第八周

awk -F: -v var=mage -f scriptfile ‘pattern{action}’

位置变量

OFS

ORS

FNR

FILENAME

ARGC

ARGV

awk控制语句

{ statements;… } 组合语句

if(condition) {statements;…}

if(condition) {statements;…} else {statements;…}

while(conditon) {statments;…}

do {statements;…} while(condition)

for(expr1;expr2;expr3) {statements;…}

break

continue

delete array[index]

delete array

exit

awk控制语句if-else

语法：if(condition){statement;…}[else statement]

if(condition1){statement1}else if(condition2){statement2}

else{statement3}

使用场景：对awk取得的整行或某个字段做条件判断

示例：

awk -F: ‘{if($3>=1000)print $1,$3}’ /etc/passwd

awk -F: ‘{if($NF==”/bin/bash”) print $1}’ /etc/passwd

awk ‘{if(NF>5) print $0}’ /etc/fstab

awk -F: ‘{if($3>=1000) {printf “Common user: %s\n”,$1} else {printf “root or Sysuser: %s\n”,$1}}’ {}是多条语句时使用

/etc/passwd

awk -F: ‘{if($3>=1000) printf “Common user: %s\n”,$1; else printf “root or Sysuser: %s\n”,$1}’ 一条语句可以省略{}

/etc/passwd

df -h|awk -F% ‘/^\/dev/{print $1}’|awk ‘$NF>=80{print $1,$5}‘

awk ‘BEGIN{ test=100;if(test>90){print “very good“}else if(test>60){ print “good”}else{print “no pass”}}’

[root@CENTOS7 ~]#awk -v FS=: ‘{if($3>=1000)print $1,$3}’ /etc/passwd

nfsnobody 65534

wang 1000

lele 1001

mage 1002

git 1003

xixx 1004

xxxxxxxx 1005

yyyyyyyyyyyyyy 1006

echo 1007

a 1008

[root@CENTOS7 ~]#awk -v FS=: ‘{if($NF == “/bin/bash”)print $1,$NF}’ /etc/passwd

root /bin/bash

wang /bin/bash

lele /bin/bash

mage /bin/bash

git /bin/bash

xixx /bin/bash

xxxxxxxx /bin/bash

yyyyyyyyyyyyyy /bin/bash

echo /bin/bash

a /bin/bash

[root@CENTOS7 ~]#awk ‘{if(NF >= 5)print $0}’ /etc/fstab

# Created by anaconda on Tue Mar 27 17:53:47 2018

# Accessible filesystems, by reference, are maintained under ‘/dev/disk’

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a / xfs defaults 0 0

UUID=4d8d9214-eeed-4758-8c34-f05492b9ea73 /boot xfs defaults 0 0

UUID=fb669d84-551f-4a70-a11e-f61deec0fd86 /data xfs defaults 0 0

UUID=906330a5-2af1-4bf4-8b2d-9337eaf92250 swap swap defaults 0 0

[root@CENTOS7 ~]#awk -v FS=: ‘{if($3>=1000){printf “common user:%s\n”,$1}else {printf “root or sysuser:%s\n”,$1}}’ /etc/passwd

root or sysuser:root

root or sysuser:bin

root or sysuser:daemon

root or sysuser:adm

root or sysuser:lp

root or sysuser:sync

root or sysuser:shutdown

[root@CENTOS7 ~]#df | awk -F% ‘/^\/dev\/sd/{print $1}’ | awk ‘{if($5>=8)print $1,$5}’

/dev/sda2 8

/dev/sda1 16

awk控制语句

while循环

语法：while(condition){statement;…}

条件“真”，进入循环；条件“假”，退出循环

使用场景：

对一行内的多个字段逐一类似处理时使用

对数组中的各元素逐一处理时使用

示例：

awk ‘/^[[:space:]]*linux16/{i=1;while(i<=NF)

{print $i,length($i); i++}}’ /etc/grub2.cfg

awk ‘/^[[:space:]]*linux16/{i=1;while(i<=NF) {if(length($i)>=10) {print

$i,length($i)}; i++}}’ /etc/grub2.cfg

[root@CENTOS7 ~]#awk ‘BEGIN{print length(“123456789woinasnf”)}’

