很明显，服务器上跑的服务，并不是每个都有用的。强烈建议检查并关掉不需要的服务，从而减少风险（多跑一个服务，就可能多几个漏洞）。
查询运行在runlevel 3的服务列表：
[afei@afei ~]# /sbin/chkconfig --list |grep '3:on' 关闭指定的服务： [afei@afei ~]# chkconfig ip6tables off
疑问：为什么查询runlevel 3的服务？
Linux系统有7个运行级别(runlevel)，分别如下：
runlevel 0：系统停机状态，系统默认运行级别不能设为0，否则不能正常启动；
runlevel 1：单用户工作状态，root权限，用于系统维护，禁止远程登陆；
runlevel 2：多用户状态(没有NFS)；
runlevel 3：完全的多用户状态(有NFS)，登陆后进入控制台行模式。这个运行级别的服务会启动httpd，系统提供web server服务，所以主要查看这个运行级别的服务；
runlevel 4：系统未使用，保留；
runlevel 5：X11控制台，登陆后进入图形GUI模式；
runlevel 6：系统正常关闭并重启，默认运行级别不能设为6，否则不能正常启动；
通过netstat命名能够看到所有已经打开的端口，并且可以看到是哪些程序打开的。如果发现某些是必须要的，建议关掉：
[afei@afei~]# netstat -tulpn Active Internet connections (only servers) Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 0.0.0.0:2181 0.0.0.0:* LISTEN 48983/java tcp 0 0 0.0.0.0:2182 0.0.0.0:* LISTEN 49051/java
linux的cron可以执行一些定时任务。并且还可以通过/etc/cron.allow 和 /etc/cron.deny 控制哪些用户可以运行JOB，哪位用户禁止运行JOB。例如:
允许用户afei允许JOB，执行如下： echo afei >> /etc/cron.allow 禁止所有用户访问JOB，执行如下命令： echo ALL >>/etc/cron.deny
linux用户的旧密码保存在文件/etc/security/opasswd中：
[root@LAPP-V1159 ~]# cat /etc/security/opasswd afei:504:4:$1$MVAi/EpJ$iXXkV5r3Hjc8AaK2b5KyQ/,$1$AbpFPYaD$ZKj12lK6qaYUqgQnEdocd0,$1$POabjmzY$F4Cp6aTwN6RRk1KjZWm8A/,$1$LoHe5GHY$QjkLGqABANpLmlQsRB4WE. 检查是否有开启限制使用旧密码，在RHEL / CentOS / Fedora系统中，查看文件：/etc/pam.d/system-auth。在Ubuntu/Debian/Linux Mint系统中，查看文件：/etc/pam.d/common-password，需要下面两行关键内容，其中remember=4，表示不能使用最后4次密码，否则会报错：Password has been already used. Choose another.： auth sufficient pam_unix.so nullok try_first_pass password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=4
密码的过期属性可以通过如下命令查看：
[root@root ~]# chage -l afei Last password change : Sep 14, 2018 Password expires : Nov 13, 2018 Password inactive : never Account expires : never Minimum number of days between password change : 0 Maximum number of days between password change : 60 Number of days of warning before password expires : 7 修改密码的过期属性可以执行如下命令： chage -M 60 -W 7 afei 说明： -M 60表示密码最大有效期是60天。 -W 7 表示密码还有7天过期时给出告警提醒。
密码为空意味着只要知道用户名就能访问，这非常危险。因为用户与密码信息保存在文件/etc/shadow中，且格式如下：
admin:$6$YTSkre3DLd4SAZ$Jy9piv/gPezhLrLzMMeUleV8F5DNjP:17765:0:99:5:::
afei:$6$.vMcyE9ss96$YNk2Q5qiS/SAeGCcyEFsmspkC5dr3OXfnN:17788:0:60:7:::
后面的几个数字是密码过期等属性信息，上面已经提及。
所以，检查密码为空的用户，只需要执行如下命令即可，如果发现有这样的用户，通过root用户执行passwd username强行修改它的密码：
cat /etc/shadow | awk -F: '($2==""){print $1}'
和删除用户账户不一样，这个只是限制用户登录。只需要执行如下密码即可锁定&解锁用户：
[root@root ~]# passwd -l afei Locking password for user afei. passwd: Success [root@root ~]# passwd -u afei Unlocking password for user afei. passwd: Success
说明：
参数l表示lock，即锁定用户密码；
参数u表示unlock，即解锁用户密码；
现在IPv6基本上没有实际使用，所以我们可以关掉它，在文件/etc/sysconfig/network中增加如下两行内容即可：
NETWORKING_IPV6=no IPV6INIT=no
Linux服务器上很多的行为都会有记录相应的日志，简单列举一些如下，如果有一些非法操作，就能从这些日志中造成蛛丝马迹，例如非法登陆，非法定时任务等：
/var/log/message – Where whole system logs or current activity logs are available. /var/log/auth.log – Authentication logs. /var/log/kern.log – Kernel logs. /var/log/cron.log – Crond logs (cron job). /var/log/maillog – Mail server logs. /var/log/boot.log – System boot log. /var/log/mysqld.log – MySQL database server log file. /var/log/secure – Authentication log. /var/log/utmp or /var/log/wtmp : Login records file. /var/log/yum.log: Yum log files.
总是让系统更新最新发行的补丁包，因为这些补丁包会修复一些BUG：
sudo apt-get upgrade yum check-update yum upgrade
原文来自：
本文地址：//gulass.cn/linux-safety-skill.html编辑：public，审核员：逄增宝
Linux命令大全：
Linux系统大全：
