一、终端登录安全控制

1、限制root在安全终端登录
安全终端配置：/etc/securetty
如图我们执行“vim /etc/securetty”命令进入配置文件，只需从该文件中删除或者注释掉对应的行即可禁止 root 用户从指定的终端登录。

2、禁止普通用户登录
当服务器正在进行备份或调试等维护工作时，可能不希望再有新的用户登录系统。这时候，只需要简单地建立/etc/nologin 文件即可。
如图执行“touch /etc/nologin”命令即可禁止普通用户登录。执行“rm -rf /etc/nologin”命令即可取消登录限制。

二、系统弱口令检测

John the Ripper 是一款开源的密码破解工具，能够在已知密文的情况下快速分析出明文的密码字串，支持 DES、MD5 等多种加密算法，而且允许使用密码字典（包含各种密码组合的列表文件）来进行暴力破解。通过使用 John the Ripper对shadow文件的口令分析，可以检测系统用户账号的密码强度。
1、下载并执行”smbclient -L //主机ip地址/查看共享安装John the Ripper工具包并执行“mount.cifs //主机ip地址/john /mnt/ ”命令将文件挂载至CentOS。

2、我们在src目录中执行“yum install gcc gcc-c++ -y”命令安装编译工具。

3、安装好后，执行“make linux-x86-64”命令直接开始编译生成一个脚本文件，然后执行“./john /etcpasswd /etc/shadow”命令去分析。

三、网络断口扫描——NMAP

NMAP 是一个强大的端口扫描类安全评测工具，官方站点是 http://nmap.org/。NMAP 被设计为检测众多主机数量的巨大网络，支持 ping 扫描、多端口检测、OS 识别等多种技术。 使用 NMAP 定期扫描内部网络，可以找出网络中不可控的应用服务，及时关闭不安全的服务，减小安全风险。
1、NAMP扫描语法：

2、常用的扫描类型如下：
-sS，TCP SYN扫描（半开扫描）：只向目标发出SYN数据包，如果收到SYN/ACK响应包就认为目标端口正在监听，并立即断开连接；否则认为目标端口并未开放。
-sT，TCP连接扫描：这是完整的TCP扫描方式，用来建立一个TCP连接，如果成功则认为目标端口正在监听服务，否则认为目标端口并未开放。
-sF，TCP FIN扫描：开放的端口会忽略这种数据包，关闭的端口会回应RST数据包。许多防火墙只对SYN数据包进行简单过滤，而忽略了其他形式的TCP包。这种类型的扫描可间接检测防火墙的健壮性。
-sU，UDP扫描：探测目标主机提供哪些UDP服务，UDP 扫描的速度会比较慢。
-sP，ICMP扫描：类似于ping检测，快速判断目标主机是否存活，不做其他扫描。
-P0，跳过 ping 检测：这种方式认为所有的目标主机是存活的，当对方不响应ICMP请求时，使用这种方式可以避免因无法ping通而放弃扫描。
3、NAMP扫描演示：
如图我们执行“namp -sT”命令来对TCP连接进行扫描。

原文地址：https://blog.51cto.com/14449521/2433031