[root@CENTOS7 ~]#awk ‘/^[[:space:]]*linux16/{i=1;while(i<=NF){print $i,length($i);i++}}’ /etc/grub2.cfg while是对字段做循环，对于awk来说，不需要对行做循环

linux16 7

/vmlinuz-3.10.0-693.el7.x86_64 30

root=UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a 46

ro 2

crashkernel=auto 16

rhgb 4

quiet 5

net.ifnames=0 13

linux16 7

/vmlinuz-0-rescue-d9b2c489cdf948f8b487e98005c15e1c 50

root=UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a 46

ro 2

crashkernel=auto 16

rhgb 4

quiet 5

net.ifnames=0 13

[root@CENTOS7 ~]#cat /etc/grub2.cfg | awk ‘/^[[:space:]]*linux16/{i=1;while(i<=NF){if(length($i)>=10){print $i,length($i)};i++}}’

/vmlinuz-3.10.0-693.el7.x86_64 30

root=UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a 46

crashkernel=auto 16

net.ifnames=0 13

/vmlinuz-0-rescue-d9b2c489cdf948f8b487e98005c15e1c 50

root=UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a 46

crashkernel=auto 16

net.ifnames=0 13

awk控制语句

do-while循环

语法：do {statement;…}while(condition)

意义：无论真假，至少执行一次循环体

示例：

awk ‘BEGIN{ total=0;i=0;do{ total+=i;i++;}while(i<=100);print total}’

[root@CENTOS7 ~]#awk ‘BEGIN{sum=0;i=0;do{sum+=i;i++;}while(i<=100)print sum}’

5050

[root@CENTOS7 ~]#awk ‘BEGIN{i=1;sum=0;while(i<=100){sum+=i;i++};print sum}’ 除了while固定语句形式，；等价{}

5050

awk控制语句

for循环

语法：for(expr1;expr2;expr3) {statement;…}

常见用法：

for(variable assignment;condition;iteration process)

{for-body}

特殊用法：能够遍历数组中的元素

语法：for(var in array) {for-body}

示例：

awk ‘/^[[:space:]]*linux16/{for(i=1;i<=NF;i++) {print $i,length($i)}}’

/etc/grub2.cfg

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=100;i++){sum+=i};print sum}’这些命令和变量只是局限在awk中跟shell无关

5050

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=100;i++){sum+=i}{print sum}}’

5050

[root@CENTOS7 ~]#for ((i=1,sum=0;i<=100;i++));do let sum+=i;done;echo $sum

5050

[root@CENTOS7 ~]#time `for ((i=1,sum=0;i<=1000000;i++));do let sum+=i;done;echo $sum`

bash: 500000500000: command not found…

real 0m6.539s

user 0m6.138s

sys 0m0.312s

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=100;i++){sum+=i};print sum}’

5050

[root@CENTOS7 ~]#time `awk ‘BEGIN{for(i=1;i<=1000000;i++){sum+=i};print sum}’`

bash: 500000500000: command not found…

real 0m0.095s

user 0m0.085s

sys 0m0.007s

[root@CENTOS7 ~]#time `seq -s + 1000000 | bc`

bash: 500000500000: command not found…

real 0m0.572s

user 0m0.405s

sys 0m0.035s

awk控制语句

switch语句

语法：switch(expression) {case VALUE1 or /REGEXP/: statement1; case

VALUE2 or /REGEXP2/: statement2; …; default: statementn}

break和continue

awk ‘BEGIN{sum=0;for(i=1;i<=100;i++)

{if(i%2==0)continue;sum+=i}print sum}‘

awk ‘BEGIN{sum=0;for(i=1;i<=100;i++)

{if(i==66)break;sum+=i}print sum}‘

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=100;i++){if(i%2==0){sum+=i}};print sum}’

2550

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=100;i++){if(i%2==0){continue}{sum+=i}};print sum}’

2500

awk控制语句

break [n]

continue [n]

