PHPor 的Blog

当硬盘空间不够时，我们就很关心哪些目录或文件比较大，看看能否干掉一些了，怎么才能知道呢？

 

#已易读的格式显示指定目录或文件的大小，-s选项指定对于目录不详细显示每个子目录或文件的大小

du -sh [dirname|filename]

 

如：

 

当前目录的大小：

du -sh .

 

当前目录下个文件或目录的大小：

du -sh *

 

显示前10个占用空间最大的文件或目录：

du -s * | sort -nr | head

 

 

 

由于find具有强大的功能，所以它的选项也很多，其中大部分选项都值得我们花时间来了解一下。即使系统中含有网络文件系统( NFS)，find命令在该文件系统中同样有效，只你具有相应的权限。 在运行一个非常消耗资源的find命令时，很多人都倾向于把它放在后台执行，因为遍历一个大的文件系统可能会花费很长的时间(这里是指30G字节以上的文件系统)。 一、find 命令格式 1、find命令的一般形式为； find pathname -options [-print -exec -ok …] 2、find命令的参数； pathname: find命令所查找的目录路径。例如用.来表示当前目录，用/来表示系统根目录。 -print： find命令将匹配的文件输出到标准输出。 -exec： find命令对匹配的文件执行该参数所给出的shell命令。相应命令的形式为’command’ { } \;，注意{ }和\；之间的空格。 -ok： 和-exec的作用相同，只不过以一种更为安全的模式来执行该参数所给出的shell命令，在执行每一个命令之前，都会给出提示，让用户来确定是否执行。 3、find命令选项 -name 按照文件名查找文件。 -perm 按照文件权限来查找文件。 -prune 使用这一选项可以使find命令不在当前指定的目录中查找，如果同时使用-depth选项，那么-prune将被find命令忽略。 -user 按照文件属主来查找文件。 -group 按照文件所属的组来查找文件。 -mtime -n +n 按照文件的更改时间来查找文件， – n表示文件更改时间距现在n天以内，+ n表示文件更改时间距现在n天以前。find命令还有-atime和-ctime 选项，但它们都和-m time选项。 -nogroup 查找无有效所属组的文件，即该文件所属的组在/etc/groups中不存在。 -nouser 查找无有效属主的文件，即该文件的属主在/etc/passwd中不存在。 -newer file1 ! file2 查找更改时间比文件file1新但比文件file2旧的文件。 -type 查找某一类型的文件，诸如： b – 块设备文件。 d – 目录。 c – 字符设备文件。 p – 管道文件。 l – 符号链接文件。 f – 普通文件。 -size n：[c] 查找文件长度为n块的文件，带有c时表示文件长度以字节计。 -depth：在查找文件时，首先查找当前目录中的文件，然后再在其子目录中查找。 -fstype：查找位于某一类型文件系统中的文件，这些文件系统类型通常可以在配置文件/etc/fstab中找到，该配置文件中包含了本系统中有关文件系统的信息。 -mount：在查找文件时不跨越文件系统mount点。 -follow：如果find命令遇到符号链接文件，就跟踪至链接所指向的文件。 -cpio：对匹配的文件使用cpio命令，将这些文件备份到磁带设备中。 另外,下面三个的区别:     -amin n 　　查找系统中最后N分钟访问的文件 　　-atime n 　　查找系统中最后n*24小时访问的文件 　　-cmin n 　　查找系统中最后N分钟被改变文件状态的文件 　　-ctime n 　　查找系统中最后n*24小时被改变文件状态的文件     　-mmin n 　　查找系统中最后N分钟被改变文件数据的文件 　　-mtime n 　　查找系统中最后n*24小时被改变文件数据的文件 4、使用exec或ok来执行shell命令 使用find时，只要把想要的操作写在一个文件里，就可以用exec来配合find查找，很方便的 在有些操作系统中只允许-exec选项执行诸如l s或ls -l这样的命令。大多数用户使用这一选项是为了查找旧文件并删除它们。建议在真正执行rm命令删除文件之前，最好先用ls命令看一下，确认它们是所要删除的文件。 exec选项后面跟随着所要执行的命令或脚本，然后是一对儿{ }，一个空格和一个\，最后是一个分号。为了使用exec选项，必须要同时使用print选项。如果验证一下find命令，会发现该命令只输出从当前路径起的相对路径及文件名。 例如：为了用ls -l命令列出所匹配到的文件，可以把ls -l命令放在find命令的-exec选项中 # find . -type f -exec ls -l { } \; -rw-r–r– 1 root root 34928 2003-02-25 ./conf/httpd.conf -rw-r–r– 1 root root 12959 2003-02-25 ./conf/magic -rw-r–r– 1 root root 180 2003-02-25 ./conf.d/README 上面的例子中，find命令匹配到了当前目录下的所有普通文件，并在-exec选项中使用ls -l命令将它们列出。 在/logs目录中查找更改时间在5日以前的文件并删除它们： $ find logs -type f -mtime +5 -exec rm { } \; 记住：在shell中用任何方式删除文件之前，应当先查看相应的文件，一定要小心！当使用诸如mv或rm命令时，可以使用-exec选项的安全模式。它将在对每个匹配到的文件进行操作之前提示你。 在下面的例子中， find命令在当前目录中查找所有文件名以.LOG结尾、更改时间在5日以上的文件，并删除它们，只不过在删除之前先给出提示。 $ find . -name “*.conf” -mtime +5 -ok rm { } \; < rm … ./conf/httpd.conf > ? n 按y键删除文件，按n键不删除。 任何形式的命令都可以在-exec选项中使用。 在下面的例子中我们使用grep命令。find命令首先匹配所有文件名为“ passwd*”的文件，例如passwd、passwd.old、passwd.bak，然后执行grep命令看看在这些文件中是否存在一个sam用户。 # find /etc -name “passwd*” -exec grep “sam” { } \; sam:x:501:501::/usr/sam:/bin/bash 二、find命令的例子； 1、查找当前用户主目录下的所有文件： 下面两种方法都可以使用 $ find $HOME -print $ find ~ -print 2、让当前目录中文件属主具有读、写权限，并且文件所属组的用户和其他用户具有读权限的文件； $ find . -type f -perm 644 -exec ls -l { } \; 3、为了查找系统中所有文件长度为0的普通文件，并列出它们的完整路径； $ find / -type f -size 0 -exec ls -l { } \; 4、查找/var/logs目录中更改时间在7日以前的普通文件，并在删除之前询问它们； $ find /var/logs -type f -mtime +7 -ok rm { } \; 5、为了查找系统中所有属于root组的文件； $find . -group root -exec ls -l { } \; -rw-r–r– 1 root root 595 10月 31 01:09 ./fie1 6、find命令将删除当目录中访问时间在7日以来、含有数字后缀的admin.log文件。 该命令只检查三位数字，所以相应文件的后缀不要超过999。先建几个admin.log*的文件 ，才能使用下面这个命令 $ find . -name “admin.log[0-9][0-9][0-9]” -atime -7 -ok rm { } \; < rm … ./admin.log001 > ? n < rm … ./admin.log002 > ? n < rm … ./admin.log042 > ? n < rm … ./admin.log942 > ? n 7、为了查找当前文件系统中的所有目录并排序； $ find . -type d | sort 8、为了查找系统中所有的rmt磁带设备； $ find /dev/rmt -print 三、xargs xargs – build and execute command lines from standard input 在使用find命令的-exec选项处理匹配到的文件时， find命令将所有匹配到的文件一起传递给exec执行。但有些系统对能够传递给exec的命令长度有限制，这样在find命令运行几分钟之后，就会出现溢出错误。错误信息通常是“参数列太长”或“参数列溢出”。这就是xargs命令的用处所在，特别是与find命令一起使用。 find命令把匹配到的文件传递给xargs命令，而xargs命令每次只获取一部分文件而不是全部，不像-exec选项那样。这样它可以先处理最先获取的一部分文件，然后是下一批，并如此继续下去。 在有些系统中，使用-exec选项会为处理每一个匹配到的文件而发起一个相应的进程，并非将匹配到的文件全部作为参数一次执行；这样在有些情况下就会出现进程过多，系统性能下降的问题，因而效率不高； 而使用xargs命令则只有一个进程。另外，在使用xargs命令时，究竟是一次获取所有的参数，还是分批取得参数，以及每一次获取参数的数目都会根据该命令的选项及系统内核中相应的可调参数来确定。 来看看xargs命令是如何同find命令一起使用的，并给出一些例子。 下面的例子查找系统中的每一个普通文件，然后使用xargs命令来测试它们分别属于哪类文件 #find . -type f -print | xargs file ./.kde/Autostart/Autorun.desktop: UTF-8 Unicode English text ./.kde/Autostart/.directory: ISO-8859 text\ …… 在整个系统中查找内存信息转储文件(core dump) ，然后把结果保存到/tmp/core.log 文件中： $ find / -name “core” -print | xargs echo “” >/tmp/core.log 上面这个执行太慢，我改成在当前目录下查找 #find . -name “file*” -print | xargs echo “” > /temp/core.log # cat /temp/core.log ./file6 在当前目录下查找所有用户具有读、写和执行权限的文件，并收回相应的写权限： # ls -l drwxrwxrwx 2 sam adm 4096 10月 30 20:14 file6 -rwxrwxrwx 2 sam adm 0 10月 31 01:01 http3.conf -rwxrwxrwx 2 sam adm 0 10月 31 01:01 httpd.conf # find . -perm -7 -print | xargs chmod o-w # ls -l drwxrwxr-x 2 sam adm 4096 10月 30 20:14 file6 -rwxrwxr-x 2 sam adm 0 10月 31 01:01 http3.conf -rwxrwxr-x 2 sam adm 0 10月 31 01:01 httpd.conf 用grep命令在所有的普通文件中搜索hostname这个词： # find . -type f -print | xargs grep “hostname” ./httpd1.conf:# different IP addresses or hostnames and have them handled by the ./httpd1.conf:# VirtualHost: If you want to maintain multiple domains/hostnames on your 用grep命令在当前目录下的所有普通文件中搜索hostnames这个词： # find . -name \* -type f -print | xargs grep “hostnames” ./httpd1.conf:# different IP addresses or hostnames and have them handled by the ./httpd1.conf:# VirtualHost: If you want to maintain multiple domains/hostnames on your 注意，在上面的例子中， \用来取消find命令中的*在shell中的特殊含义。 