linux埠許可權

『壹』 linux 如何開放埠和關閉埠

1、查看哪些埠被打開netstat -anp。

(1)linux埠許可權擴展閱讀:

liunx常見埠詳細說明 :

1、埠：7

服務：Echo

說明：能看到許多人搜索Fraggle放大器時，發送到X.X.X.0和X.X.X.255的信息。

2、埠：21

服務：ftp

說明：FTP伺服器所開放的埠，用於上傳、下載。最常見的攻擊者用於尋找打開anonymous的FTP伺服器的方法。這些伺服器帶有可讀寫的目錄。木馬Doly
Trojan、Fore、Invisible FTP、WebEx、WinCrash和Blade Runner所開放的埠。

3、埠：22

服務：Ssh

說明：PcAnywhere建立的TCP和這一埠的連接可能是為了尋找ssh。這一服務有許多弱點，如果配置成特定的模式，許多使用RSAREF庫的版本就會有不少的漏洞

存在。

4、埠：23

服務：Telnet

說明：遠程登錄，入侵者在搜索遠程登錄UNIX的服務。大多數情況下掃描這一埠是為了找到機器運行的操作系統。還有使用其他技術，入侵者也會找到密碼。木馬Tiny
Telnet Server就開放這個埠。

5、埠：25

服務：SMTP

說明：SMTP伺服器所開放的埠，用於發送郵件。入侵者尋找SMTP伺服器是為了傳遞他們的SPAM。入侵者的帳戶被關閉，他們需要連接到高帶寬的E-MAIL伺服器上，將簡單的信息傳遞到不同的地址。木馬Antigen、Email Password Sender、Haebu Coceda、Shtrilitz Stealth、WinPC、WinSpy都開放這個埠。

6、埠：53

服務：Domain Name Server(DNS)

說明：DNS伺服器所開放的埠，入侵者可能是試圖進行區域傳遞(TCP)，欺騙DNS(UDP)或隱藏其他的通信。因此防火牆常常過濾或記錄此埠。

7、埠：80

服務：HTTP

說明：用於網頁瀏覽。木馬Executor開放此埠。

8、埠：102

服務：Message transfer agent(MTA)-X.400 over TCP/IP

說明：消息傳輸代理。

9、埠：110

服務：pop3

說明：POP3(Post Office Protocol

伺服器開放此埠，用於接收郵件，客戶端訪問伺服器端的郵件服務。POP3服務有許多公認的弱點。關於用戶名和密碼交換緩沖區溢出的弱點至少有20個，這意味著入侵者可以在真正登陸前進入系統。成功登陸後還有其他緩沖區溢出錯誤。

10、埠：137、138、139

服務：NETBIOS Name Service

說明：其中137、138是UDP埠，當通過網上鄰居傳輸文件時用這個埠。而139埠：通過這個埠進入的連接試圖獲得NetBIOS/SMB服務。這個協議被用於windows文件和列印機共享和SAMBA。還有WINS Regisrtation也用它。

11、埠：143

服務：Interim Mail Access Protocol v2

說明：和POP3的安全問題一樣，許多IMAP伺服器存在有緩沖區溢出漏洞。

記住：一種LINUX蠕蟲(admv0rm)會通過這個埠繁殖，因此許多這個埠的掃描來自不知情的已經被感染的用戶。當REDHAT在他們的LINUX發布版本中默認允許IMAP後，這些漏洞變的很流行。這一埠還被用於IMAP2，但並不流行。

12、埠：161

服務：SNMP

說明：SNMP允許遠程管理設備。所有配置和運行信息的儲存在資料庫中，通過SNMP可獲得這些信息。許多管理員的錯誤配置將被暴露在Internet。Cackers將試圖使用默認的密碼public、private訪問系統。他們可能會試驗所有可能的組合。

SNMP包可能會被錯誤的指向用戶的網路。

13、埠：389

服務：LDAP、ILS

說明：輕型目錄訪問協議和NetMeeting Internet Locator Server共用這一埠 。

14、埠：443

服務：Https

說明：網頁瀏覽埠，能提供加密和通過安全埠傳輸的另一種HTTP。

15、埠：993

服務：IMAP

說明：SSL(Secure Sockets layer)

