- A+
购入了一台阿里云的ESC服务器，以前都用CentOS感觉Yum不怎么方便，这次选的Ubuntu16.04.7
搭好服务之后做安全检查，发现Ubuntu16.04版本漏洞众多；虽然也没有涉及到16.04.7版本（这么说来阿里云给的镜像还是可以的）但升级一下更安全一些；于是就有了今天这篇文章，做个总结。
我原来的内核版本
首先，更新内核版本（4.4x内核有些许漏洞，见图）
一、Linux更新内核版本
1、下载内核deb安装文件
对于Ubuntu，需要去http://kernel.ubuntu.com/~kernel-ppa/mainline/选择合适的内核安装包
注意：X86硬件架构64位操作系统应选择AMD64
浏览器下载4个内核deb安装文件，并上传到服务器,或在服务器执行:
wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.9.10/amd64/linux-headers-5.9.10-050910-generic_5.9.10-050910.202011221708_amd64.deb wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.9.10/amd64/linux-headers-5.9.10-050910_5.9.10-050910.202011221708_all.deb wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.9.10/amd64/linux-image-unsigned-5.9.10-050910-generic_5.9.10-050910.202011221708_amd64.deb wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.9.10/amd64/linux-modules-5.9.10-050910-generic_5.9.10-050910.202011221708_amd64.deb
2、安装deb包
切换至root或使用sudo
sudo dpkg -i *.deb
3、更新grub，重启验证
update-grub reboot
uname -sr #查看内核版本
二、更新Ubuntu系统版本
更新系统版本之前记得换软件源，如果软件源过慢或不稳定那将是一个大麻烦
换源及apt-get常用命令参考：https://www.jianshu.com/p/a79ee7f59036
1、更新安装源（Source）
sudo apt-get update #更新安装源（Source）
2、对软件升级
apt-get dist-upgrade #更新已安装的软件包（识别并处理依赖关系的改变）
3、更新系统版本
sudo update-manager -c -d
注：如果提示“update-manager”未安装，可以使用“sudo apt-get install update-manager”安装
如果安装后仍然无法执行，提示“update-manager”服务没有运行，可以使用“systemctl status update-manager”查看该服务情况，我的显示“找不到该服务的文件，该服务处于死的状态”；如果像我一样，尝试卸载该服务“sudo apt-get --purge autoremove update-manager”然后下一步
4、另一种方法
sudo do-release-upgrade -d #中间只要是停下来需要选择，一路选择Y即可 #更新之后查看系统版本 lsb_release -a
三、安全配置-禁用root远程登录-禁用sudo
1、为防止暴力穷举root登录密码，修改配置文件禁用root远程登录
#修改root密码(一是为了增加root密码强度，二是有些Ubuntu默认root没有密码，一直使用普通用户sudo在运行；创建root密码使root可登录对下面的操作至关重要)
passwd root
#创建普通用户(用于禁用root远程登录后自己登录使用)
useradd 用户名
#修改该用户的密码，创建时默认没有密码（没有密码将无法登录）
passwd 用户名
#在/home下创建该用户的家目录（有些Ubuntu在创建用户后，用户并没有家目录）
mkdir /home/用户名
#修改该用户的默认bash（有些Ubuntu创建用户后bash也不是默认bash）
usermod -s /bin/bash 用户名
#禁用root远程登录
vim /etc/ssh/sshd_config #将PermitRootLogin的值改为prohibit-password
保存重启服务器才能生效
2、禁用sudo，防止黑客控制普通用户后控制服务器
vim /etc/sudoers
#注释掉：
%admin ALL=(ALL) ALL
%sudo ALL=(ALL:ALL) ALL
%wheel ALL=(ALL) ALL
包括：“用户名 ALL=(ALL:ALL) ALL”等语句
三、防反弹shell
服务器一旦被上传恶意文件并执行，就有可能被黑客获得控制权限，无论这个权限大小，为防止进一步提权或破坏服务器有必要阻止他
但防止上传恶意文件难度是巨大的，例如web网站允许上传用户头像（万一某个人上传了一个PHP呢？）尽管程序员会在网站源码里做防护，但PHP也有很多漏洞；况且百密必有一疏，例如php5.6版本就存在任意文件上传漏洞。一般网站源码可兼容的PHP版本是有限度的，无节制更新PHP版本也不太可能。以及web服务经常发生的xss攻击，服务器运行的各种docker和应用程序及手机app服务端；防护覆盖面广，难度大。
上传文件无非获得服务器控制权，反弹shell就是常用的一种；另一种目的是损坏服务器，利用漏洞删除服务器数据、破坏服务正常运行 （可以通过更新内核版本防护）。
GitHub上有一个项目来实现这个功能
GitHub项目地址：https://github.com/zhanghaoyil/seesaw
具体使用还在研究中，本文章持续更新！