find命令配合使用exec和xargs可以使用户对所匹配到的文件执行几乎所有的命令。 四、find 命令的参数 下面是find一些常用参数的例子，有用到的时候查查就行了，像上面前几个贴子，都用到了其中的的一些参数，也可以用man或查看论坛里其它贴子有find的命令手册 1、使用name选项 文件名选项是find命令最常用的选项，要么单独使用该选项，要么和其他选项一起使用。 可以使用某种文件名模式来匹配文件，记住要用引号将文件名模式引起来。 不管当前路径是什么，如果想要在自己的根目录$HOME中查找文件名符合*.txt的文件，使用~作为 ‘pathname’参数，波浪号~代表了你的$HOME目录。 $ find ~ -name “*.txt” -print 想要在当前目录及子目录中查找所有的‘ *.txt’文件，可以用： $ find . -name “*.txt” -print 想要的当前目录及子目录中查找文件名以一个大写字母开头的文件，可以用： $ find . -name “[A-Z]*” -print 想要在/etc目录中查找文件名以host开头的文件，可以用： $ find /etc -name “host*” -print 想要查找$HOME目录中的文件，可以用： $ find ~ -name “*” -print 或find . -print 要想让系统高负荷运行，就从根目录开始查找所有的文件。 $ find / -name “*” -print 如果想在当前目录查找文件名以两个小写字母开头，跟着是两个数字，最后是.txt的文件，下面的命令就能够返回名为ax37.txt的文件： $find . -name “[a-z][a-z][0–9][0–9].txt” -print 2、用perm选项 按照文件权限模式用-perm选项,按文件权限模式来查找文件的话。最好使用八进制的权限表示法。 如在当前目录下查找文件权限位为755的文件，即文件属主可以读、写、执行，其他用户可以读、执行的文件，可以用： $ find . -perm 755 -print 还有一种表达方法：在八进制数字前面要加一个横杠-，表示都匹配，如-007就相当于777，-006相当于666 # ls -l -rwxrwxr-x 2 sam adm 0 10月 31 01:01 http3.conf -rw-rw-rw- 1 sam adm 34890 10月 31 00:57 httpd1.conf -rwxrwxr-x 2 sam adm 0 10月 31 01:01 httpd.conf drw-rw-rw- 2 gem group 4096 10月 26 19:48 sam -rw-rw-rw- 1 root root 2792 10月 31 20:19 temp # find . -perm 006 # find . -perm -006 ./sam ./httpd1.conf ./temp -perm mode:文件许可正好符合mode -perm +mode:文件许可部分符合mode -perm -mode: 文件许可完全符合mode 3、忽略某个目录 如果在查找文件时希望忽略某个目录，因为你知道那个目录中没有你所要查找的文件，那么可以使用-prune选项来指出需要忽略的目录。在使用-prune选项时要当心，因为如果你同时使用了-depth选项，那么-prune选项就会被find命令忽略。 如果希望在/apps目录下查找文件，但不希望在/apps/bin目录下查找，可以用： $ find /apps -path “/apps/bin” -prune -o -print 4、使用find查找文件的时候怎么避开某个文件目录 比如要在/usr/sam目录下查找不在dir1子目录之内的所有文件 find /usr/sam -path “/usr/sam/dir1” -prune -o -print find [-path ..] [expression] 在路径列表的后面的是表达式 -path “/usr/sam” -prune -o -print 是 -path “/usr/sam” -a -prune -o -print 的简写表达式按顺序求值, -a 和 -o 都是短路求值，与 shell 的 && 和 || 类似如果 -path “/usr/sam” 为真，则求值 -prune , -prune 返回真，与逻辑表达式为真；否则不求值 -prune，与逻辑表达式为假。如果 -path “/usr/sam” -a -prune 为假，则求值 -print ，-print返回真，或逻辑表达式为真；否则不求值 -print，或逻辑表达式为真。 这个表达式组合特例可以用伪码写为 if -path “/usr/sam” then            -prune else            -print 避开多个文件夹 find /usr/sam \( -path /usr/sam/dir1 -o -path /usr/sam/file1 \) -prune -o -print 圆括号表示表达式的结合。 \ 表示引用，即指示 shell 不对后面的字符作特殊解释，而留给 find 命令去解释其意义。 查找某一确定文件，-name等选项加在-o 之后 #find /usr/sam \(-path /usr/sam/dir1 -o -path /usr/sam/file1 \) -prune -o -name “temp” -print 5、使用user和nouser选项 按文件属主查找文件，如在$HOME目录中查找文件属主为sam的文件，可以用： $ find ~ -user sam -print 在/etc目录下查找文件属主为uucp的文件： $ find /etc -user uucp -print 为了查找属主帐户已经被删除的文件，可以使用-nouser选项。这样就能够找到那些属主在/etc/passwd文件中没有有效帐户的文件。在使用-nouser选项时，不必给出用户名； find命令能够为你完成相应的工作。 例如，希望在/home目录下查找所有的这类文件，可以用： $ find /home -nouser -print 6、使用group和nogroup选项 就像user和nouser选项一样，针对文件所属于的用户组， find命令也具有同样的选项，为了在/apps目录下查找属于gem用户组的文件，可以用： $ find /apps -group gem -print 要查找没有有效所属用户组的所有文件，可以使用nogroup选项。下面的find命令从文件系统的根目录处查找这样的文件 $ find / -nogroup-print 7、按照更改时间或访问时间等查找文件 如果希望按照更改时间来查找文件，可以使用mtime,atime或ctime选项。如果系统突然没有可用空间了，很有可能某一个文件的长度在此期间增长迅速，这时就可以用mtime选项来查找这样的文件。 用减号-来限定更改时间在距今n日以内的文件，而用加号+来限定更改时间在距今n日以前的文件。 希望在系统根目录下查找更改时间在5日以内的文件，可以用： $ find / -mtime -5 -print 为了在/var/adm目录下查找更改时间在3日以前的文件，可以用： $ find /var/adm -mtime +3 -print 8、查找比某个文件新或旧的文件 如果希望查找更改时间比某个文件新但比另一个文件旧的所有文件，可以使用-newer选项。它的一般形式为： newest_file_name ! oldest_file_name 其中，！是逻辑非符号。 查找更改时间比文件sam新但比文件temp旧的文件： 例：有两个文件 -rw-r–r– 1 sam adm 0 10月 31 01:07 fiel -rw-rw-rw- 1 sam adm 34890 10月 31 00:57 httpd1.conf -rwxrwxr-x 2 sam adm 0 10月 31 01:01 httpd.conf drw-rw-rw- 2 gem group 4096 10月 26 19:48 sam -rw-rw-rw- 1 root root 2792 10月 31 20:19 temp # find -newer httpd1.conf ! -newer temp -ls 1077669 0 -rwxrwxr-x 2 sam adm 0 10月 31 01:01 ./httpd.conf 1077671 4 -rw-rw-rw- 1 root root 2792 10月 31 20:19 ./temp 1077673 0 -rw-r–r– 1 sam adm 0 10月 31 01:07 ./fiel 查找更改时间在比temp文件新的文件： $ find . -newer temp -print 9、使用type选项 在/etc目录下查找所有的目录，可以用： $ find /etc -type d -print 在当前目录下查找除目录以外的所有类型的文件，可以用： $ find . ! -type d -print 在/etc目录下查找所有的符号链接文件，可以用 $ find /etc -type l -print 10、使用size选项 可以按照文件长度来查找文件，这里所指的文件长度既可以用块（block）来计量，也可以用字节来计量。以字节计量文件长度的表达形式为N c；以块计量文件长度只用数字表示即可。 在按照文件长度查找文件时，一般使用这种以字节表示的文件长度，在查看文件系统的大小，因为这时使用块来计量更容易转换。 在当前目录下查找文件长度大于1 M字节的文件： $ find . -size +1000000c -print 在/home/apache目录下查找文件长度恰好为100字节的文件： $ find /home/apache -size 100c -print 在当前目录下查找长度超过10块的文件（一块等于512字节）： $ find . -size +10 -print 11、使用depth选项 在使用find命令时，可能希望先匹配所有的文件，再在子目录中查找。使用depth选项就可以使find命令这样做。这样做的一个原因就是，当在使用find命令向磁带上备份文件系统时，希望首先备份所有的文件，其次再备份子目录中的文件。 在下面的例子中， find命令从文件系统的根目录开始，查找一个名为CON.FILE的文件。 它将首先匹配所有的文件然后再进入子目录中查找。 $ find / -name “CON.FILE” -depth -print 12、使用mount选项 在当前的文件系统中查找文件（不进入其他文件系统），可以使用find命令的mount选项。 从当前目录开始查找位于本文件系统中文件名以XC结尾的文件： $ find . -name “*.XC” -mount -print     相关文章： • Linux文件查找命令find　　　　　　　　　 • Linux命令学习:Find命令常见的使… • Linux下find命令的用法　　　　　　　　　 • linux 下的find 命令 • linux下find命令用法　　　　　　　　　 • linux find 命令简单使用 • linux中find命令使用详解　　　　　　　　　 • linux find命令-exec参数的使用… • LINUX 中find命令小结　　　　　　　　　 • linux的find查找命令用法

时常在cpp的代码之中看到这样的代码:

#ifdef __cplusplus extern “C” { #endif //一段代码 #ifdef __cplusplus } #endif

　　这样的代码到底是什么意思呢？首先，__cplusplus是cpp中的自定义宏，那么定义了这个宏的话表示这是一段cpp的代码，也就是说，上面的代码的含义是:如果这是一段cpp的代码，那么加入extern “C”{和}处理其中的代码。

　　要明白为何使用extern “C”，还得从cpp中对函数的重载处理开始说起。在c++中，为了支持重载机制，在编译生成的汇编码中，要对函数的名字进行一些处理，加入比如函数的返回类型等等.而在C中，只是简单的函数名字而已，不会加入其他的信息.也就是说:C++和C对产生的函数名字的处理是不一样的.

