my.cnf 추가
[mysqld]
log-bin=mysql-bin
server-id=1
mysql 접속
mysql -uroot -p
slave서버에서 접속하는 유저에게 권한부여
grant replication slave on *.* to '유저명'@'슬레이브IP' identified by '비번';
확인
select * from user where user='replication';
select * from user where user='replication'\G;
*************************** 2. row ***************************
Host: 211.115.127.228
User: replication
Password: *EAB9E57CC91EDA4B72ABCB63E05D2A8FD113BFE4
Select_priv: N
Insert_priv: N
Update_priv: N
Delete_priv: N
Create_priv: N
Drop_priv: N
Reload_priv: N
Shutdown_priv: N
Process_priv: N
File_priv: N
Grant_priv: N
References_priv: N
Index_priv: N
Alter_priv: N
Show_db_priv: N
Super_priv: N
Create_tmp_table_priv: N
Lock_tables_priv: N
Execute_priv: N
Repl_slave_priv: Y
Repl_client_priv: N
Create_view_priv: N
Show_view_priv: N
Create_routine_priv: N
Alter_routine_priv: N
Create_user_priv: N
ssl_type:
ssl_cipher:
x509_issuer:
x509_subject:
max_questions: 0
max_updates: 0
max_connections: 0
max_user_connections: 0
2 rows in set (0.00 sec)
권한 리로드
flush privileges;
마스터 상태확인
show master status;
+------------------+----------+--------------+------------------+
| File | Position | Binlog_Do_DB | Binlog_Ignore_DB |
+------------------+----------+--------------+------------------+
| mysql-bin.000006 | 261 | | |
+------------------+----------+--------------+------------------+
1 row in set (0.00 sec)
mysql나가기
exit;
mysql재시작 한다.
/etc/init.d/mysqld restart
---------------------------------------------
slave server 설정
master의 디비를 백업하여 slave의 디비에 복원하여 똑같은 디비상태로 만든다.
my.cnf 추가
[mysqld]
log-bin=mysql-bin
server-id=2
master-host=마스터아이피주소
master-port=3306
master-user=유저명
master-password=비밀번호
replicate_do_db=디비명
마스터 정보변경 할 수도 있다.
mysql접속
mysql -uroot -p
slave stop;
CHANGE MASTER TO
MASTER_HOST='마스터IP',
MASTER_USER='유저명',
MASTER_PASSWORD='패스워드',
MASTER_LOG_FILE='mysql-bin.000027같은 로그파일명',
MASTER_LOG_POS=4;
start slave;
확인
show slave status;
show slave status\G;
*************************** 1. row ***************************
Slave_IO_State: Waiting for master to send event
Master_Host: 121.254.231.163
Master_User: replication
Master_Port: 3306
Connect_Retry: 60
Master_Log_File: mysql-bin.000006
Read_Master_Log_Pos: 424
Relay_Log_File: mysqld-relay-bin.000013
Relay_Log_Pos: 561
Relay_Master_Log_File: mysql-bin.000006
Slave_IO_Running: Yes
Slave_SQL_Running: Yes
Replicate_Do_DB: replication
Replicate_Ignore_DB:
Replicate_Do_Table:
Replicate_Ignore_Table:
Replicate_Wild_Do_Table:
Replicate_Wild_Ignore_Table:
Last_Errno: 0
Last_Error:
Skip_Counter: 0
Exec_Master_Log_Pos: 424
Relay_Log_Space: 561
Until_Condition: None
Until_Log_File:
Until_Log_Pos: 0
Master_SSL_Allowed: No
Master_SSL_CA_File:
Master_SSL_CA_Path:
Master_SSL_Cert:
Master_SSL_Cipher:
Master_SSL_Key:
Seconds_Behind_Master: 0
1 row in set (0.00 sec)
mysql나가기
exit;
mysql 재시작
/etc/init.d/mysqld restart
=============================================
find . -user [user] -exec chown [user].[group] {} \;
==> 해당 uid를 찾아 변경한다.
find . -type f -exec chmod 700 {} \;
현위치의 파일타입의 권한을 변경
find . -type d -exec chmod 600 {} \;
현위치의 디렉토리타입의 권한을 변경
find ./ -name "*" -exec grep -H hack {} \;
find ./ -type f -print | xargs grep -H "hack" /dev/null
find ./ -type f -exec grep 'hack' {} /dev/null \;
egrep -r hack *
==> hack 이라는 단어가 들어가는 문자포함 파일을 찾는다
세번째가 좀 좋음.
find / -user 427 -print
==> uid가 427인 파일들 찾음
find / -cmin -5
==> 최근 5분안에 생성되거나 업데이트된 파일을 보여준다.
find / -perm -0002 -type d -print
==> 일반유저가 쓰기권한이 있는 디렉토리를 보여준다.
find / -perm -0002 -type f -print
==> 일반유저가 쓰기권한이 있는 파일를 보여준다.
find / -nouser -o -nogroup -print
==> 유저나 그룹이 없는 파일을 보여준다.
find / -mtime 2 -o -ctime 2
==> 지난 2일 사이에 변경된 파일을 보여준다.
손혁진
| |
|
리눅스 설치후 삭제해야 할 패키지
anacron apmd at dhcpcd dosfstools eject hotplug ipchains ksymoops kudzu lokkit mailcap pciutils pump raidtools redhat-ogos
redhat-release setserial
anacron
apmd
at
dhcpcd
dosfstools
eject
hotplug
ipchains
ksymoops
kudzu
lokkit
mailcap
pciutils
pump
raidtools 리눅스 소프트웨어 레이드 설정시 사용
redhat-logos
redhat-release
setserial 시리얼포트정보 알려줌
위 패키지들은 구버전 리눅스에 사용되는 것으로 확인후 삭제한다.
