隨著Linux企業應用的擴（kuò）展，有大量（liàng）的網絡服務器使（shǐ）用Linux操作係統。Linux服務（wù）器的安全性能受到越來越多的（de）關（guān）注，這裏根據Linux服務器（qì）受到攻擊的深度以級別形式（shì）列（liè）出，並提出不同的解決方案。

對Linux服（fú）務（wù）器攻擊的定義是：攻擊是一種旨在妨礙（ài）、損害、削弱（ruò）、破壞Linux服務器安全的未授權行為。攻擊的範（fàn）圍可（kě）以從服務拒絕直至完全危害和破（pò）壞Linux服務器。對Linux服務（wù）器攻擊有許多種類，本（běn）文從攻擊深度的角度說明，我們把攻擊分為四級。

攻擊級別一：服務拒絕攻擊（DoS）

由於DoS攻擊工具的泛濫，及所針對的（de）協議層的缺陷短時無法改變的事實，DoS也就成為了流傳最廣、最難防範的攻擊方式。

服務拒絕攻擊包括分布式拒絕服（fú）務攻擊、反射式分布拒（jù）絕服務攻擊、DNS分布拒絕服務攻（gōng）擊、FTP攻擊（jī）等。大多數服務拒絕攻擊導（dǎo）致相對低級的危險（xiǎn），即便是那些可能導致係（xì）統（tǒng）重啟的攻擊也（yě）僅僅是暫時（shí）性的問題。這類攻擊在很大程度（dù）上不同於那些想獲取網絡控製的攻擊（jī），一般不（bú）會對數據（jù）安全有影響，但是（shì）服務（wù）拒絕攻擊會持（chí）續很（hěn）長一段時間，非常（cháng）難纏。

到目（mù）前為止，沒有一個絕對的方法可（kě）以製止這類攻擊。但這並不表明我們（men）就（jiù）應束手就擒（qín），除了強調個人主機（jī）加強保護不被利（lì）用的重要性外，加強對服務器的管理是非常（cháng）重（chóng）要（yào）的一環。一（yī）定（dìng）要安裝驗證軟件和過濾功能，檢驗（yàn）該報文的（de）源地址的真實地址。另外對於幾種服務拒絕可以采用以下措施（shī）：關閉（bì）不必要的服務、限製同時打開（kāi）的Syn半連接數（shù）目、縮短Syn半連接的time out 時間、及時更新係統（tǒng）補丁。

攻擊級別二：本地用戶（hù）獲取了他們非授權的（de）文件的讀寫權（quán）限

本地用戶是指在本地網絡的任一台機器上有口令、因而在（zài）某（mǒu）一驅動器上有一個目錄的用戶。本地用戶獲取到了他們非授權的文件的讀寫權限的問題是否構成（chéng）危險很大（dà）程（chéng）度上要看（kàn）被訪問文件（jiàn）的關鍵性。任何本地用戶隨意訪問臨時（shí）文件目錄（/tmp）都具有（yǒu）危險性，它能夠潛在地鋪設（shè）一條通向下一級別攻擊的路徑。

級別（bié）二（èr）的主（zhǔ）要攻擊方法是：黑客誘騙合法用戶告知其機（jī）密信息或執行任務，有時（shí）黑客會假裝網絡管理人員向用戶發送郵件，要求（qiú）用戶給他係統升級的密碼。

由本地用戶啟動的攻擊幾乎都是從（cóng）遠程登錄開始。對於Linux服務器，最好的辦法是將所有shell賬號放置於一個單獨的機器上，也就是說，隻在一台或多台分配有shell訪問的（de）服務器上接受注冊（cè）。這可以使日誌管理、訪問控製管理、釋放協議和其他潛在的安（ān）全問題（tí）管理更容易些。還應該將存放用戶CGI的係統區分出來。這些機器應該隔離在特（tè）定的網絡區段（duàn），也就是說，根（gēn）據網絡的（de）配置情況，它們應該被路由器或（huò）網絡交換機包圍。其拓撲結構（gòu）應（yīng）該確保硬件地址欺騙也（yě）不（bú）能超出這個（gè）區段。