　　比如下面的一段简单的函数，我们看看加入和不加入extern “C”产生的汇编代码都有哪些变化:

int f(void) { return 1; }

　　在加入extern “C”的时候产生的汇编代码是:

.file “test.cxx” .text .align 2 .globl _f .def _f; .scl 2; .type 32; .endef _f: pushl %ebp movl %esp， %ebp movl $1， %eax popl %ebp ret

　　但是不加入了extern “C”之后

.file “test.cxx” .text .align 2 .globl __Z1fv .def __Z1fv; .scl 2; .type 32; .endef __Z1fv: pushl %ebp movl %esp， %ebp movl $1， %eax popl %ebp ret

　　两段汇编代码同样都是使用gcc -S命令产生的，所有的地方都是一样的，唯独是产生的函数名，一个是_f，一个是__Z1fv。

　　明白了加入与不加入extern “C”之后对函数名称产生的影响，我们继续我们的讨论:为什么需要使用extern “C”呢？C++之父在设计C++之时，考虑到当时已经存在了大量的C代码，为了支持原来的C代码和已经写好C库，需要在C++中尽可能的支持C，而extern “C”就是其中的一个策略。

　　试想这样的情况:一个库文件已经用C写好了而且运行得很良好，这个时候我们需要使用这个库文件，但是我们需要使用C++来写这个新的代码。如果这个代码使用的是C++的方式链接这个C库文件的话，那么就会出现链接错误.我们来看一段代码:首先，我们使用C的处理方式来写一个函数，也就是说假设这个函数当时是用C写成的:

//f1.c extern “C” { void f1() { return; } }

　　编译命令是:gcc -c f1.c -o f1.o 产生了一个叫f1.o的库文件。再写一段代码调用这个f1函数:

// test.cxx //这个extern表示f1函数在别的地方定义，这样可以通过 //编译，但是链接的时候还是需要 //链接上原来的库文件. extern void f1(); int main() { f1(); return 0; }

　　通过gcc -c test.cxx -o test.o 产生一个叫test.o的文件。然后，我们使用gcc test.o f1.o来链接两个文件，可是出错了，错误的提示是:

test.o(.text + 0x1f):test.cxx: undefine reference to ‘f1()’

　　也就是说，在编译test.cxx的时候编译器是使用C++的方式来处理f1()函数的，但是实际上链接的库文件却是用C的方式来处理函数的，所以就会出现链接过不去的错误:因为链接器找不到函数。

　　因此，为了在C++代码中调用用C写成的库文件，就需要用extern “C”来告诉编译器:这是一个用C写成的库文件，请用C的方式来链接它们。

　　比如，现在我们有了一个C库文件，它的头文件是f.h，产生的lib文件是f.lib，那么我们如果要在C++中使用这个库文件，我们需要这样写:

extern “C” { #include “f.h” }

　　回到上面的问题，如果要改正链接错误，我们需要这样子改写test.cxx:

extern “C” { extern void f1(); } int main() { f1(); return 0; }

　　重新编译并且链接就可以过去了.

　　总结

　　C和C++对函数的处理方式是不同的.extern “C”是使C++能够调用C写作的库文件的一个手段，如果要对编译器提示使用C的方式来处理函数的话，那么就要使用extern “C”来说明。

 

相关链接：http://blog.csdn.net/wfwd/archive/2006/05/30/763734.aspx

 

C语言常见问题集：http://c-faq-chn.sourceforge.net/ccfaq/

本文从系统管理员的角度讨论安全问题.系统管理员是管理系统的人:启动
系统,停止系统运行,安装新软件,增加新用户,删除老用户,以及完成保持系统发
展和运行的日常事务工作.

1.安全管理
  安全管理主要分为四个方面:
  (1)防止未授权存取:这是计算机安全最重要的问题:未被使用系统的人进入系
     统.用户意识,良好的口令管理(由系统管理员和用户双方配合),登录活动
     记录和报告,用户和网络活动的周期检查,这些都是防止未授权存取的关键.
  (2)防止泄密:这也是计算机安全的一个重要问题.防止已授权或未授权的用户
     相互存取相互的重要信息.文件系统查帐,su登录和报告,用户意识,加密都
     是防止泄密的关键.
  (3)防止用户拒绝系统的管理:这一方面的安全应由操作系统来完成.一个系统
     不应被一个有意试图使用过多资源的用户损害.不幸的是,UNIX不能很好地
     限制用户对资源的使用,一个用户能够使用文件系统的整个磁盘空间,而
     UNIX基本不能阻止用户这样做.系统管理员最好用PS命令,记帐程序df和du
     周期地检查系统.查出过多占用CUP的进程和大量占用磁盘的文件.
  (4)防止丢失系统的完整性:这一安全方面与一个好系统管理员的实际工作(例
     如:周期地备份文件系统,系统崩溃后运行fsck检查,修复文件系统,当有新
     用户时,检测该用户是否可能使系统崩溃的软件)和保持一个可靠的操作系
     统有关(即用户不能经常性地使系统崩溃).
  本文其余部分主要涉及前两个问题,第三个问题在”安全查帐”一节讨论.

2.超级用户
    一些系统管理命令只能由超级用户运行.超级用户拥有其他用户所没有的特
权,超级用户不管文件存取许可方式如何,都可以读,写任何文件,运行任何程序.
系统管理员通常使用命令: /bin/su 或以 root 进入系统从而成为超级用户.在
后面文章中以#表示应敲入必须由超级用户运行的命令,用$表示应敲入由所有其
他用户运行的命令.

3.文件系统安全
  (1)UNIX文件系统概述
      UNIX文件系统是UNIX系统的心脏部分,提供了层次结构的目录和文件.文
  件系统将磁盘空间划分为每1024个字节一组,称为块(block)(也有用512字节
  为一块的,如:SCO XENIX).编号从0到整个磁盘的最大块数.
      全部块可划分为四个部分,块0称为引导块,文件系统不用该块;块1称为专
  用块,专用块含有许多信息,其中有磁盘大小和全部块的其它两部分的大小.从
  块2开始是i节点表,i节点表中含有i节点,表的块数是可变的,后面将做讨论.
  i节点表之后是空闲存储块(数据存储块),可用于存放文件内容.
      文件的逻辑结构和物理结构是十分不同的,逻辑结构是用户敲入cat命令
  后所看到的文件,用户可得到表示文件内容的字符流.物理结构是文件实际上
  如何存放在磁盘上的存储格式.用户认为自己的文件是边疆的字符流,但实际
  上文件可能并不是以边疆的方式存放在磁盘上的,长于一块的文件通常将分散
  地存放在盘上.然而当用户存取文件时,UNIX文件系统将以正确的顺序取各块,
  给用户提供文件的逻辑结构.
      当然,在UNIX系统的某处一定会有一个表,告诉文件系统如何将物理结构
  转换为逻辑结构.这就涉及到i节点了.i节点是一个64字节长的表,含有有关一
  个文件的信息,其中有文件大小,文件所有者,文件存取许可方式,以及文件为
  普通文件,目录文件还是特别文件等.在i节点中最重要的一项是磁盘地址表.
  该表中有13个块号.前10个块号是文件前10块的存放地址.这10个块号能给出
  一个至多10块长的文件的逻辑结构,文件将以块号在磁盘地址表中出现的顺序
  依次取相应的块.
      当文件长于10块时又怎样呢?磁盘地址表中的第十一项给出一个块号,这
  个块号指出的块中含有256个块号,至此,这种方法满足了至多长于266块的文
  件(272,384字节).如果文件大于266块,磁盘地址表的第十二项给出一个块号,
  这个块号指出的块中含有256个块号,这256个块号的每一个块号又指出一块,
  块中含256个块号,这些块号才用于取文件的内容.磁盘地址中和第十三项索引
  寻址方式与第十二项类似,只是多一级间接索引.
      这样,在UNIX系统中,文件的最大长度是16,842,762块,即17,246,988,288
  字节,有幸是是UNIX系统对文件的最大长度(一般为1到2M字节)加了更实际的
  限制,使用户不会无意中建立一个用完整个磁盘窨所有块的文件.
      文件系统将文件名转换为i节点的方法实际上相当简单.一个目录实际上
  是一个含有目录表的文件:对于目录中的每个文件,在目录表中有一个入口项,
  入口项中含有文件名和与文件相应的i节点号.当用户敲入cat xxx时,文件系
  统就在当前目录表中查找名为xxx的入口项,得到与文件xxx相应的i节点号,然
  后开始取含有文件xxx的内容的块.

