Linux引导启动 ，服务，进程，计划任务和系统安全

Linux引导启动 ，服务，进程，计划任务和系统安全

1.引导启动

1.1开机自检

服务器主机开机以后，将根据主板 BIOS 中的设置对 CPU（Central Processing Unit， 中央处理器）、内存、显卡、键盘等设备进行初步检测，检测成功后根据预设的启动顺序移 交系统控制权，大多时候会移交给本机硬盘。 网络启动 加载 网络批量pxe

硬件启动POST：Power-On-Self-Test，加电自检，是BIOS功能的一个主要部分。负责完成对CPU、主板、内存、硬盘子系统、显示子系统、串并行接口、键盘等硬件情况的检测

主板的ROM：BIOS，Basic Input and Output System，保存着有关计算机系统最重要的基本输入输出程序，系统信息设置、开机加电自检程序和系统启动自举程序等

1.2.MBR引导

当从本机硬盘中启动系统时，首先根据硬盘第一个扇区中 MBR（Master Boot Record， 主引导记录）的设置，将系统控制权传递给包含操作系统引导文件的分区；或者直接根据 MBR 记录中的引导信息调用启动菜单（如 GRUB）。
总结：运行放在MBR扇区里的启动 GRUB引导程序

1.3GRUB菜单

对于 Linux 操作系统来说，GRUB（GRand Unified Bootloader，统一启动加载器）是 使用最为广泛的多系统引导器程序。系统控制权传递给 GRUB 以后，将会显示启动菜单给 用户选择，并根据所选项（或采用默认值）准备加载 Linux 内核文件，然后将系统控制权转交给 内核。需要注意的是，CentOS 7 采用的是 GRUB2 启动引导器。
总结：GRUB引导程序通过读取GRUB配置文件/boot/grub2/grub.cfg，来获取内核和镜像文件系统的设置和路径位置

1.4加载Linux内核 操作系统 调度硬件

Linux 内核是一个预先编译好的特殊二进制文件，介于各种硬件资源与系统程序之间， 负责资源分配与调度。内核接过系统控制权以后，将完全掌控整个 Linux 操作系统的运行过 程。在 CentOS 系统中，默认的内核文件位于“/boot/vmlinuz-3.10.0-514.el7.x86_64”。
总结：把内核和镜像文件系统加载到内存中 可以使用

1.5init进程初始化 这是linux 系统运行的第一个程序

为了完成进一步的系统引导过程，Linux内核首先将系统中的“/sbin/init”程序加载到内存中运行（运行中的程序称为进程），init 进程负责完成一系列的系统初始化过程，最后等待用户进行登录
总结：加载硬件驱动程序，内核把init进程加载到内存中运行

传统init依赖于串行执行Shell 脚本启动服务，导致效率低下，系统启动速度较慢 排队 systemd能够将更多的服务进程并行启动，并且具有提供按需启动服务的能力，使得启动更少进程，从而提高系统启动速度

2. systemd

2.1 systemd服务

Systemd新特性

• 系统引导时实现服务并行启动
• 按需启动守护进程
• 自动化的服务依赖关系管理
• 同时采用socket式与D-Bus总线式激活服务
• socket与服务程序分离
• 向后兼容sysv init脚本
• 使用systemctl 命令管理，systemctl命令固定不变，不可扩展，非由systemd启动的服务，
• systemctl无法与之通信和控制
• 系统状态快照
  systemd 核心概念：unit

unit表示不同类型的systemd对象，通过配置文件进行标识和配置；文件中主要包含了系统服务、监听

socket、保存的系统快照以及其它与init相关的信息

2.2 使用systemd管理程序

需要写.service文件，文件位置/usr/bin/systemd/system

2.2.1修复mbr分区

#备份MBR分区表
dd if=/dev/sda of=/data/dpt.img bs=1 count=64 skip=446
scp /data/dpt.img 10.0.0.102:
#破坏MBR分区表
[root@centos8 ~]#dd if=/dev/zero of=/dev/sda bs=1 count=64 seek=446
#无法启动
[root@centos8 ~]#reboot
#用光盘启动,进入rescue mode,选第3项skip to shell
#配置网络
#ifconfig ens33 10.0.0.8/24
#ip a a 10.0.0.8/24 dev ens33
#scp 10.0.0.102:/root/dpt.img ./
#恢复MBR分区表
#dd if=dpt.img of=/dev/sda bs=1 seek=446
#reboot

2.2.2修复grub分区

rm -rf /boot/grub2/grub.cfg        配置文件
#模拟删除grub.cf 文件

进入急救模式，选择1 继续

chroot /mnt/sysimage
#进入急救模式后，更改环境

grub2-install /dev/sda
#重新建立加载sda分区

grub2-mkconfig -o /boot/grub2/grub.cfg
#重新构建grub菜单配置文件

2.2.3修改密码

启动时任意键暂停启动
按e键进入编辑模式
将光标移动linux 开始的行，改为 rw init=/sysroot/bin/sh
按ctrl-x启动
chroot /sysroot
passwd root
#如果SELinux是启用的,才需要执行下面操作,如查没有启动,不需要执行
touch /.autorelabel
exit
reboot