攻擊級別三：遠程用戶獲得特權文件（jiàn）的讀寫權（quán）限

第三級別的攻擊能做到的不隻是核實特定文（wén）件是否存在，而且還（hái）能讀寫這些文件。造成這種情況的原因是：Linux服務器配置（zhì）中出（chū）現這（zhè）樣（yàng）一些弱點：即遠程用戶無需有（yǒu）效賬號就可以在服務器上執行（háng）有（yǒu）限數量（liàng）的命令。

密碼攻（gōng）擊法是第三級別中的主要攻擊法，損（sǔn）壞密碼是最常見的攻擊方法。密碼破（pò）解是用以描述在使用或不使用工具的情況下滲透網絡、係統或資源以解鎖用密碼保（bǎo）護的（de）資（zī）源的一個術語。用戶常常忽略他們的密碼，密碼政策很難得到實（shí）施。黑客有多種工具可以擊敗（bài）技術和社會所保護的密碼。主要包（bāo）括：字典攻擊（jī）（Dictionary attack）、混合攻擊（Hybrid attack）、蠻力攻擊（Brute force attack）。一旦黑客（kè）擁有了用戶的密碼，他就（jiù）有很多用戶的（de）特權。密碼猜想是指手工進入普通密碼或通過編好程序的正本取得密碼。一些（xiē）用戶選擇簡單的密碼—如生（shēng）日、紀念日和配（pèi）偶名字（zì），卻並不遵循應使用（yòng）字母、數字混合使用的規則。對黑客來說要猜出一（yī）串8個字生日數據不用花多（duō）長時間。

防範第三級別的（de）攻擊的最好的防衛方法便是嚴格控製進入特權，即使用有效的密碼。

◆ 主要包括密碼應當（dāng）遵循字母、數字、大小寫（因為（wéi）Linux對大小寫是有區分）混合使用的規則。

◆ 使（shǐ）用象“#”或“%”或“$”這樣的特殊字符也會添加複雜性。例（lì）如采用"countbak"一（yī）詞，在它後麵添加“#$”（countbak#$），這樣您就（jiù）擁有了一個相當有效的密（mì）碼。

攻擊級別（bié）四：遠程用戶獲得根權限

第四攻擊級別是指那（nà）些決不應該發生（shēng）的事發生（shēng）了（le），這是致命的攻擊。表示攻擊者擁有（yǒu）Linux服務器的根、超級用戶或管理員許可權，可以讀、寫並執行所有文件。換句話說，攻擊者具有（yǒu）對Linux服務器的全部控製（zhì）權，可以在任何（hé）時刻都能夠完全關閉甚至毀（huǐ）滅此網絡。

攻擊級別四主（zhǔ）要攻擊形式是TCP/IP連續偷竊，被動通道聽取和信息包攔截。TCP/IP連續偷竊，被動通道聽取和信息包攔截，是為進入網絡收集重要信息的方法，不像（xiàng）拒絕服務攻擊，這些方法有更（gèng）多類似（sì）偷竊的性質，比較隱蔽（bì）不易被發現。一次成功的TCP/IP攻擊能（néng）讓黑客（kè）阻攔兩個團體之間的交易，提供中間（jiān）人襲擊的良好機會，然後黑客會在不被受害者注意的（de）情況下控製一方（fāng）或（huò）雙方的交易。通過被動竊聽，黑客會（huì）操縱（zòng）和登（dēng）記信息（xī），把文件送達，也會從目標係統上所有可通過的通道找到可通過的致命要害。黑客會（huì）尋找（zhǎo）聯機和密碼的結合點，認出申請（qǐng）合法的通道。信息包攔（lán）截是指在目標係統約束一個活躍的聽者程序以攔（lán）截和更改所有的（de）或特別的信息的地址。信息可（kě）被改送到非法係統閱讀，然後不（bú）加改變地送回給黑客。

TCP/IP連（lián）續偷竊實際就是網絡嗅探，注意如果（guǒ）您確信有（yǒu）人（rén）接了嗅探器到自（zì）己的網絡上，可以去找一些進行（háng）驗證的工具。這種工具稱（chēng）為時域反（fǎn）射計量器（qì）(Time Domain Reflectometer，TDR)。TDR對電磁波的傳播和變化進行測量。將一（yī）個TDR連（lián）接到網絡上，能夠檢（jiǎn）測到未授權的獲取網絡數據的設備。不（bú）過很多中小公司沒（méi）有這種價格昂貴的工具。對於防範嗅探器的攻擊最好的方法是：