提前结束对本行处理而直接进入下一行处理（awk自身循环）

awk -F: ‘{if($3%2!=0) next; print $1,$3}’ /etc/passwd

[root@CENTOS7 ~]#awk -v FS=: ‘{if($3%2!=0){next}{print $1,$3}}’ /etc/passwd

root 0

daemon 2

lp 4

shutdown 6

mail 8

games 12

ftp 14

systemd-network 192

libstoragemgmt 998

[root@CENTOS7 ~]#awk -F: ‘{if($3>=10){print $1,$3}{if($3<=100){print $1,$3}}}’ /etc/passwd 或者的关系

root 0

bin 1

daemon 2

adm 3

[root@CENTOS7 ~]#awk -F: ‘{if($3>=10&&$3<=100){print $1,$3}}’ /etc/passwd

operator 11

games 12

ftp 14

nobody 99

dbus 81

rpc 32

tss 59

rpcuser 29

radvd 75

awk数组

关联数组：array[index-expression]

index-expression:

(1) 可使用任意字符串；字符串要使用双引号括起来

(2) 如果某数组元素事先不存在，在引用时，awk会自动创建此元素，并将其值

初始化为“空串”

若要判断数组中是否存在某元素，要使用“index in array”格式进行遍历

示例：

weekdays[“mon”]=”Monday“

awk ‘BEGIN{weekdays[“mon”]=”Monday”;

weekdays[“tue”]=”Tuesday”;print weekdays[“mon”]}‘

awk ‘!arr[$0]++’ dupfile

awk ‘{!arr[$0]++;print $0, arr[$0]}’ dupfile

[root@CENTOS7 ~]#awk ‘BEGIN{name[“a”]=”wang”;name[“b”]=”liu”;print name[“a”]}’

wang

[root@CENTOS7 ~]#awk ‘BEGIN{name[“a”]=”wang”;name[“b”]=”liu”;print name[“b”]}’

liu

[root@CENTOS7 ~]#awk ‘BEGIN{{name[“a”]=”wang”}{name[“b”]=”liu”}{print name[“b”]}}’

liu

[root@CENTOS7 ~]#awk ‘BEGIN{{name[“a”]=”wang”}{name[“b”]=”liu”}{print name[“a”]}}’

wang

[root@CENTOS7 ~]#cat > f1

111

222

333

111

222

333

[root@CENTOS7 ~]#awk ‘!i[$0]++’ f1 去重复的行

111

222

333

[root@CENTOS7 ~]#awk ‘!++i[$0]’ f1

[root@CENTOS7 ~]#

[root@CENTOS7 ~]#sort -u f1 去除重复的行

111

222

333

[root@CENTOS7 ~]#awk ‘!a[$0]++{print $0,a[$0]}’ f1

111 1

222 1

333 1

[root@CENTOS7 ~]#awk ‘{!a[$0]++;print $0,a[$0]}’ f1

111 1

222 1

333 1

111 2

222 2

333 2

awk数组

若要遍历数组中的每个元素，要使用for循环

for(var in array) {for-body}

注意：var会遍历array的每个索引

示例：

awk ‘BEGIN{weekdays[“mon”]=”Monday”;weekdays[“tue”]

=”Tuesday”;for(i in weekdays) {print weekdays[i]}}‘

netstat -tan | awk ‘/^tcp/{state[$NF]++}END

{for(i in state) { print i,state[i]}}’

awk ‘{ip[$1]++}END{for(i in ip) {print i,ip[i]}}’ /var/log/httpd/access_log

[root@CENTOS7 ~]#awk ‘BEGIN{name[“a”]=”wang”;name[“b”]=”liu”;name[“c”]=”zhang”;for(i in name){print i,name[i]}}’

a wang

b liu

c zhang

[root@centos6 ~]#ab -c 100 -n 2000 http://172.20.109.255:80/ 并发访问

[root@CENTOS7 html]#netstat -nat | awk ‘/^tcp/{state[$NF]++}END{for(i in state){print i,state[i]}}’

LISTEN 9

ESTABLISHED 1

TIME_WAIT 2001

[root@CENTOS7 html]#cat /var/log/httpd/access_log | awk ‘{ip[$1]++}END{for(i in ip){print i,ip[i]}}’