  (2)设备文件
      UNIX系统与边在本系统上的各种设备之间的通讯,通过特别文件来实现,
  就程序而言,磁盘是文件,MODEM是文件,甚至内存也是文件.所有连接到系统上
  的设备都在/dev目录中有一个文件与其对应.当在这些文件上执行I/O操作时,
  由UNIX系统将I/O操作转换成实际设备的动作.例如,文件/dev/mem是系统的内
  存,如果cat这个文件,实际上是在终端显示系统的内存.为了安全起见,这个文
  件对普通用户是不可读的.因为在任一给定时间,内存区可能含有用户登录口
  令或运行程序的口令,某部分文件的编辑缓冲区,缓冲区可能含有用ed -x命令
  解密后的文本,以及用户不愿让其他人存取的种种信息.
      在/dev中的文件通常称为设备文件,用ls /dev命令可以看看系统中的一
  些设备:
      acuo    呼叫自动拨号器
      console 系统控制台
      dsknn   块方式操作磁盘分区
      kmem    核心内存
      mem     内存
      lp      打印机
      mto     块方式操作磁带
      rdsknn  流方式操作的磁盘分区
      rmto    流方式操作的磁带
      swap    交换区
      syscon  系统终端
      ttynn   终端口
      x25     网络端口
      等等

  (3)/etc/mknod命令
      用于建立设备文件.只有root能使用这个命令建立设备文件.其参数是文
  件名,字母c或b分别代表字符特别文件或块特别文件,主设备号,次设备号.块
  特别文件是像磁带,磁盘这样一些以块为单位存取数据的设备.字符特别文件
  是如像终端,打印机,MODEM,或者其它任何与系统通讯时,一次传输一个字符的
  设备,包括模仿对磁盘进行字符方式存取的磁盘驱动器.主设备号指定了系统
  子程序(设备驱动程序),当在设备上执行I/O时,系统将调用这个驱动程序.调
  用设备驱动程序时,次设备号将传递给该驱动程序(次设备规定具体的磁盘驱
  动器,带驱动器,信号线编号,或磁盘分区).每种类型的设备一般都有自己的设
  备驱动程序.
      文件系统将主设备号和次设备号存放在i节点中的磁盘地址表内,所以没
  有磁盘空间分配给设备文件(除i节点本身占用的磁盘区外).当程序试图在设
  备文件上执行I/O操作时,系统识别出该文件是一个特别文件,并调用由主设备
  号指定的设备驱动程序,次设备号作为调用设备驱动程序的参数.

  (4)安全考虑
      将设备处理成文件,使得UNIX程序独立于设备,即程序不必一定要了解正
  使用的设备的任何特性,存取设备也不需要记录长度,块大小,传输速度,网络
  协议等这样一些信息,所有烦人的细节由设备驱动程序去关心考虑,要存取设
  备,程序只须打开设备文件,然后作为普通的UNIX文件来使用.
      从安全的观点来看这样处理很好,因为任何设备上进行的I/O操作只经过
  了少量的渠道(即设备文件).用户不能直接地存取设备.所以如果正确地设置
  了磁盘分区的存取许可,用户就只能通过UNIX文件系统存取磁盘.文件系统有
  内部安全机制(文件许可).不幸的是,如果磁盘分区设备得不正确,任何用户都
  能够写一个程序读磁盘分区中的每个文件,作法很简单:读一i节点,然后以磁
  盘地址表中块号出现的顺序,依次读这些块号指出的存有文件内容的块.故除
  了root以外,决不要使盘分区对任何人可写.因为所有者,文件存取许可方式这
  样一些信息存放于i节点中,任何人只要具有已安装分区的写许可,就能设置任
  何文件的SUID许可,而不管文件的所有者是谁,也不必用chmod()命令,还可避
  过系统建立的安全检查.
      以上所述对内存文件mem,kmem和对换文件swap也是一样的.这些文件含有
  用户信息,一个”耐心”的程序可以将用户信息提取出来.
      要避免磁盘分区(以及其它设备)可读可写,应当在建立设备文件前先用
  umask命令设置文件建立屏蔽值.
      一般情况下,UNIX系统上的终端口对任何人都是可写的,从而使用户可以
  用write命令发送信息.虽然write命令易引起安全方面的问题,但大多数用户
  觉得用write得到其他用户的信息很方便,所以系统将终端设备的存取许可设
  置成对所有用户可写.
      /dev目录应当是755存取许可方式,且属root所有.
      不允许除root外的任何用户读或写盘分区的原则有一例外,即一些程序
  (通常是数据库系统)要求对磁盘分区直接存取,解决这个问题的经验的盘分区
  应当由这种程序专用(不安装文件系统),而且应当告知使用这种程序的用户,
  文件安全保护将由程序自己而不是UNIX文件系统完成.

  (5)find命令
      find命令用于搜索目录树,并对目录树上的所有文件执行某种操作,参数
  是目录名表(指出从哪些起点开始搜索),还可给出一个或多个选项,规定对每
  个文件执行什么操作.
      find . -print 将列出当前工作目录下的目录树的每一个文件.
      find / -user bob -print 将列出在系统中可找到的属于bob用户的所有
           文件.
      find /usr/bob -perm 666 -print 将列出/usr/bob目录树下所有存取许
           可为666的文件.若将666改为-666则将列出所有具有包含了666在内
           的存取许可方式的文件(如777).
      find /usr/bob -type b -print 将列出/usr/bob目录树下所有块特别文
           件(c为字符特别文件).
      find / -user root -perm -4000 -exec ls -l {} ; 是一个较复杂一
           点的命令,-exec COMMAND ;允许对所找到的每个文件运行指定的
           命令COMMAND.若COMMAND中含有{},则{}将由find所找到的文件名替
           换.COMMAND必须以;结束.
      以上举例介绍find的用法,各选项可组合使用以达到更强的功能.

  (6)secure程序
      系统管理员应当做一个程序以定期检查系统中的各个系统文件,包括检查
  设备文件和SUID,SGID程序,尤其要注意检查SUID,SGID程序,检查/etc/passwd
  和/etc/group文件,寻找久未登录的户头和校验各重要文件是否被修改.
  (源程序清单将在今后发表)

  (7)ncheck命令
      用于检查文件系统,只用一个磁盘分区名作为参数,将列出i节点号及相应
  的文件名.i节点相同的文件为建链文件.
      注意:所列出的清单文件名与mount命令的第一个域相同的文件名前部分
  将不会列出来.因为是做文件系统内部的检查,ncheck并不知道文件系统安装
  点以上部分的目录.
      也可用此命令来搜索文件系统中所有的SUID和SGID程序和设备文件,使用
  -s选项来完成此项功能.

  (8)安装和拆卸文件系统
      UNIX文件系统是可安装的,这意味着每个文件系统可以连接到整个目录树
  的任意节点上(根目录总是被安装上的).安装文件系统的目录称为安装点.
      /etc/mount命令用于安装文件系统,用这条命令可将文件系统安装在现有
  目录结构的任意处.
      安装文件系统时,安装点的文件和目录都是不可存取的,因此未安装文件
  系统时,不要将文件存入安装点目录.文件系统安装后,安装点的存取许可方式
  和所有者将改变为所安装的文件根目录的许可方式和所有者.
      安装文件系统时要小心:安装点的属性会改变!还要注意新建的文件,除非
  新文件系统是由标准文件建立的,系统标准文件会设置适当的存取许可方式,
  否则新文件系统的存取许可将是777!
      可用-r选项将文件系统安装成只读文件系统.需要写保护的带驱动器和磁
  盘应当以这种方式来安装.
      不带任何参数的/etc/mount可获得系统中所安装的文件系统的有关信息.
  包括:文件系统被安装的安装点目录,对应/dev中的哪个设备,只读或可读写,
  安装时间和日期等.
      从安全的观点来讲,可安装系统的危险来自用户可能请求系统管理员为其
  安装用户自己的文件系统.如果安装了用户的文件系统,则应在允许用户存取
  文件系统前,先扫描用户的文件系统,搜索SUID/SGID程序和设备文件.在除了
  root外任何人不能执行的目录中安装文件系统,用find命令或secure列出可疑
  文件,删除不属用户所有的文件的SUID/SGID许可.
      用户的文件系统用完后,可用umount命令卸下文件系统.并将安装点目录
  的所有者改回root,存取许可改为755.

  (9)系统目录和文件
      UNIX系统中有许多文件不允许用户写,如:/bin,/usr/bin,/usr/lbin,
  /etc/passwd,/usr/lib/crontab,/unix,/etc/rc,/etc/inittab这样一些文件
  和目录(大多数的系统目录),可写的目录允许移动文件,会引起安全问题.
      系统管理员应经常检查系统文件和目录的许可权限和所有者.可做一个程
  序根据系统提供的规则文件(在/etc/permlist文件中)所描述的文件所有者和
  许可权规则检查各文件.
  (源程序清单将在今后发表)
      注意:如果系统的安全管理不好,或系统是新安装的,其安全程序不够高,
  可以用make方式在安全强的系统上运行上述程序,将许可规则文件拷贝到新系
  统来,再以设置方式在新系统上运行上述程序,就可提高本系统的安全程序.但
  要记住,两个系统必须运行相同的UNIX系统版本.

4.作为root运行的程序
    在UNIX系统中,有些程序由系统作为root进程运行.这些程序并不总是具有
SUID许可,因为其不少程序仅由root运行,系统管理员需要清楚这些程序做什么,
以及这些程序还将运行其它什么程序.

  (1)启动系统
      当某些UNIX系统(如SCO UNIX/XENIX)启动时,是以被称为单用户的方式运
  行,在这种方式中普通用户不能登录,唯有的进程是init,swapper,以及一些由
  系统管理员从控制台运行的进程.UNIX系统的单用户方式启动,使系统管理员
  能在允许普通用户登录以前,先检查系统操作,确保系统一切正常,当系统处于
  单用户方式时,控制台作为超级用户,命令揭示是”#”,有些UNIX系统不要确认
  超级用户口令就认可控制台是root,给出#提示符.这就可能成为一个安全问题.

  (2)init进程
      UNIX系统总是以某种方式或称为某种级运行,系统有若干种运行级,这些
  运行级由init进程控制.
      UNIX系统启动时以单用户方式运行,也叫1级或S级.
      对于其他用户登录进入系统,UNIX有一种多用户运行方式,也叫2级.
      init进程控制系统运行级,它读入文件/etc/inittab,该文件详细地规定
  了哪些进程在哪一级运行.当root敲入init n(数字),系统就进入n级.init读
  该文件以确定终止哪些进程,启动哪些进程.
      有效的运行级的数值是从0到6与s.
      注意:由init建立的进程以UID为0运行(root)从/etc/inittab运行的程序
  也作为root运行,所以系统管理员要确保自己知道/etc/inittab中的程序做什
  么工作,确保这些程序以及这些程序所在的目录直到/和/etc/inittab除root
  外无人可写.