16、埠：1433

服務：SQL

說明：Microsoft的SQL服務開放的埠。

17、埠：1503

服務：NetMeeting T.120

說明：NetMeeting T.120

18、埠：1720

服務：NetMeeting

說明：NetMeeting H.233 call Setup。

19、埠：1731

服務：NetMeeting Audio Call Control

說明：NetMeeting音頻調用控制。

20、埠：3389

服務：超級終端

說明：WINDOWS 2000終端開放此埠。

21、埠：4000

服務：QQ客戶端

說明：騰訊QQ客戶端開放此埠。

22、埠：5631

服務：pcAnywere

說明：有時會看到很多這個埠的掃描，這依賴於用戶所在的位置。當用戶打開pcAnywere時，它會自動掃描區域網C類網以尋找可能的代理(這里的代理是指agent而不是proxy)。入侵者也會尋找開放這種服務的計算機。所以應該查看這種掃描的源地址。一些搜尋pcAnywere的掃描包常含埠22的UDP數據包。

23、埠：6970

服務：RealAudio

說明：RealAudio客戶將從伺服器的6970-7170的UDP埠接收音頻數據流。這是由TCP-7070埠外向控制連接設置的。

24、埠：7323

服務：[NULL]

說明：Sygate伺服器端。

25、埠：8000

服務：OICQ

說明：騰訊QQ伺服器端開放此埠。

26、埠：8010

服務：Wingate

說明：Wingate代理開放此埠。

27、埠：8080

服務：代理埠

說明：WWW代理開放此埠。

『貳』 如何在linux系統防火牆中放開對8080埠的限制

1.修改文件/etc/sysconfig/iptables

[root@bogon ~]# cd /etc/sysconfig/
[root@bogon sysconfig]# vi iptables

在文件中加入如下內容，目的是對外界開放8080埠

-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT

2.將iptables服務重啟。

[root@bogon sysconfig]# service iptables restart
Flushing firewall rules: [ OK ]
Setting chains to policy ACCEPT: filter [ OK ]
Unloading iptables moles: [ OK ]
Applying iptables firewall rules: [ OK ]
Loading additional iptables moles: ip_conntrack_ftp [ OK ]
[root@bogon sysconfig]#