172.20.102.175 4013

拒绝ip地址172.20.0.100的访问，将ip172.20.0.100加入到防火墙里

iptables -A INPUT -s 172.20.0.100 -j REJECT

将访问次数大于1000的放入防火墙中拒绝其访问

for i in `awk ‘{ip[$1]++}END{for(i in ip){if(ip[i])>1000)print i}}’ /var/log/httpd/access_log`; do iptables -A INPIT -s $i -j REJECT ; done

cat /var/log/httpd/access_log | awk ‘{ip[$1]++}END{for(i in ip){if(ip[i]>1000)print i}}’|while read line ;do iptables -A INPIT -s $line -j REJECT ;done

iptables -vnl 查看防火墙中被进制访问的ip

[root@CENTOS7 ~]#cat /var/log/httpd/access_log | awk ‘{ip[$1]++}END{for(i in ip){print i,ip[i]}}’ | sort -k2 （第二列）-nr |head 取前10个访问次数最多的ip地址

统计/etc/fstab文件中单词重复出现的个数。

[root@CENTOS7 ~]#cat /etc/fstab | awk ‘{for(i=1;i<=NF;i++){word[$i]++}}END{for(j in word){print j,word[j]}}’

Tue 1

Mar 1

man 1

and/or 1

UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a 1

[root@CENTOS7 ~]#cat f1

name score sex

wang 100 m

zhang 99 m

bai 90 f

li 100 f

求男生女生平均成绩

[root@CENTOS7 ~]#cat f1 | awk ‘{if($3==”m”){sm++;sms+=$2;}else{sf++;smf+=$2;}}END{printf “m:%.2f\nf:%.2f\n”,sms/sm,smf/sf,smf,sf}’

m:99.50

f:63.33

[root@CENTOS7 ~]#cat f1 | awk ‘{if($3==”m”){sm++;sms+=$2;}else if($3==”f”){sf++;smf+=$2;}}END{print sms/sm,smf/sf,smf,sf}’

99.5 95 190 2

[root@CENTOS7 ~]#cat f1 | awk ‘{mun[$NF]++;sum[$NF]+=$2}END{for(i in mun){print i,sum[i]/mun[i]}}’

m 99.5

f 95

awk数组

关联数组：array[index-expression]

index-expression:

(1) 可使用任意字符串；字符串要使用双引号括起来

(2) 如果某数组元素事先不存在，在引用时，awk会自动创建此元素，并将其值

初始化为“空串”

若要判断数组中是否存在某元素，要使用“index in array”格式进行遍历

示例：

weekdays[“mon”]=”Monday“

awk ‘BEGIN{weekdays[“mon”]=”Monday”;

weekdays[“tue”]=”Tuesday”;print weekdays[“mon”]}‘

awk ‘!arr[$0]++’ dupfile

awk ‘{!arr[$0]++;print $0, arr[$0]}’ dupfile

awk数组

若要遍历数组中的每个元素，要使用for循环

for(var in array) {for-body}

注意：var会遍历array的每个索引

示例：

awk ‘BEGIN{weekdays[“mon”]=”Monday”;weekdays[“tue”]

=”Tuesday”;for(i in weekdays) {print weekdays[i]}}‘

netstat -tan | awk ‘/^tcp/{state[$NF]++}END

{for(i in state) { print i,state[i]}}’

awk ‘{ip[$1]++}END{for(i in ip) {print i,ip[i]}}’ /var/log/httpd/access_log

awk函数

数值处理：

rand()：返回0和1之间一个随机数

awk ‘BEGIN{srand(); for (i=1;i<=10;i++)print int(rand()*100) }’

字符串处理：

length([s])：返回指定字符串的长度

sub(r,s,[t])：对t字符串进行搜索r表示的模式匹配的内容，并将第一个匹配的内容替换为s

echo “2008:08:08 08:08:08” | awk ‘sub(/:/,“-“,$1)’

gsub(r,s,[t])：对t字符串进行搜索r表示的模式匹配的内容，并全部替换为s所表示的内容

echo “2008:08:08 08:08:08” | awk ‘gsub(/:/,“-“,$0)’

split(s,array,[r])：以r为分隔符，切割字符串s，并将切割后的结果保存至array所表示的数组中，

第一个索引值为1,第二个索引值为2,…

netstat -tan | awk ‘/^tcp\>/{split($5,ip,”:”);count[ip[1]]++}

END{for (i in count) {print i,count[i]}}’

[root@CENTOS7 ~]#awk ‘BEGIN{srand();print rand()}’