3. 运行级别

4. 进程

4.1什么是进程

运行中的程序的一个副本，是被载入内存的一个指令集合，是资源分配的单位，

• 进程ID（Process ID，PID）号码被用来标记各个进程
• UID、GID语境决定对文件系统的存取和访问权限
• 通常从执行进程的用户来继承
• 存在生命周期
• 都由其父进程创建

进程创建：

• init：第一个进程，从 CentOS7 以后为systemd
• 进程：都由其父进程创建，fork，父子关系，CoW：Copy On Write 写实更新，有数据写入子进程需要新的内存空间

4.2 进程具有的特征：

• 动态性：进程是程序的一次执行过程，是临时的，有生命期的，是动态产生，动态消亡的；
• 并发性：任何进程都可以同其他进程一起并发执行；
• 独立性：进程是系统进行资源分配和调度的一个独立单位；
• 结构性：进程由程序、数据和进程控制块三部分组成。

4.3 进程的基本状态

• 创建状态：进程在创建时需要申请一个空白PCB(process control block进程控制块)，向其中填写控制和管理进程的信息，完成资源分配。如果创建工作无法完成，比如资源无法满足，就无法被调度运行，把此时进程所处状态称为创建状态
• 就绪状态：进程已准备好，已分配到所需资源，只要分配到CPU就能够立即运行
• 执行状态：进程处于就绪状态被调度后，进程进入执行状态
• 阻塞状态：正在执行的进程由于某些事件（I/O请求，申请缓存区失败）而暂时无法运行，进程受到阻塞。在满足请求时进入就绪状态等待系统调用
• 终止状态：进程结束，或出现错误，或被系统终止，进入终止状态。无法再执行
• 运行态：running
• 就绪态：ready
• 睡眠态：分为两种，可中断：interruptable，不可中断：uninterruptable
• 停止态：stopped，暂停于内存，但不会被调度，除非手动启动
• 僵死态：zombie，僵尸态，结束进程，父进程结束前，子进程不关闭，杀死父进程可以关闭僵死态 的子进程

4.4 ps命令

• "ps aux" 可以查看系统中所有的进程；
• "ps -le" 可以查看系统中所有的进程，而且还能看到进程的父进程的 PID 和进程优先级；
• "ps -l" 只能看到当前 Shell 产生的进程

常用选项

• a：显示当前终端下的所有进程信息，包括其他用户的进程。与“x”选项结合时将示系统中所有的进程信息。
• u：使用以用户为主的格式输出进程信息。
• x：显示当前用户在所有终端下的进程信息。
• -e：显示系统内的所有进程信息。
• -l：使用长（Long）格式显示进程信息。
• -f：使用完整的（Full）格式显示进程信
• k|--sort 属性 对属性排序,属性前加 - 表示倒序 ps aux k -%cpu
• o 属性… 选项显示定制的信息 pid、cmd、%cpu、%mem

查看进程信息 prtstat

4.5 top命令

选项：

• -d 秒数：指定 top 命令每隔几秒更新。默认是 3 秒；
• -b：使用批处理模式输出。一般和"-n"选项合用，用于把 top 命令重定向到文件中；
• -n 次数：指定 top 命令执行的次数。一般和"-"选项合用；
• -p 进程PID：仅查看指定 ID 的进程；
• -s：使 top 命令在安全模式中运行，避免在交互模式中出现错误；
• -u 用户名：只监听某个用户的进程；

在 top 命令的显示窗口中，还可以使用如下按键，进行一下交互操作：

• ? 或 h：显示交互模式的帮助；
• c：按照 CPU 的使用率排序，默认就是此选项；
• M：按照内存的使用率排序；
• N：按照 PID 排序；
• T：按照 CPU 的累积运算时间排序，也就是按照 TIME+ 项排序；
• k：按照 PID 给予某个进程一个信号。一般用于中止某个进程，信号 9 是强制中止的信号；
• r：按照 PID 给某个进程重设优先级（Nice）值；
• q：退出 top 命令；

4.6 pgrep命令

查看指定的进程

• -U 指定用户
• -l: 显示进程名
• -a: 显示完整格式的进程名
• -P pid: 显示指定进程的子进程
• pidof：已知程序名不知道pid号

4.7 pstree命令

常用选项
-a 显示启动每个进程对应的完整指令，包括启动进程的路径、参数等
-p 显示PID
-T 不显示线程thread,默认显示线程
-u 显示用户切换
-H pid 高亮显示指定进程及其前辈进程

4.8 lsof命令

• -c 字符串只列出以字符串开头的进程打开的文件。
• +d 目录名列出某个目录中所有被进程调用的文件。
• -u 用户名只列出某个用户的进程打开的文件。
• -p pid列出某个 PID 进程打开的文件。

4.9 系统命令

• 前台启动：通过终端启动，且启动后一直占据终端
• 后台启动：可通过终端启动，但启动后即转入后台运行（释放终端）

killall 也是用于关闭进程的一个命令，但和 kill 不同的是，killall 命令不再依靠 PID 来杀死单个进程，而是通过程序的进程名来杀死一类进程，也正是由于这一点，该命令常与 ps、pstree 等命令配合使用