1、安全的拓撲（pū）結構。嗅探器（qì）隻能在當（dāng）前網絡段上（shàng）進行數（shù）據捕獲。這就意味著，將網絡分（fèn）段（duàn）工作進（jìn）行得越細，嗅（xiù）探器能（néng）夠收集的信息就越少。
2、會話加密。不用特別地擔心數據被嗅探，而是要想辦法使得嗅探器不認識嗅探到的數據。這種方法的優點是明顯的：即使攻擊者嗅探到了數據，這些數據對（duì）他也是沒有用的。

特別提示：應對攻擊的反擊措施（shī）

對於超過第二級別（bié）的攻擊您就要特別注意了（le）。因為它們可以不斷的提升攻擊級別，以滲透Linux服務器。此時，我（wǒ）們可以采取的（de）反擊措施有：
◆ 首先備份重要的企業關鍵數據。

◆ 改變係統中（zhōng）所有口令，通知用戶找係統（tǒng）管理員得到新口令。

◆ 隔離該網絡網段使攻擊行為僅出現在一個小（xiǎo）範圍內。

◆ 允許（xǔ）行為繼續進行。如有可能，不要急於把攻擊（jī）者（zhě）趕出係統，為下一步作準備。

◆ 記錄所有行為，收集證據。這些證據包括：係統登錄文件、應（yīng）用登錄文件、AAA（Authentication、Authorization、 Accounting，認（rèn）證、授權、計費）登錄文件，RADIUS（Remote Authentication Dial-In User Service） 登錄，網絡單元登錄（Network Element Logs）、防火牆登錄、HIDS（Host-base IDS，基（jī）於主機的（de）入侵檢測（cè）係統） 事（shì）件、NIDS（網絡入侵檢測（cè）係統）事（shì）件、磁盤驅動（dòng）器、隱含文件等。收集證據時要注意：在移動或（huò）拆（chāi）卸任何設備之前都（dōu）要拍照；在調查中要遵循兩人（rén）法則，在（zài）信息收集（jí）中要至少有兩個人，以防止篡改信息；應記錄所采取的所有步驟以及對配置設置的任何改變，要把這些記錄保存在（zài）安（ān）全的地方。檢查係統所有（yǒu）目錄的存取許可，檢測Permslist是否（fǒu）被（bèi）修改過。

◆ 進行各種（zhǒng）嚐試(使用網絡的不（bú）同部分)以識別出攻擊源。

◆ 為了使（shǐ）用法律武器打擊犯罪行為，必須保留證據，而形（xíng）成證據需要（yào）時間。為了做到這一點，必須（xū）忍受攻擊（jī）的（de）衝擊(雖然可以製定一些安全（quán）措施來確保（bǎo）攻擊（jī）不損害網絡（luò）)。對此情形，我們（men）不但要（yào）采取一些法律（lǜ）手段，而（ér）且（qiě）還要至少請一家有權威的安全公司協助阻止這種犯罪。這類操作的最重要特點（diǎn）就是取得犯罪的證據、並查找（zhǎo）犯罪者的地址，提供所擁有的（de）日誌。對於所搜集到的證（zhèng）據，應進行有效（xiào）地保存（cún）。在開始時製作兩份（fèn），一個用於評估證據，另一個用於法律驗證。

◆ 找到係統漏洞後設法堵住漏洞，並進行自我攻擊測試（shì）。

網絡安全已經不（bú）僅僅是（shì）技術問題，而是一個（gè）社會問題。企業應當提高對網絡安全重視，如果一味地隻依靠技術工具，那就會越來越被動；隻有發揮社（shè）會和法律方麵打擊網絡犯罪，才能更加有效。我國對於打擊（jī）網絡犯罪已經有了明確的司法解釋，遺憾的是大多（duō）數企業隻重視技術環節的作用而（ér）忽略法律、社會因素（sù），這也（yě）是本文的寫作（zuò）目的。

拒絕服務攻擊（DoS）

DoS即（jí）Denial Of Service，拒絕（jué）服務的縮寫，可不能認為是微軟的DOS操作係統！DoS攻擊即讓目標機器（qì）停（tíng）止提（tí）供服務或資源訪問（wèn），通常是以消耗服（fú）務器端資源為（wéi）目標，通過偽造超過服務器處理能力的（de）請求數據造成服（fú）務（wù）器響應阻塞，使正常的用戶請求得不（bú）到應答，以實（shí）現攻擊目的。