  (3)进入多用户
      当UNIX系统进入多用户方式时,将寝化一系列事件,接着开始执行gettys,
  允许其他用户登录进入系统.如果再看看/etc/inittab文件,会看到gettys定
  义在运行级2,至少三个shell程序/etc/brc,/etc/bcheckrc,/etc/rc*也定义
  在运行级2.这些程序都在gettys启动前运行.
      这些shell程序作为root运行,也不能仅对root可写还应当检查shell程序
  运行的命令,因为这些命令也将作为root运行.

  (4)shutdown命令
      用shutdown命令关系统,shutdown shell程序发送警告通知所有用户离开
  系统,在”给定的期限时间”到了后,就终止进程,拆卸文件系统,进入单用户方
  式或关机状态.一旦进入单用户方式,所有的gettys停止运行,用户再不能登录.
  进入关机状态后可将系统关电.
      shutdown仅能由作为root登录的用户从系统控制台上运行.所以任何的
  shutdown运行的命令仅能对root可写.

  (5)系统V的cron程序
      cron在UNIX系统是多用户方式时运行,根据规定的时间安排执行指定的命
  令,每隔一分钟检查一次文件/usr/lib/crontab,寻找是否有应当运行的程序?
  如果找到要运行的程序,就运行该程序,否则睡眠等待一分钟.
      实际的/usr/lib/crontab用于根据全天的规则时间表运行程序,也可在夜
  晚运行白天不愿运行怕降低其他用户速度的程序.通常由cron运行的程序是如
  记帐,存文件这样的程序.cron一般在系统进入多用户后由/etc/rc启动,当
  shutdown运行killall命令时便终止运行.由cron运行的程序作为root,所以应
  当注意放什么程序在crontab中,还要确保/usr/lib/crontab和该表中列出的
  任何程序对任何人不可写.
      如果用户需要由cron执行一个程序,系统管理员可用su命令在crontab表
  中建立一个入口,使用户的程序不能获得root的权限.

  (6)系统V版本2之后的cron程序
      在系统V版本2中,cron被修改成允许用户建立自己的crontab入口,
  /usr/lib/crontab文件不再存在,由目录/usr/spool/cron/crontabs中的文件
  代替.这些文件的格式与crontab相同,但每个文件与系统中的一个用户对应,
  并以某用户的名义由cron运行.
      如果想限制能建立crontab的用户,可在文件/usr/lib/cron/cron.allow
  文件中列出允许运行crontab命令的用户.任何未列于该文件的用户不能运行
  crontab.反之,若更愿意列出不允许运行crontab命令的用户,则可将他们列入
  /usr/lib/cron/cron.deny文件中,未列于该文件的其他用户将被允许建立
  crontab.
      注意:若两个文件都存在,系统将使用cron.allow,忽略cron.deny.如果两
  个文件都不存在,则只有root可运行crontab.所以,若要允许系统中的所有用
  户都可运行crontab命令,应当建立一个空的cron.deny文件,如果cron.allow
  也存在,则删除该文件.
      这个版本的cron命令的安全程度比前一个高,因为用户只能看自己的
  crontab,系统管理员也不必担心其他用户的程序是否会作为root运行,由于允
  许每个系统登录用户有自己的crontab,也简化了对程序必须由cron运行,但不
  必作为root运行的系统程序的处理.
      必须确保root的crontab文件仅对root可写,并且该文件所在的目录及所
  有的父目录也仅对root可写.

  (7)/etc/profile
      每当用户(包括root在内)登录时,由shell执行/etc/profile文件,应确保
  这个文件以及从这个文件运行的程序和命令都仅对root可写.

5./etc/passwd文件
    /etc/passwd文件是UNIX安全的关键文件之一.该文件用于用户登录时校验
用户的口令,当然应当仅对root可写.文件中每行的一般格式为:
    LOGNAME:PASSWORD:UID:GID:USERINFO:HOME:SHELL
    每行的头两项是登录名和加密后的口令,后面的两个数是UID和GID,接着的
一项是系统管理员想写入的有关该用户的任何信息,最后两项是两个路径名:
一个是分配给用户的HOME目录,第二个是用户登录后将执行的shell(若为空格则
缺省为/bin/sh).

  (1)口令时效
      /etc/passwd文件的格式使系统管理员能要求用户定期地改变他们的口令.
  在口令文件中可以看到,有些加密后的口令有逗号,逗号后有几个字符和一个
  冒号.如:
      steve:xyDfccTrt180x,M.y8:0:0:admin:/:/bin/sh
      restrict:pomJk109Jky41,.1:0:0:admin:/:/bin/sh
      pat:xmotTVoyumjls:0:0:admin:/:/bin/sh
      可以看到,steve的口令逗号后有4个字符,restrict有2个,pat没有逗号.
      逗号后第一个字符是口令有效期的最大周数,第二个字符决定了用户再次
  修改口信之前,原口令应使用的最小周数(这就防止了用户改了新口令后立刻
  又改回成老口令).其余字符表明口令最新修改时间.
      要能读懂口令中逗号后的信息,必须首先知道如何用passwd_esc计数,计
  数的方法是: .=0  /=1  0-9=2-11  A-Z=12-37  a-z=38-63
      系统管理员必须将前两个字符放进/etc/passwd文件,以要求用户定期的
  修改口令,另外两个字符当用户修改口令时,由passwd命令填入.
      注意:若想让用户修改口令,可在最后一次口令被修改时,放两个”.”,则下
  一次用户登录时将被要求修改自己的口令.
      有两种特殊情况:
      . 最大周数(第一个字符)小于最小周数(第二个字符),则不允许用户修改
        口令,仅超级用户可以修改用户的口令.
      . 第一个字符和第二个字符都是”.”,这时用户下次登录时被要求修改口
        令,修改口令后,passwd命令将”.”删除,此后再不会要求用户修改口令.

  (2)UID和GID
      /etc/passwd中UID信息很重要,系统使用UID而不是登录名区别用户.一般
  来说,用户的UID应当是独一无二的,其他用户不应当有相同的UID数值.根据惯
  例,从0到99的UID保留用作系统用户的UID(root,bin,uucp等).
      如果在/etc/passwd文件中有两个不同的入口项有相同的UID,则这两个用
  户对相互的文件具有相同的存取权限.

6./etc/group文件
    /etc/group文件含有关于小组的信息,/etc/passwd中的每个GID在本文件中
应当有相应的入口项,入口项中列出了小组名和小组中的用户.这样可方便地了
解每个小组的用户,否则必须根据GID在/etc/passwd文件中从头至尾地寻找同组
用户.
    /etc/group文件对小组的许可权限的控制并不是必要的,因为系统用UID,GID
(取自/etc/passwd)决定文件存取权限,即使/etc/group文件不存在于系统中,具
有相同的GID用户也可以小组的存取许可权限共享文件.
    小组就像登录用户一样可以有口令.如果/etc/group文件入口项的第二个域
为非空,则将被认为是加密口令,newgrp命令将要求用户给出口令,然后将口令加
密,再与该域的加密口令比较.
    给小组建立口令一般不是个好作法.第一,如果小组内共享文件,若有某人猜
着小组口令,则该组的所有用户的文件就可能泄漏;其次,管理小组口令很费事,
因为对于小组没有类似的passwd命令.可用/usr/lib/makekey生成一个口令写入
/etc/group.
    以下情况必须建立新组:
    (1)可能要增加新用户,该用户不属于任何一个现有的小组.
    (2)有的用户可能时常需要独自为一个小组.
    (3)有的用户可能有一个SGID程序,需要独自为一个小组.
    (4)有时可能要安装运行SGID的软件系统,该软件系统需要建立一个新组.
    要增加一个新组,必须编辑该文件,为新组加一个入口项.
    由于用户登录时,系统从/etc/passwd文件中取GID,而不是从/etc/group中
取GID,所以group文件和口令文件应当具有一致性.对于一个用户的小组,UID和
GID应当是相同的.多用户小组的GID应当不同于任何用户的UID,一般为5位数,这
样在查看/etc/passwd文件时,就可根据5位数据的GID识别多用户小组,这将减少
增加新组,新用户时可能产生的混淆.

7.增加,删除,移走用户

  (1)增加用户
      增加用户有三个过程:
      . 在/etc/passwd文件中写入新用户的入口项.
      . 为新登录用户建立一个HOME目录.
      . 在/etc/group中为新用户增加一个入口项.
      在/etc/passwd文件中写入新的入口项时,口令部分可先设置为NOLOGIN,
  以免有人做为此新用户登录.在修改文件前,应mkdir /etc/ptmp,以免他人同
  时修改此文件.新用户一般独立为一个新组,GID号与UID号相同(除非他要加入
  目前已存在的一个新组),UID号必须和其他人不同,HOME目录一般设置在/usr
  或/home目录下建立一个以用户登录名为名称的目录做为其主目录.

  (2)删除用户
      删除用户与加用户的工作正好相反,首先在/etc/passwd和/etc/group文
  件中删除用户的入口项,然后删除用户的HOME目录和所有文件.
      rm -r /usr/loginname 删除整个目录树.
      如果用户在/usr/spool/cron/crontabs中有crontab文件,也应当删除.

  (3)将用户移到另一个系统
      这是一个复杂的问题,不只是拷贝用户的文件和用户在/etc/passwd文件
  中的入口项.首先一个问题是用户的UID和GID可能已经用于另一个系统,若是
  出现这种情况,必须给要移的用户分配另外的UID和GID,如果改变了用户的UID
  和GID,则必须搜索该用户的全部文件,将文件的原UID和GID改成新的UID和GID.
  用find命令可以完成这一修改:
      find . -user olduid -exec chown newuid {} ;
      find . -group oldgid -exec chgrp newgid {} ;
      也许还要为用户移走其它一些文件:
      /usr/mail/user和/usr/spool/cron/crontabs/user.
      如果用户从一个不是本系统管理员的系统移来,则应对该用户的目录结构
  运行程序来检查.一个不安全系统的用户,可能有与该用户其它文件存在一起
  的SUID/SGID程序,而这个SUID/SGID程序属于另一个用户.在这种情况下,如果
  用cpio或tar命令将用户的目录结构拷贝到本系统,SUID/SGID程序也将会拷贝
  到本系统而没有任何警告信息.应当在允许用户使用新系统以前先删除这种文
  件的SUID/SGID许可.总之,始终坚持检查所移用户的文件总是更安全些.也可
  以用su命令进入用户的户头,再拷贝用户文件,这样文件的所有者就是该用户,
  而不是root.