6. 计划任务crontab

crontab -e
#进入 crontab 编辑界面。会打开Vim编辑你的任务* * * * * 执行的任务

在书写 crontab 定时任务时，需要注意以下几个事项：

• 6 个选项都不能为空，必须填写。如果不确定，则使用“*”代表任意时间。
• crontab 定时任务的最小有效时间是分钟，最大有效时间是月。像 2018 年某时执行、3 点 30 分 30 秒这样的时间都不能被识别。
• 在定义时间时，日期和星期最好不要在一条定时任务中出现，因为它们都以天为单位，非常容易让管理员混淆。
• 在定时任务中，不管是直接写命令，还是在脚本中写命令，最好都使用绝对路径。有时使用相对路径的命令会报错。

7.系统安全及应用

系统账号清理

• 将用户设置为无法登录

#查看lisi的属性
[root@localhost ~]# chsh -s /sbin/nologin lisi     
#修改lisi的shell属性

• 锁定账户

锁定用户 zhaosi 的密码 。
passwd: 操作成功
[root@localhost ~]# su zhangsan
[zhangsan@localhost root]$ su zhaosi
密码：
su: 鉴定故障
[root@localhost ~]# passwd -u zhaosi
解锁用户 zhaosi 的密码。
passwd: 操作成功
[root@localhost ~]# passwd -u zhaosi
解锁用户 zhaosi 的密码。
passwd: 操作成功
[root@localhost ~]# su zhangsan
[zhangsan@localhost root]$ su zhaosi
密码：
[zhaosi@localhost root]$ 

• 删除账户

userdel -r  用户名

• 锁定账户密码 本质锁定

chattr
-a     让文件或目录仅供附加用途。只能追加
-i      不得任意更动文件或目录
[root@localhost ~]# chattr +i /etc/passwd /etc/shadow
#加i
[root@localhost ~]# useradd liqi
useradd：无法打开 /etc/passwd
[root@localhost ~]# lsattr /etc/passwd /etc/shadow
----i----------- /etc/passwd
----i----------- /etc/shadow

chattr -i /etc/passwd /etc/shadow

• 设置密码规则

对于新用户
[root@localhost ~]# vim /etc/login.defs              
#适用于修改后生效后修改的用户
	 --------------------------------
	 25 PASS_MAX_DAYS   99999
     26 PASS_MIN_DAYS   0
     27 PASS_MIN_LEN    5
     28 PASS_WARN_AGE   7
[root@localhost ~]# tail -5 /etc/shadow            
#修改密码有效期限

对于已有用户可以使用chage命令
chage [选项] 用户名
-m：密码可更改的最小天数。为零时代表任何时候都可以更改密码。
-M：密码保持有效的最大天数。
-w：用户密码到期前，提前收到警告信息的天数。
-E：帐号到期的日期。过了这天，此帐号将不可用。
-d：上一次更改的日期。
-i：停滞时期。如果一个密码已过期这些天，那么此帐号将不可用。
-l：例出当前的设置。由非特权用户来确定他们的密码或帐号何时过期。

• 清空命令历史

echo $HISTSIZE 查看默认条数
HISTSIZE=10 临时修改
永久修改需写入/etc/profile

• 切换用户

切换用户的方式：

su UserName：非登录式切换，即不会读取目标用户的配置文件，不改变当前工作目录，即不完全切换 
su - UserName：登录式切换，会读取目标用户的配置文件，切换至自已的家目录，即完全切换
说明：root su至其他用户无须密码；非root用户切换时需要密码
注意：su 切换新用户后，使用 exit 退回至旧的用户身份，而不要再用 su 切换至旧用户，否则会生成很多的bash子进程，环境可能会混乱。
su 与 su-
即有 - 选项，切换用户身份更彻底；反之，只切换了一部分，这会导致某些命令运行出现问题或错误（例如无法使用 service 命令）。

8. PAM安全认证

PAM：Pluggable Authentication Modules，插件式的验证模块，Sun公司于1995 年开发的一种与认证相关的通用框架机制。PAM 只关注如何为服务验证用户的 API，通过提供一些动态链接库和一套统一的API 接口，将系统提供的服务和该服务的认证方式分开，使得系统管理员可以灵活地根据需要给不同的服务配置不同的认证方式而无需更改服务程序一种认证框架，自身不做认证。

8.1 PAM相关文件

• 包名: pam
• 模块文件目录：/lib64/security/*.so
• 特定模块相关的设置文件：/etc/security/
• man 8 加模块名 可以查看帮助
• 应用程序调用PAM模块的配置文件

8.2 PAM工作原理

PAM认证一般遵循这样的顺序：Service(服务)→PAM(配置文件)→pam_*.so

PAM认证首先要确定那一项服务，然后加载相应的PAM的配置文件(位于/etc/pam.d下)，最后调用认证文件(位于/lib64/security下)进行安全认证