0.943459

[root@CENTOS7 ~]#awk ‘BEGIN{srand();print rand()}’

0.367979

[root@CENTOS7 ~]#awk ‘BEGIN{srand();print rand()}’

0.867989

[root@CENTOS7 ~]#awk ‘BEGIN{srand();print int(rand()*100)}’

[root@CENTOS7 ~]#awk ‘BEGIN{srand();for(i=1;i<=5;i++){print int(rand()*100)}}’

[root@CENTOS7 ~]#awk ‘BEGIN{for(i=1;i<=5;i++){srand();print int(rand()*100)}}’ srand()必须放到BEGIN后面

[root@CENTOS7 ~]#echo “2008:08:08 08:08:08″ | awk ‘sub(/:/,”-“,$1)’

2008-08:08 08:08:08

[root@CENTOS7 ~]#echo “2008:08:08 08:08:08″ | awk ‘gsub(/:/,”-“,$1)’

2008-08-08 08:08:08

[root@CENTOS7 ~]#echo “2008:08:08 08:08:08″ | awk ‘gsub(/:/,”-“,$0)’

2008-08-08 08-08-08

[root@CENTOS7 ~]#cat /etc/passwd | head -n1 | awk ‘{split($0,arr,”:”)}END{for(i in arr){print i,arr[i]}}’

4 0

5 root

6 /root

7 /bin/bash

1 root

2 x

3 0

[root@CENTOS7 ~]#netstat -tan | awk ‘/^tcp\>/{split($5,ip,”:”);ccount[ip[1]]++}END{for(i in ccount){print i,ccount[i]}}’

192.168.30.1 1

0.0.0.0 4

awk函数

自定义函数

格式：

function name ( parameter, parameter, … ) {

statements

return expression

}

示例：

cat fun.awk

function max(v1,v2) {

v1>v2?var=v1:var=v2

return var

}

BEGIN{a=3;b=2;print max(a,b)}

awk –f fun.awk

[root@CENTOS7 ~]#vim fun.awk

function max(v1,v2){ v1和v2是实参

v1>v2?var=v1:var=v2

return var

}

BEGIN{print max(a,b)} a和b是实参，实参和形参可以不一样，但是数量必须一致

[root@CENTOS7 ~]#awk -v a=100 -v b=200 -f fun.awk

200

awk脚本

将awk程序写成脚本，直接调用或执行

示例：

cat f1.awk

{if($3>=1000)print $1,$3}

awk -F: -f f1.awk /etc/passwd

cat f2.awk

#!/bin/awk –f

#this is a awk script

{if($3>=1000)print $1,$3}

chmod +x f2.awk

f2.awk –F: /etc/passwd

awk中调用shell命令

system命令

空格是awk中的字符串连接符，如果system中需要使用awk中的变量可以使用

空格分隔，或者说除了awk的变量外其他一律用””引用起来。

awk BEGIN'{system(“hostname”) }’

awk ‘BEGIN{score=100; system(“echo your score is ” score) }’

[root@CENTOS7 ~]#awk ‘BEGIN{system(“hostname”)}’

CENTOS7.localdomain

[root@CENTOS7 ~]#awk -v i=100 ‘BEGIN{system(“echo your score is ” i)}’ 变量要写在””外面

your score is 100

[root@CENTOS7 ~]#awk -v i=100 ‘BEGIN{system (“echo your score is i”)}’

your score is i

向awk脚本传递参数

格式：

awkfile var=value var2=value2… Inputfile

注意：在BEGIN过程中不可用。直到首行输入完成以后，变量才可用。可以通

过-v 参数，让awk在执行BEGIN之前得到变量的值。命令行中每一个指定的变

量都需要一个-v参数

示例：

cat test.awk

#!/bin/awk –f

{if($3 >=min && $3<=max)print $1,$3}

chmod +x test.awk

test.awk -F: min=100 max=200 /etc/passwd

3、提取出字符串Yd$C@M05MB%9&Bdh7dq+YVixp3vpw中的所有数字

[root@CENTOS7 ~]#echo “Yd$C@M05MB%9&Bdh7dq+YVixp3vpw” | awk ‘gsub(/[

][0-9]/,””,$0)’