8.安全检查
    像find和secure这样的程序称为检查程序,它们搜索文件系统,寻找出SUID/
SGID文件,设备文件,任何人可写的系统文件,设有口令的登录用户,具有相同UID
/GID的用户等等.

  (1)记帐
      UNIX记帐软件包可用作安全检查工具,除最后登录时间的记录外,记帐系
  统还能保存全天运行的所有进程的完整记录,对于一个进程所存贮的信息包括
  UID,命令名,进程开始执行与结束的时间,CPU时间和实际消耗的时间,该进程
  是否是root进程,这将有助于系统管理员了解系统中的用户在干什么.acctcom
  命令可以列出一天的帐目表.有明,系统中有多个记帐数据文件,记帐信息保存
  在文件/usr/adm/pacct*中,/usr/adm/pacct是当前记录文件,/usr/adm/pacctn
  是以前的记帐文件(n为整型数).若有若干个记帐文件要查看,可在acctcom命
  令中指定文件名: acctcom /usr/adm/pacct? /usr/adm/pacct
      要检查的问题的其中之一是:在acctcom的输出中查找一个用户过多的登
  录过程,若有,则说明可能有人一遍遍地尝试登录,猜测口令,企图非法进入系
  统.此外,还应查看root进程,除了系统管理员用su命令从终端进入root,系统
  启动,系统停止时间,以及由init(通常init只启动getty,login,登录shell),
  cron启动的进程和具有root SUID许可的命令外,不应当有任何root进程.
      由记帐系统也可获得有关每个用户的CPU利用率,运行的进程数等统计数
  据.

  (2)其它检查命令
      *du:报告在层次目录结构(当前工作目录或指定目录起)中各目录占用的
          磁盘块数.可用于检查用户对文件系统的使用情况.
      *df:报告整个文件系统当前的空间使用情况.可用于合理调整磁盘空间的
          使用和管理.
      *ps:检查当前系统中正在运行的所有进程.对于用了大量CPU时间的进程,
          同时运行了许多进程的用户,运行了很长时间但用了很少CPU时间的
          用户进程应当深入检查.还可以查出运行了一个无限制循环的后台进
          程的用户,未注销户头就关终端的用户(一般发生在直接连线的终端).
      *who:可以告诉系统管理员系统中工作的进展情况等等许多信息,检查用
          户的登录时间,登录终端.
      *su:每当用户试图使用su命令进入系统用户时,命令将在/usr/adm/sulog
          文件中写一条信息,若该文件记录了大量试图用su进入root的无效操
          作信息,则表明了可能有人企图破译root口令.
      *login:在一些系统中,login程序记录了无效的登录企图(若本系统的
          login程序不做这项工作而系统中有login源程序,则应修改login).
          每天总有少量的无效登录,若无效登录的次数突然增加了两倍,则表
          明可能有人企图通过猜测登录名和口令,非法进入系统.
      这里最重要的一点是:系统管理没越熟悉自己的用户和用户的工作习惯,
  就越能快速发现系统中任何不寻常的事件,而不寻常的事件意味着系统已被人
  窃密.


  (3)安全检查程序的问题
      关于以上的检查方法的一个警告,若有诱骗,则这些方法中没有几个能防
  诱骗.如find命令,如果碰到路径名长于256个字符的文件或含有多于200个文
  件的目录,将放弃处理该文件或目录,用户就有可能利用建立多层目录结构或
  大目录隐藏SUID程序,使其逃避检查(但find命令会给出一个错误信息,系统管
  理员应手工检查这些目录和文件).也可用ncheck命令搜索文件系统,但它没有
  find命令指定搜索哪种文件的功能.
      如果定期存取.profile文件,则检查久未登录用户的方法就不奏效了.而
  用户用su命令时,除非用参数-,否则su不读用户的.profile.
      有三种方法可寻找久未登录的帐户:
      . UNIX记帐系统在文件/usr/adm/acct/sum/login中为每个用户保留了最
        后一次登录日期.用这个文件的好处是,该文件由系统维护,所以可完全
        肯定登录日期是准确的.缺点是必须在系统上运行记帐程序以更新
        loginlog文件,如果在清晨(午夜后)运行记帐程序,一天的登录日期可
        能就被清除了.
      . /etc/passwd文件中的口令时效域将能告诉系统管理员,用户的口令是
        否过期了,若过期,则意味着自过期以来,户头再未被用过.这一方法的
        好处在于系统记录了久未用的户头,检查过程简单,且不需要记帐系统
        所需要的磁盘资源,缺点是也许系统管理员不想在系统上设置口令时效,
        而且这一方法仅在口令的最大有效期(只有几周)才是准确的.
      . 系统管理员可以写一个程序,每天(和重新引导系统时)扫描/etc/wtmp,
        自己保留下用户最后登录时间记录,这一方法的好处是不需要记帐程序,
        并且时间准确,缺点是要自己写程序.
      以上任何方法都可和/usr/adm/sulog文件结合起来,查出由login或su登
  录户头的最后登录时间.
      如果有人存心破坏系统安全,第一件要做的事就是寻找检查程序.破坏者
  将修改检查程序,使其不能报告任何异常事件,也可能停止系统记帐,删除记帐
  文件,使系统管理员不能发现破坏者干了些什么.

  (4)系统泄密后怎么办?
      发现有人已经破坏了系统安全的时候,这时系统管理员首先应做的是面对
  肇事用户.如果该用户所做的事不是蓄意的,而且公司没有关于”破坏安全”的
  规章,也未造成损坏,则系统管理员只需清理系统,并留心该用户一段时间.如
  果该用户造成了某些损坏,则应当报告有关人士,并且应尽可能地将系统恢复
  到原来的状态.
      如果肇事者是非授权用户,那就得做最坏的假设了:肇事者已设法成为root
  且本系统的文件和程序已经泄密了.系统管理员应当想法查出谁是肇事者,他
  造成了什么损坏?还应当对整个文件做一次全面的检查,并不只是检查SUID和
  SGID,设备文件.如果系统安全被一个敌对的用户破坏了,应当采用下面的步骤:
      . 关系统,然后重新引导,不要进入多用户方式,进入单用户方式.
      . 安装含有本系统原始UNIX版本的带和软盘.
      . 将/bin,/usr/bin,/etc,/usr/lib中的文件拷贝到一个暂存目录中.
      . 将暂存目录中所有文件的校验和(用原始版本的sum程序拷贝做校验和,
        不要用/bin中的suM程序做)与系统中所有对就的文件的校验和进行比
        较,如果有任何差别,要查清差别产生的原因.如果两个校验和不同,是
        由于安装了新版本的程序,确认一相是否的确是安装了新版本程序.如
        果不能找出校验和不同的原因,用暂存目录中的命令替换系统中的原有
        命令.
      . 在确认系统中的命令还未被窜改之前,不要用系统中原命令.用暂存目
        录中的shell,并将PATH设置为仅在暂存目录中搜索命令.
      . 根据暂存目录中所有系统命令的存取许可,检查系统中所有命令的存取
        许可.
      . 检查所有系统目录的存取许可,如果用了perms,检查permlist文件是否
        被窜改过.
      . 如果系统UNIX(/unix)的校验和不同于原版的校验和,并且系统管理员
        从未修改过核心,则应当认为,一个非法者”很能干”,从暂存缓冲区重新
        装入系统.系统管理员可以从逐步增加的文件系统备份中恢复用户的文
        件,但是在检查备份中的”有趣”文件之前,不能做文件恢复.
      . 改变系统中的所有口令,通知用户他们的口令已改变,应找系统管理员
        得到新口令.
      . 当用户来要新口令时,告诉用户发生了一次安全事故,他们应查看自己
        的文件和目录是否潜伏着危害(如SUID文件,特洛依木马,任何人可写的
        目录),并报告系统管理员任何异乎寻常的情况.
      . 设法查清安全破坏是如何发生的?如果没有肇事者说明,这也许是不可
        能弄清的.如果能发现肇事者如何进入系统,设法堵住这个安全漏洞.
      第一次安装UNIX系统时,可以将shell,sum命令,所有文件的校验和存放在
  安全的介质上(带,软盘,硬盘和任何可以卸下并锁焉起来的介质).于是不必再
  从原版系统带上重新装入文件,可以安装备份介质,装入shell和sum,将存在带
  上的校验和与系统中文件的校验和进行比较.系统管理员也许想自己写一个计
  算校验和的程序,破坏者将不能知道该程序的算法,如果将该程序及校验和保
  存在带上,这一方法的保密问题就减小到一个物理的安全问题,即只需将带锁
  起来.

9.加限制的环境

  (1)加限制的shell(rsh)
      该shell几乎与普通的shell相同,但是该shell的设计能限制一个用户的
  能力,不允许用户有某些标准shell所允许的行为:
      . 不能改变工作目录(cd).
      . 不能改变PATH或SHELL shell变量.
      . 不能使用含有”/”的命令名.
      . 不能重定向输出(>和>>).
      . 不能用exec执行程序.
      用户在登录时,招待.profile文件后系统就强加上了这些限制,如果用户
  在.profile文件正被解释时按了BREAK键或DELETE键,该用户将被注销.
      这些简单的限制,使用写受限制用户的.profile文件的系统管理员可以对
  用户能使用什么命令,进行完全的控制.
      应当注意:系统V加限制的shell实际上不是很安全,在敌对的用户时不要
  用.系统V版本2以后的版本中加限制的shell更安全些.但若允许受限制的用户
  使用某些命令(如env,cp,ln),用户将能逃避加限制的shell,进入非限制的
  shell.