용도에 따라 필요한 경우도 있음
------------------------------------------------------------------------------------
불필요 문서 삭제
rm -f /usr/share/doc/*
------------------------------------------------------------------------------------
리눅스 ctrl+alt+del 키를 이용한 부팅 막기
vim /etc/inittab 에서 다음을 주석처리
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
------------------------------------------------------------------------------------
리눅스 .bash_history 에 저장되는 명령어 라인을 제한하기
vim /etc/profile
HISTSIZE=10
원하는 라인 수 만큼 설정
HISTFILESIZE=0
=> 로그아웃시 .bash_history 파일을 삭제하게하여 침입자가 로그인 안된상태에서 해당파일을 사용못하게한다.
------------------------------------------------------------------------------------
suid / sgud 가 설정된 파일
s비트가 설정된 모든파일 찾기
=> find / -type f \( -perm -04000 -o -perm -02000 \) \-exec ls -lg {} \;
만약 파일시스템이 더 있다면
=> find / \ (! -fstype nfs -o -prune \) -type f ( -perm -04000 -o -perm -02000 \) -exec ls -l {} /;
s비트 설정 해제하기
chmod a-s /usr/bin/
chage gpasswd wall chfn chsh newgrp write
/usr/sbin/
usernetctl traceroute
/bin/
mount umount ping
/sbin/
netreport
------------------------------------------------------------------------------------
숨김파일 찾기
find / -name ".." -print -xdev
find / -name ".*" -print -xdev | cat -v
외부에서 쓰기권한 허용된 파일 찾기
find / -type f \( -perm -2 -o -perm -20 \) -exec ls -lg {} \;
외부에서 쓰기권한 허용된 디렉토리 찾기
find / -type d \( -perm -2 -o -perm -20 \) -exec ls -ldg {} \;
소유자 없는 파일 찾기
find / -nouser -o -nogroup
------------------------------------------------------------------------------------
mod_security 룰 설정 내용
<IfModule mod_security.c>
# Turn the filtering engine On or Off
SecFilterEngine On # => 엔진 사용유무 설정
# Change Server: string
SecServerSignature " Microsoft-IIS/5.0"
# httpd.conf 에서 ServerTokens Prod 이용
# The audit engine works independently and can be turned On or Off on the per-server or
# on the per-directory basis. "On" will log everything,"DynamicOrRelevant" will log dynamic
# requests or violations, and "RelevantOnly" will only log policy violations
SecAuditEngine RelevantOnly
# => 비정상적인 것에 대하서 판결하겠다
# The name of the audit log file
SecAuditLog logs/audit_log
# => 로그를 어디에 저장할 것인가 로그 저장경로
# Should mod_security inspect POST payloads
SecFilterScanPOST On
# => post로 오는것도 필터링을 할 것인지 설정
# Action to take by default
SecFilterDefaultAction "deny,log,status:403"
# => 디폴트 액션 - 필터링 방법 " 차단하고 로그를 남기고 403에러를 내겠다"
SecFilterSelective REQUEST_METHOD "!(GET|POST|HEAD)" deny,log,status:403
# => 리퀘스트 메소드가 get post head 가 아닌경우 차단하고 로그 남기고 403에러를 낸다.
# Require Content-Length to be provided with
# every POST request
SecFilterSelective REQUEST_METHOD "^POST$" chain
SecFilterSelective HTTP_Content-Length "^$"
SecFilterSelective ARG_username admin chain
SecFilterSelective REMOTE_ADDR "!^211.47.64.5$“
SecFilterSelective REMOTE_ADDR "^127.0.0.1$" nolog,allow
SecFilterSelective THE_REQUEST "wget "
SecFilterSelective THE_REQUEST “lynx”
SecFilterSelective THE_REQUEST "mkdir"
SecFilterSelective THE_REQUEST "/tmp"
SecFilterSelective THE_REQUEST "/bin"
SecFilterSelective THE_REQUEST "/admin_/" log,pass
SecFilterSelective THE_REQUEST "/₩.bash_history"
# WEB-CGI bash access
SecFilterSelective THE_REQUEST "/bash" log,pass
SecFilterSelective THE_REQUEST "awstats" chain
SecFilterSelective ARGS "(pluginmode|loadplugin|debug|configdir|perl|cgi|chmod|exec|print)"
SecFilterSelective OUTPUT "Fatal error:" deny,status:500
# => 서버측 기반 프로그램 실행시 Fatal error 가 나오면 차단을 하고 500에러를 낸다
# 비정상 sql문이나 장애발생시 에러메세지를 통하여 페이지를 보여주지 않고 500에러로 출력
ErrorDocument 500 /php-fatal-error.html
SecFilterOutputMimeTypes "(null) text/html text/plain"
# output은 html이나 txt만 모니터링하도록 설정
<Location /cgi-bin/FormMail>
# Reject request where the value of parameter "recipient"
# does not end with "@test.com"
SecFilterSelective ARG_recipient "!@test.com$">
# => 폼메일에서 @test.com 이 아니면 차단을 한다
</Location>
SecUploadDir /tmp
SecUploadKeepFiles On
SecUploadApprovescript /full/path/to/the/script.sh # => 바이러스 체크 스크립트지정
# 업로드되는 파일에 대해 바이러스 체크등
SecFilter "delete[[:space:]]+from"
SecFilter "insert[[:space:]]+into"
SecFilter "select.+from“
SecFilter "drop[[:space:]]table"
</IfModule>
http://www.samplesite.com/login.php?username=admin';
DROP%20TABLE%20users--