05973

墨菲定律

墨菲定律：一种心理学效应，是由爱德华·墨菲（Edward A. Murphy）提出的，

原话：如果有两种或两种以上的方式去做某件事情，而其中一种选择方式将导

致灾难，则必定有人会做出这种选择

主要内容：

任何事都没有表面看起来那么简单

所有的事都会比你预计的时间长

会出错的事总会出错

如果你担心某种情况发生，那么它就更有可能发生

安全机制

信息安全防护的目标

保密性 Confidentiality

完整性 Integrity

可用性 Usability

可控制性Controlability

不可否认性 Non-repudiation

安全防护环节

物理安全：各种设备/主机、机房环境

系统安全：主机或设备的操作系统

应用安全：各种网络服务、应用程序

网络安全：对网络访问的控制、防火墙规则

数据安全：信息的备份与恢复、加密解密

管理安全：各种保障性的规范、流程、方法

安全

安全攻击： STRIDE

Spoofing 假冒

Tampering 篡改

Repudiation 否认

Information Disclosure 信息泄漏

Denial of Service 拒绝服务

Elevation of Privilege 提升权限

假冒别人发邮件

[root@CENTOS7 ~]#telnet 127.0.0.1 25

Trying 127.0.0.1…

Connected to 127.0.0.1.

Escape character is ‘^]’.

220 CENTOS7.localdomain ESMTP Postfix

helo a.c：om

250 CENTOS7.localdomain

mail from:magedu@magedu.com

250 2.1.0 Ok

rcpt to:wang

250 2.1.5 Ok

data

354 End data with <CR><LF>.<CR><LF>

subject: i am wang

how are you

how old are you

250 2.0.0 Ok: queued as 061FB22476C3

quit

221 2.0.0 Bye

Connection closed by foreign host.

[wang@CENTOS7 ~]$mail

Heirloom Mail version 12.5 7/5/10. Type ? for help.

“/var/spool/mail/wang”: 4 messages 2 new

1 root Mon Apr 2 20:45 19/647 “hello”

2 root Mon Apr 2 20:48 21/638 “hello”

>N 3 (Cron Daemon) Sat May 5 19:10 25/868 “Cron <wang@CENTOS7> echo lu shen is a shabi”

N 4 magedu@magedu.com Thu May 17 15:03 15/476 “i am wang”

& 4

Message 4:

From magedu@magedu.com Thu May 17 15:03:47 2018

Return-Path: <magedu@magedu.com>

X-Original-To: wang

Delivered-To: wang@CENTOS7.localdomain

subject: i am wang

Date: Thu, 17 May 2018 15:00:22 +0800 (CST)

From: magedu@magedu.com

Status: R

how are you

how old are you

查看某个域的邮箱地址

dig -t mx magedu.com

Information Disclosure 信息泄漏抓取账号和密码

ftp服务：在centos7上yum install vsftpd 装ftp服务

systemctl start vsftpd

ss -ntl 查看端口是否打开

在centos6上yum install ftp

ftp 192.168.30.7

输入账号密码使用抓包软件就可以将密码获得！

telnet服务：centos7上systemctl start telnet.socket

ss -ntl 查询telnet端口是否打开，端口号是23

在centos6上telnet 192.168.30.7

输入账号密码

安全设计基本原则

使用成熟的安全系统

以小人之心度输入数据

外部系统是不安全的：用防火墙控制外部访问安全，用防水墙控制内部访问安全

最小授权

减少外部接口

缺省使用安全模式

安全不是似是而非

从STRIDE思考

在入口处检查

从管理上保护好你的系统

安全算法

常用安全技术

认证

授权

审计

安全通信

密码算法和协议：

对称加密

公钥加密

单向加密

认证协议

Linux系统：OpenSSL, gpg(pgp协议的实现)

加密需要

不加密流量的易受攻击性

密码/数据嗅探

数据操作

验证操作

相当于邮寄明信片

不安全的传统协议

telnet、FTP、POP3等等；不安全密码

http、smtp、NFS等等；不安全信息

Ldap、NIS、rsh等等；不安全验证

对称加密算法

对称加密：加密和解密使用同一个密钥

DES：Data Encryption Standard，56bits

3DES：

AES：Advanced (128, 192, 256bits)