  (2)用chroot()限制用户
      如果的确想限制一个用户,可用chroot()子程序为用户建立一个完全隔离
  的环境,改变了进程对根目录的概念,因此可用于将一个用户封在整个文件系
  统的某一层目录结构中,使用户无法用cd命令转出该层目录结构,不能存取文
  件系统中其余部分的任何文件.这种限制方式比加限制的shell好得多.用户使
  用的命令应由系统管理员在新的root目录中建立一个bin目录,并建立用户可
  用命令的链到系统的/bin目录中相应命令文件上(若在不同的文件系统则应拷
  贝命令文件).
      还应建立新的passwd文件,保留系统登录户头(为了使ls -l正确地报告与
  受限制的子文件系统中的文件相关的正确登录名)和用户帐户,但系统帐户的
  口令改为NOLOGIN以使受限制的用户不能取得系统登录的真实口令,使”破密”
  程序的任何企图成为泡影.
      utmp文件是who所需要的,该文件含有系统中已登录用户的列表.
      新的/etc/profile文件也不是建链文件,以便受限制的用户可以执行不同
  的启动命令.
      /dev目录中的终端设备文件被链接到新的/dev目录下,因为命令who产生
  输出时要查看这些文件.
      在系统V及以后的UNIX版本中,login命令有chroot()的功能.如果口令文
  件中用户入口项的登录shell域(最后一个域)是*,login将调用chroot()把用
  户的根目录设置成为口令文件中用户入口项登录目录域指定的目录.然后再调
  用exec()执行login,新的login将在新子系统文件中执行该用户的登录.
      chroot()并不是把root封锁在一个子文件系统中,所以给受限制用户用的
  命令时应加以考虑,具有root的SUID许可的程序可能会给予用户root的能力.
  应当将这种可能减低到最小程度,交给用户使用的命令应当取自清除了SUID陷
  井的系统命令.链接文件可减少磁盘占用区,但要记住,当与敌对用户打交道时
  链接到chroot目录结构(尤其是命令)的系统文件是很危险的.
      如果建立一个像这样的限制环境,应确保对安装到新的/bin的每条命令都
  做过测试,有些程序可能有系统管理员未曾想到的出乎意料的执行结果.为了
  使这些命令能运行,还得在加限制的子文件系统中加服务目录或文件如:/tmp,
  /etc/termcap,/usr/lib/terminfo,/dev/mem,/dev/kmem,/dev/swap,用户所
  登录的/dev中的tty文件以及/unix.
      有些程序在子文件系统中运行时不会很好,如果将假脱机程序和网络命令
  拷贝到加限制的子文件系统中,并放在为两条命令专建的目录层结构下,它们
  可能也运行不了.

10.小系统安全
    任何足够小,运行于办公室的UNIX系统就是小系统.这类小系统也包括所有
台式UNIX机器.根据安全观点,使小系统很特别而值得特别的有以下几点:
    . 小系统的用户比大系统的用户少,通常是很小一组用户,使系统管理员能
      熟悉每个人,安全问题可以直接地面对面处理.
    . 由于小UNIX系统管理更简单,可能只需要一个系统管理员,因而维护系统
      安全的责任只有一个人担负.
    . 如果既是用户又是系统管理员,将不能花大量时间考虑系统安全.
    . 如果自己拥有系统并且是系统管理员,就可能有权直接将违反规的用户从
      系统中删除,而没有几个大系统的管理员能有这种权利.
    . 如果自己是系统的唯一用户,则将既是用户又是管理员,维护系统安全的
      任务就很简单了,只须确保系统中所有登录户头的口令是好的.
    . 如果不能将系统锁起来,就把敏感的数据存放在软盘上,把软盘锁起来.
    . 即使系统中有若干个用户,但如果系统的终端之产是有线连接,并且用户
      们保持门上锁,则系统也将是安全的,至少在本组用户内是安全的.
    . 小系统通常有可移动的介质(软盘),可用mount命令将其安装到系统上,提
      供一种安全的方法让用户自己在系统上安装软盘,否则系统管理员要一天
      到晚地干这些琐碎的安装盘事务.允许用户安装软盘的通常做法是给用户
      一个SUID程序,该程序基本完成与系统管理员安装用户软盘同样的操作,
      首先检查软盘上有无SUID/SGID/设备文件,若发现任何奇怪的文件,则拒
      绝安装该软盘.
    . 当小系统开电源后,系统一般在从硬盘引导以前,先试图从软盘引导.这就
      意味着计算机将首先试图从软盘装入程序,若软盘不在驱动器中,系统将
      从硬盘装入UNIX内核.软盘几乎可以含有任何程序,包括在控制台启动
      root shell的UNIX系统版本.如果破坏者有一把螺丝起子和有关系统内部
      的一些知识,则即便系统有被认为防止安全事故发生的特殊”微码”口令,
      也可能被诱骗去从软盘引导.
    . 即使小系统晚上不锁,凡从不将个人的或秘密的信息存放在大系统上的人
      他们不可能认识所有系统上的用户),也不会想把这样的信息存放在小系
      统上.
    . 小系统的系统管理员在使用UNIX系统方面常不如大系统管理员?芯

可能是对freebsd不太熟悉，感觉没有linux好用，Linux下的防火墙一般用iptables，通过lsmod | grep iptables 可以知道是否启用了iptables，但是freebsd不但没有iptables，连lsmod命令都没有，不过可能有其它类似的命令，有时间再学吧，学无止境。。。。

 

freebsd下的防火墙可以用ipfw 顾名思义，应该是ip fire wall的意思了

不小心创建了一个文件叫 -123  结果由于含有特殊字符 – ，怎么也删不掉，上网查查才知道， 加 — 选项，即： rm — -123

原来 — 是一个特殊的选项

实际上，man rm 仔细看看就行了，文档里都有的，还有一种方法，文档里也提到了，即：

rm ./-123

 

要善假于物

对于投入正常运转和服务的计算机网络，网络管理员的常规任务就是网络的运营、维护与管理。

　　在信息社会中，人们一时一刻也离不开计算机网络的支持。网络管理员的职责。就是保证所维护管理的网络每日24小时、每周7天、一年365天正常运转。网络正常运转的时候人们往往并不注意你的劳动成果和你的重要作用，网络一旦出现故障，你常常成为关注焦点，众矢之的。因此，作为一个合格的网络管理员，你需要有宽阔的技术背景知识，需要熟练掌握各种系统和设备的配置和操作，需要阅读和熟记网络系统中各种系统和设备的使用说明书，以便在系统或网络一旦发生故障时，能够迅速判断出问题所在。给出解决方案，使网络迅速恢复正常服务。

　　网络管理员的日常工作虽然很繁杂，但是我们认为其工作的主要任务有七项，这就是网络基础设施管理、网络操作系统管理、网络应用系统管理、网络用户管理、网络安全保密管理、信息存储备份管理和网络机房管理。这些管理涉及到多个领域，每个领域的管理又有各自特定的任务。

　　在网络正常运行状况下，网络管理员对网络基础设施的管理主要包括：确保网络通信传输畅通，掌握局域网主干设备的配置情况及配置参数变更情况，备份各个设备的配置文件；对运行关键业务网络的主干设备配备相应的备份设备，并配置为热后备设备负责网络布线配线架的管理，确保配线的合理有序；掌握用户端设备接入网络的情况，以便发现问题可迅速定位；采取技术措施，对网络内经常出现用户需要变更位置和部门的情况进行管理掌握与外部网络的连接配置，监督网络通信状况，发现问题后与有关机构及时联系；实时监控整个局域网的运转和网络通信流量情况；制订、发布网络基础设施使用管理办法并监督执行情况。

　　网络管理员在维护网络运行环境时的核心任务之一是网络操作系统管理。在网络操作系统配置完成并投入正常运行后，为了确保网络操作系统工作正常，网络管理员首先应该能够熟练的利用系统提供的各种管理工具软件，实时监督系统的运转情况，及时发现故障征兆并进行处理。在网络运行过程中网络管理员应随时掌握网络系统配置情况及配置参数变更情况、对配置参数进行备份。网络管理员还应该做到随着系统环境变化、业务发展需要和用户需求，动态调整系统配置参数，优化系统性能。最后，网络管理员还应该为关键的网络操作系统服务器建立热备份系统，做好防灾准备。因为网络操作系统是网络应用软件和网络用户的工作平台，一旦发生致命故障，这个网络服务将陷入瘫痪状。

　　对于普通用户，计算机网络的价值主要是通过各种网络应用系统的服务体现的，网络管理员日常系统维护的一个重要职责，就是确保这些服务运行的不间断性和工作性能的良好性。任何系统都不可能永远不出现故障，关键是一旦出现故障时如何将故障造成的损失和影响控制在最小范围内。对于要求不可中断的关键型网络应用系统，网络管理员除了在软件手段上要掌握、备份系统配置参数和定期备份系统业务数据外，必要时在硬件手段上还需要建立和配置系统的热备份。对于用户访问频率高、系统负荷大的网络应用系统服务，必要时网络管理员还应该采取负载分担的技术措施。

　　除了通过软件维护进行系统管理外、网络管理员还需要直接为网络用户服务。用户服务与管理在网络管理员的日常工作量中占有很大一部分份额，其内容包括：用户的开户与撤消管理，用户组的设置与管理，用户使用系统服务和资源的权限管理和配额管理，用户计费管理，以及包括用户桌面联网计算机的技术支持服务和用户技术培训服务的用户端支持服务。建设计算机网络的目的是为用户提供服务，网络管理员必须坚持以人为本、服务至上的原则。