這樣就放開了8080埠的限制。

『叄』 如何讓Linux下非root用戶程序使用小於1024埠

在Linux下，默認埠1024下的程序是要在root下才能使用的，在其他用戶下，如果嘗試使用將會報錯。在有的時候，我們可能考慮程序運行在root帳戶下，可能會給Linux系統帶來安全風險。那如何能夠讓非root用戶運行的程序能夠對外啟用小於1024的埠呢？本文嘗試給出一些方法： x0dx0ax0dx0a第一種方消旅法：x0dx0aSetUIDx0dx0a為用戶的應用程序在執行位設置user ID能夠使程序可以有root許可權來運行，這個方法讓程序能夠像在root下運行有同樣的效果，不過需要非常小心，這種方法同樣會帶來安全風險，特別是當要執行的程序本身存在安全風險。使用的方法是：x0dx0achown root.root /path/to/application #使用SetUID chmod u+s /path/to/application x0dx0ax0dx0a我們可以看到在系統下，/usr/bin/passwd這種文件，就使用了SetUID，使得每個系統的用戶都能用passwd來修改密碼——這是要修改/etc/passwd的文件（而這個只有root有許可權）。x0dx0a既然要使用非root用戶運行程序，目的就是要降低程序本身給系統帶來的安全風險，因此，本方法使用的時候需要特別謹慎。 x0dx0a第二種方法：x0dx0aCAP_NET_BIND_SERVICEx0dx0a從2.1開始，Linux內核有了能力的概念，這使得普通用戶也能夠做只有超級用戶才能完成的工作，這包括使用埠1。x0dx0a獲取CAP_NET_BIND_SERVICE能力，即使服務程序運行在非root帳戶下，也能夠banding到低埠。使用的方法：x0dx0a#設置CAP_NET_BIND_SERVICE setcap cap_net_bind_service =+ep /path/to/application x0dx0ax0dx0aNote：x0dx0a1. 這個方法並不是所有Linux系統通適，內核在2.1之前的並沒有提供，因此你需要檢查要使用此方法所在系統是否支持（Linux must support capacity）；x0dx0a2. 另外需要注意的是，如果要運行的程序文件是一個腳本，這個方法是沒有辦法正常工作的（Script won't work）。 x0dx0a第三種方法：x0dx0aPort Forwardingx0dx0a如果要運行的程序有許可權監聽其他埠，那麼這個方法是可以使用的，首先讓程序運行在非root帳戶下，並綁定高於1024的埠，在確保能正常工作的時候，將低埠通過埠轉發，將低埠轉到高埠，從而實現非root運行的程序綁定低埠。要使用此方法可以使用下面的方式：x0dx0a# Enable the IP FORWARD kernel parameter. sysctl -w net.ipv4.ip_forward=1 # Use iptables rules to redirect packets iptables -F -t nat iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to:8088 x0dx0ax0dx0a第一步使用sysctl確保啟用IP FORWARD功能（此功能在Red Hat/CentOS默認是扒橋悉被禁用的），注意，代碼中使用的sysctl設置是臨時性設置，重啟之後將會被重置，如果要長久保存，需要在/etc/sysctl.conf文件內修改：x0dx0a# Default value is 0, need change to 1. # net.ipv4.ip_forward = 0 net.ipv4.ip_forward = 1 x0dx0ax0dx0a然後從文件中載入新的配置x0dx0a# load new sysctl.conf sysctl -p /etc/sysctl.conf # or sysctl -p # default filename is /etc/sysctl.conf x0dx0ax0dx0a第二步就是使用iptables的規春乎則來實現埠轉發到程序所在的埠，示例中我們要將80埠轉發到8088。x0dx0a此種方法能夠比較好的達到我們的目的，我們的程序可以通過非root用戶來運行，並能夠對外提供低埠號的服務。 x0dx0a第四種方法：x0dx0aRINETD2x0dx0a這種方法使用的也是埠轉發，此工具可以將本地埠映射到遠程埠，但此功能對於我們當前的功能來說，有點雞肋，畢竟我們新增了一個額外的程序，這將可能會增加我們系統的風險性。在此不做推薦。

『肆』 linux下如何開放一個埠

1、首先連接到linux伺服器，先查看一下想要開放的埠是不是有程序監聽了，沒有的話，就檢查程序是不是正常運行。這里以80埠例子，其中web程序已經運行了：

『伍』 在Linux下如何開放埠

你在linux下安裝QQ ，安裝完了 你記得把linux的防火牆關掉。命令是service iptables stop（先打iptables -F 把防火牆清空）！

『陸』 linux普通用戶使用1024以下的埠（80）

linux對於非root許可權用戶不能使用1024以下的埠，對於一些服務，過高的許可權，會帶來一定的風險。那麼對於低許可權的用戶如何對外開放1024以下的埠。我這里找到幾種辦法並且親測可行

首先搭建環境 centos7 賬戶 tengine 沒有 sudo 許可權

利用 nginx 做反向代理，nginx 監聽 80 埠，將請求轉發到實際監聽的埠，示例：

首先程序綁定1024以上的埠，然後root許可權下做轉發注意有些系統需要手動開啟IP FORWARD功能

root賬戶下執行

從圖片可以看出來nginx可以運行，但是主進程仍然是以root許可權運行,這樣並不安全。

從 2.1 版本開始，Linux 內核有了能力的概念，這使得普通用戶也能夠做只有超級用戶才能完成的工作，這包括使用埠。

獲取 CAP_NET_BIND_SERVICE 能力，即使服務程序運行在非root帳戶下，也能夠 binding 到低埠。使用的方法：

切換到 tengine 賬戶下，信息如下：

最後別忘記怎麼清除這個能力