Blowfish，Twofish

IDEA，RC6，CAST5

特性：

1、加密、解密使用同一个密钥，效率高

2、将原始数据分割成固定大小的块，逐个进行加密

缺陷：

1、密钥过多

2、密钥分发

3、数据来源无法确认

对称加密

A→B

data明文–加密data—传输—解密—data明文

算法：

算法公开

密钥key 不公开

对称加密算法：

key1=key2

优势：速度快

https://

http://

非对称加密算法

公钥加密：密钥是成对出现

公钥：公开给所有人；public key

私钥：自己留存，必须保证其私密性；secret key

特点：用公钥加密数据，只能使用与之配对的私钥解密；反之亦然

功能：

数字签名：主要在于让接收方确认发送方身份

对称密钥交换：发送方用对方的公钥加密一个对称密钥后发送给对方

数据加密：适合加密较小数据

缺点：密钥长，加密解密效率低下

算法：

RSA（加密，数字签名）,DSA（数字签名）,ELGamal

非对称加密算法：

key1 ！= key2

DES 1G 2G 4m 8m

RSA 1G 1G 1m 64hour

Alice—>Bob

Alice:Pa公,Sa私

Bob:Pb,Sb

公钥无法推出私钥，私钥可以推出公钥

data—加密Pb(data)—解密Sb{Pb(data)}–data

data—加密Sa(data)—解密Pa{Sa(data)}–data

[root@CENTOS7 ssh]#ls

moduli sshd_config ssh_host_ecdsa_key.pub ssh_host_ed25519_key.pub ssh_host_rsa_key.pub

ssh_config ssh_host_ecdsa_key ssh_host_ed25519_key ssh_host_rsa_key

[root@CENTOS7 ssh]#cat ssh_host_rsa_key.pub 公钥

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC1GM4zoQ0fjPJtfosp0RRuRsZKF2qNDU4KqbrauK5Mc84FfOb/wicmr0tv3uEJOZNKauYzUTHWvzNFO27wFIJjzNxHKzWJjBaWjNax1mgH43XzMOjMMDW60Y9PYz7ZkaEd2inhtY74XdQp279utQf7h3zNm9/uNShd5J7JnGk1YW9/w1qICSCf779xHba2RUJAryvRKMppJh6f/gOgUAlHKiyjT1HjfQ0EmUOHyLmhGlIKe1wP3vFLqXkLSMwXu8InW3I6XI5tstucoczy/VwGtJNewOFPBs6EbwxesDzEr7r+7OzpMthIOnfdYaX9HRNF1B2BEqi6vtIaS9uSMVu1