　　不设防的网络好比在开门揖盗，网络管理员在提供网络服务的同时必须特别注重网络的安全与保密管理。安全与保密是一个问题的两个方面，安全主要指防止外部对网络的攻击和入侵，保密主要指防止网络内部信息的泄露。根据所维护管理的计算机网络的安全保密要求级别的不同，网络管理员的任务也不同。对于普通级别的网络，网络管理员的任务主要是配置管理好系统防火墙。为了能够及时发现和阻止网络黑客的攻击，可以再配置入侵检测软件系统对关键服务提供安全保护。对于安全保密级别要求高的网络、网络管理员除了应该采取上述措施外，还应该配备网络安全漏洞扫描系统，对关键的网络服务器采取容灾的技术手段。更严格的涉密计算机网络，还要求在物理上与外部公共计算机网络绝对隔离；对安置涉密网络计算机和网络主干设备房间的要采取安全措施，控制管理人员的进出；对涉密网络用户的工作情况要进行全面的监控管理。

　　在计算机网络中最贵重的是什么?不是设备，不是计算机软件，而是数据和信息。任何设备都有损坏的可能，任何软件都有过时的时候，设备损坏可以重新购置，软件可以更新，信息和数据一旦丢失，损失将无法弥补。因此网络管理员还有一个重要职责，就是采取一切可能的技术手段和管理措施，保护网络中的信息安全。对于实时工作级别要求不高的系统和数据，最低限度网络管理员也应该进行定期手工操作备份；对于关键业务服务系统和实时级别高的数据和信息，网络管理员应该建立存储备份系统、进行集中式的备份管理，最后，将备份数据随时保存在安全地点更是非常重要。

　　网络机房是安置网络系统关键设备的要地，是网络管理员日常工作的场地。根据网络规模不同，网络机房的功能复杂程度也不同。一个正规的网络机房通常分为网络主干设备区、网络服务器设备区、系统调试维护维修区、软件开发区和空调电源设备区。对于网络机房的日常管理，网络管理员的任务是：掌握机房数据通信电缆布线情况，在增减设备时确保布线合理，管理维护方便；掌管机房设备供电线路安排，在增减设备时注意负载的合理配置；管理网络机房的温度、湿度和通风状况，提供适合的工作环境；确保网络机房内各种设备的正常运转；确保网络机房符合防火安全要求、火警监测系统工作正常，灭火措施有效；采取措施，在外部供电意外中断和恢复时，实现在无人值守情况下保证网络设备安全运行。另外，保持机房整洁有序，按时记录网络机房运行日志，制订网络机房管理制度并监督执行，也是网络管理员的日常基本职责。

　　网络配置面面观

　　在计算机网络建设的过程中，完成了网络基础设施的硬件安装，网络仅仅是在硬件上连通。没有软件环境的支持它仍然不能对普通用户提供任何服务。因此，网络管理员需要首先对网络进行一系列配置操作。网络配置实际可以分为两大类型：网络系统配置和网络应用配置。前者是搭建网络的系统环境，后者是为用户提供应用环境。

　　网络系统配置是指网络设备硬件近网参数配置和网络软件配置。网络管理员在进行网络系统配置时，所涉及的配置内容主要包括网络主干设备通信参数配置、广域网通信路由配置、局域网操作系统配置、客户系统配置，网络安全配置和网络管理配置。

　　网络主干设备通信参数配置是将网络中所有设备在软件上连通的第一步。网络主干设备在硬件安装完成后，网络管理员需要利用硬件设备上的控制台端口，接入一台计算机，通过计算机终端软件使用其内置的管理软件系统，对其通信参数进行配置。

　　网络主干设备配置的复杂程度与网络的规模以及设备类型有关。简单的单用途设备可能已经内置配备好连网通信参数，可以直接连接使用。而一个由多台交换机组成的分层管理的计算机网络，如果支持多种网络通信协议和管理控制协议，配置就可能十分复杂。网络管理员不但需要分别熟悉这些设备的内置管理系统，掌握配置操作，还应该掌握如何对配置好的系统参数进行备份保存，以便当因为人为原因或设备原因破坏了原来的配置参数时，能够迅速进行系统恢复。

　　当所建立的计算机网络需要与外部计算机网络连接时，不论所连接的网络是专用数据通信网络或者公共数据通信网络，网络管理员都需要进行广域网通信配置。根据与外部网络连接的方式和所使用的设备，配置操作各种各样。如果是通过专用硬件路由器对外连接，通常需要使用路由器内置的管理系统进行参数配置，操作方式类似对网络交换机的配置。如果是通过普通计算机或服务器上的软件路由建立的对外连接，则需要对该计算机软件系统进行参数配置。

　　一个机构内部建大的计算机网络通常采用的是局域网技术。因此，在网络主干通信设备配置完成后，网络管理员还需要安装选定的局域网操作系统并进行配置操作。局域网操作系统通常安装在一台服务器上。局域网操作系统配置的内容主要包括服务器本身连网参数配置、网络使用环境配置、网络管理环境配置、网络系统管理员和操作员配置、普通网络用户和用户组的建立及其网络资源使用权限配置、高层网络通信协议配置、网络系统资源与系统服务配置等。

　　在完成了局域网系统平台的配置之后，网络管理员的下一个任务是为用户配置客户端系统和网络连接。客户端操作系统的选择原则，一是要根据用户工作需要和用户计算机硬件配置水下，二是要根据网络操作系统平台对客户端系统的支持能力。网络连接配置的主要内容为客户端网络适配器驱动程序的配置、网络通信协议的配置和网络连接参数的配置。

　　当整个网络配置完成，经过测试可以正常工作后，就可以根据网络规划与设计要求进行网络安全配置了。网络安全配置以管理控制局域网与外部网络的通信连接为主，同时兼顾监察管理局域网内部的用户行为。网络安全配置首先是系统防火墙的配置，它可能是一台专门的设备、可能由配置了防火墙功能的路由器兼任，也可能是由安装在一台计算机上的防火墙软件构成。无论何种形式，都需要进行参数配置操作。另外，防火墙是一种跨接两个网络的设备。在进行软件参数配置以前、首先要确保它的硬件系统上作正常。

　　网络系统配置中还有一个非常重要的内容，就是网络管理配置。如果局域网与互联网连接，为了使得我们的网络能够成为互联网的一个组成部分，就需要通过互联间接入机构为它申请互联网域名和IP地址，并且建方、配置用于互联网的DNS域名服务器。另外，为了便于网络管理员能够实时监督整个网络系统的运行情况和排查网络故障，甚至远程管理、控制和操作网络中的通信设备，许多具有一定规模的网络还配备了专门的网络管理软件。它又需要安装在指定的计算机上，经过配置后才能够使用。

　　在完成了网络系统配置后，网络管理员建立的用户就可以使用自己的用户名称和所得到的用户入网登录密码进入网络。当用户入网以后能够得到哪些服务，可以使用那些网络共享资源，还需要网络管理员进一步提供。这就是网络资源共享及应用配置。

　　通过网络共享资源是建设网络的主要目的之一，资源共享可分为硬件资源相信息资源共享两类，其中信息资源共享主要是通过网络应用系统实现的。而硬件设备的网络共享可以提高共利用率，极大的节约公用设备的投资费用。在考虑设备共享方案时，网络管理员需要考虑共享设备的种类与布局，并根据不同设备的用途以及单位管理规定来配置相关用户及用户组的使用权限与范围。

　　网络应用系统可以分为两类。一类是通用网络应用系统，另一类是专用网络应用系统配置。

　　通用网络应用系统是指通常所有网络用户都要用到的网络服务，如电子邮件服务、网络信息浏览服务、网站信息发布服务、网络文件传输服务、远程计算机系统登录服务等。

　　如果网络管理员要向用户提供自己管理的电子邮件服务，就必须选购相应的邮件服务器软件，将特定的计算机或服务器配置成为邮件服务器。管理员必须掌握邮件服务器的配置、运行和管理技术，管理好邮件服务器的用户和服务。

　　如果网络管理员要向用户提供基于互联网的网络信息浏览服务(Web信息浏览服务)，则必须为用户配置访问互联网的方式。如果网络的使用管理机构出于安全或管理上的原因、不允许网内用户直接访问互联网，就需要建方访问网关。访问网关可以对用户访问互联网进行控制、管理和计费，可以在用户与互联网不直接连接情况下，对用户提供透明的互联网信息代理访问服务。因此，提供这类互联网信息访问服务需要网络管理员选购专门的软件安装在网络内专门的计算机上，并且经过参数配置后才能实现。

　　如果需要建立自己管理的网站信息发布服务，网络管理员就需要在网络中建立网站服务器，在服务器上安装、配置运行基于web的互联刚信息发布系统软件。

　　至于网络文件传输服务和远程计算机系统登录服务等常见的网络信息服务，如果不需要建立自己提供服务的服务器，网络操作系统的缺省配置常常就可以满足用户的需要。

　　以上列举的仅仅是常见通用网络应用系统。通用的网络应用系统通常都有商品化软件、或作为网络操作系统的组成部分，一般都要经过配置才能够提供服务。

　　专用的网络应用系统是指使用机构为某一特殊应用目的，专门开发的用于特定业务的软件系统。这类系统通常安装在网络中的专门服务器上。网络管理员的责任是协助应用系统的管理员完成各种网络参数配置，使得这些系统能够顺利的通过网络提供服务。

错做事是做了不该做的事，或者说做了不该自己做的事，或者说做了份外的事却没做好，这就叫费力不讨好，是最要不得的。这是原则性的错误。

 

做错事是自己该做的事却由于能力有限或方法错误却没做好，这个似乎不值得遗憾。

学习usermod命令时，把自己的帐户给弄过期了，就是

usermod -E 1901-1-1 myusercount

但是想救回来用命令

usermod -E 2039-12-31 myusercount

几句不行了，于是有了解了一下chage命令，还是没解决问题，看来看/etc/passwd 里面没有相应的信息，网上也没找见好办法，只好问师傅了，师傅说看看shadow文件，于是手动修改了一下shadow文件，用户就解封了，

至于shadow文件怎么改，man shadow看看各个字段的内容就行了，下面给一个 能用的用户的shadow记录：

 

junjie2:$1$YDW.HyX3$uUM7PB5Y35rijisxaXGjX0:13922:0:99999:0:::