通(暗黑破坏神2服务器) nba2k19连接不上服务器可以玩生涯模式么(nba2k19一直连不上服务器) gog账号注册密码有什么要求(gog账号注册密码不安全) apex英雄无法连接服务器(apex无法连接到服务器) csgo社区服怎么进网页(csgo社区服务器怎么找) lol手游显示服务器尚未开启是什么意思(lol手游服务器暂时不可用) 《天涯明月刀》手游能用电脑玩吗安全吗(《天涯明月刀》手游能用电脑玩吗安全吗知乎) ubisoft服务器不可用(ubisoft服务器不可用怎么办) cod安全区域设置(使命召唤安全区域) ubisoft服务目前不可用解决方案(uplayubisoft服务目前不可用) 《网易》多款游戏因服务器故障出现登录异常怎么办(网易服务器瘫痪) 暗黑破坏神不朽什么时候开服(暗黑破坏神不朽什么时候开服务器) dayz服务器架设教程(dayz服务器搭建) 《灰烬战线》押运盾章换什么装备(灰烬战线武装押运安全度) 暗黑破坏神不朽开服(暗黑破坏神不朽最新服务器) 贝贝消防安全知识大全app下载贝贝消防安全知识大全保护数据安全全面了解快速关机的危害局域网内共享文件安全安全知识：局域网内共享文件安全性如何才能保障刀片服务器刀片服务器硬盘启动Linux独立安装应用程序安全应用程序安全是保护数据的关键查博士二手车服务下载部署基于Windows2008防火墙策略提升域安全好慷在家家政服务平台下载家政服务app 磁盘数据的安全性限制访问磁盘加强数据的安全性避免遭受攻击保证上传FTP服务器的安全服务器流量控制使用linux下的TC进行服务器流量控制企业网络安全漏洞越来越多企业网络安全如何保障交换机安全设置交换机安全设置六大原则总结安全卡巴斯基全功能安全软件2009设置让WinXP十大系统服务隐患彻底消失 Linux系统telnet服务设置大全安全取证相机免费版下载安全取证相机关闭XP十大隐患提高系统的安全性安全技巧：防止你的主机成为“肉鸽” 爱山东政务服务网企业开办一窗通服务平台下载安全第一第三层交换机预防病毒能力防范四种级别攻击确保Linux安全丢失WindowsAudio服务（AudioSrv）［警告：2003不一定适用只防病毒并不安全　安全攻略全解安全第一如何彻底的删除硬盘数据保障电子邮件安全的两种加密方式应用服务器安全管理漏应用服务器的常见安全管理漏洞 Radius服务器在ISA中利用Radius服务器搭建VPN服务器安全防范：堵住黑客常用缺口从禁止端口入手 Windows系统安全模式九大应用技巧服 Windows系统服务器(网站)安全注意事项 Linux服务器安全 Linux服务器安全设置关闭无用端口安全上网之“防毒八法” Server2008服务器如何保障Server2008服务器的远程桌面安全服务器 windows服务器八个需要注意的安全维护问题 RedHatLinux网络服务器构架实务(四) 代理服务器新手用Linux做代理服务器三招搞定系统安全命令安全基础Linux必学的系统安全命令在Windows系统下搭建SVN服务器船上高空作业(船上高空作业安全操作规程) 第五人格安全点(第五人格账号安全中心) 盗贼之海的服务器暂时不可用(盗贼之海的服务器暂时不可用llamabeard) 彩虹六号围攻服务器稳定吗(彩虹六号围攻服务器稳定吗) 地平线4版本不兼容无法连接服务器(地平线4无法链接服务器) 彩虹六号围攻连接失败2-0×0000c015(彩虹六号围攻登录上去后,为什么一直显示连接服务器) 喋血复仇被ban(喋血复仇被游戏服务器踢出,因为客户端反作弊认证失败) 东方证券的东方钱包是什么服务(东方钱包怎么样) 船员高空作业注意事项(船员高空作业安全) 地痞街区安全旅行(地痞街区攻略秘籍) 船舶高空作业注意事项(船舶高空作业的安全风险) 超级巴基球攻略(超级巴基球无法搜索到服务器) 地平线4xbox服务器连接已阻止解决方法(地平线4xboxlive服务器连接已阻止) 船员高空作业安全(船舶高空作业安全注意事项) 彩虹6号改服务器(彩虹6号修改服务器) 彩虹六号围攻连接不到服务器(彩虹六号围攻登录上去后,为什么一直显示连接服务器) 地平线4无法与xbox服务器连接(地平线4无法连接xbox网络) 超猎都市进不去vulkan(超猎都市进不去服务器) 彩虹六号如何裸连服务器(彩虹六号怎么裸连充值) 崩坏3通过uid判断什么服务器(崩坏三官服uid) 达龙云有云盘吗(达龙云有云盘吗安全吗) 刺客信条英灵殿千眼商会不能对话(英灵殿千眼商会在线服务错误) 彩虹六号围攻哪个服务器人多(彩虹六号围攻哪个服人最多?) 蛋仔派对房卡是永久的吗安全吗(蛋仔派对(测试服)) 彩虹六号围攻服务器稳定吗(彩虹六号围攻会关服吗) 穿越火线社区服务器在哪里(穿越火线社区在线是什么意思) 黑帽大会重磅炸弹：SSL安全不堪一击