[root@CENTOS7 ssh]#cat ssh_host_rsa_key 私钥

—–BEGIN RSA PRIVATE KEY—–

MIIEowIBAAKCAQEAtRjOM6ENH4zybX6LKdEUbkbGShdqjQ1OCqm62riuTHPOBXzm

/8InJq9Lb97hCTmTSmrmM1Ex1r8zRTtu8BSCY8zcRys1iYwWlozWsdZoB+N18zDo

zDA1utGPT2M+2ZGhHdop4bWO+F3UKdu/brUH+4d8zZvf7jUoXeSeyZxpNWFvf8Na

iAkgn++/cR22tkVCQK8r0SjKaSYen/4DoFAJRyoso09R430NBJlDh8i5oRpSCntc

D97xS6l5C0jMF7vCJ1tyOlyObbLbnKHM8v1cBrSTXsDhTwbOhG8MXrA8xK+6/uzs

6TLYSDp33WGl/R0TRdQdgRKour7SGkvbkjFbtQIDAQABAoIBAAWYe56axlYIO+Fo

PJKRNEloBG57pL4xAA1SS0TA2hngpigDQPv8GsuWNQWC5H8teUCeZviE9L5G8CWe

fYILkC/XP6MvUZsrafNC7MtX7aT4wUc/ZqIQh0h7eysfzOxaFJlgiVTBEGbaN1kH

wjWAgHukJxYPT+8DU3j7PHDMVW/hwoIEMASsSaPkjsgyz0z6U18tLDKwxWlqHXjF

eBu7kdZL6CvITQONv/eArQAlve0mTni9SjeZvI5Nib97LKDEjl6xiTMCfeyMap2X

ugrz026WTpjmQwA9PNNG86OUsGUUkhHdJvTzcYH6yB1s9bLfdOZ3+EjlOub9sEBU

cdkjDM0CgYEA52VD17NhNap0YDOvRud+VUhGiVDWWiH78cUwsCqtuDUJkJbbniMp

+ha/nGz7E790VP/8/Nv10VI80WDiFlLtadx+ud3s+DVT0RURh+0DwlyBxn+CuMZC

7owyiGuq6Po+nZmdQUcctkUtuS4VdrbvcWUZWa0rAzlPXN/9HdzdbV8CgYEAyFpg

6cEFroHoxCdcCvOcyJ/YmGeskBy/XWoLCLhMR3rV1h1VImMOfRb7V9yjKV8nXR07

4W3RFdsSYoL303wXZeoJXCHQ8DnYYiMkmyffQZ/dcZIlA24Pdzqii/kMKDSDLILd

iTvjgcjcMA6b0DpGcHUJTYQRpLgZtva2IUDoe2sCgYEAz3B44WZuPy4QJi4vc+ET

4GBq268cerD8rEGa5FNeaUUizfxv5dSgTRMXs6P/cjSwlYLnycdnF8AhxZKVHG47

aCvDb90EE3+7JDU/Ahv4wsUrkke9aOhUGIaWxrW/Ah1VBPQxhdO6aaya0Of/Ve2p

un5nu30CkmFORHSI9byKxQECgYB8wpratNG+6zJxAzlzsGOPIsqTjOuOCfi4SNJ6

KZmGYV1LKZTcBub8yhTVj5UirBgtCYlCRUoP3A1Evt1oGjvPwL73Wi9rh/nQkqW2

4EtL6CrTD/hwfFaxHhgeJYWGe7y7OPqO/HYdWWCTpGUuczttx9N1K6p48hNBNbwQ

VQTv5QKBgDnQOuGccCVBIC5v/p4UAtINqYhs7lmogox+41fpoOkG1w6zrCLBsBUE

uhEeqPlpCDhrjNzYV14VF81m3xU8Ej3PHNanNEtEP5lAuTJA3CPAGO3z5GN5wy+j

VNAX52YqGID7pd9j7+j7X9F6nZgNC5Y76zBpEI0iTPf6cxL9uuX8

—–END RSA PRIVATE KEY—–

非对称加密

基于一对公钥/密钥对

用密钥对中的一个加密，另一个解密

实现加密：

接收者

生成公钥/密钥对：P和S

公开公钥P，保密密钥S

发送者

使用接收者的公钥来加密消息M

将P(M)发送给接收者

接收者

使用密钥S来解密：M=S(P(M))

单向散列这就是hash算法

将任意数据缩小成固定大小的“指纹”

任意长度输入

固定长度输出

若修改数据，指纹也会改变（“不会产生冲突”）

无法从指纹中重新生成数据（“单向”）

功能：数据完整性

常见算式

md5: 128bits、sha1: 160bits、sha224

sha256、sha384、sha512

?常用工具

md5sum | sha1sum [ –check ] file

openssl、gpg

rpm -V

hash(data)= digest摘要

data不同，digest必不同

digest 不可反推算出data

digest长度固定大小

md5:128

sha1:160

[root@CENTOS7 ~]#md5sum /etc/fstab 数据不变hash值不变

670fa208852c2f5ca53bb48b3848ce60 /etc/fstab

[root@CENTOS7 ~]#md5sum /etc/fstab

670fa208852c2f5ca53bb48b3848ce60 /etc/fstab

[root@CENTOS7 ~]#vim /etc/fstab 文件发生改变

[root@CENTOS7 ~]#md5sum /etc/fstab hash值发生改变

a77ee5fb28bf319f66500421e2cc2289 /etc/fstab

[root@CENTOS7 ~]#md5sum /etc/fstab

670fa208852c2f5ca53bb48b3848ce60 /etc/fstab

[root@CENTOS7 ~]#md5sum /etc/fstab /etc/passwd > md5.log 将多个文件的hash值从定向到一个文件中，用md5sum –check md5.log来与源文件对比哈市值

[root@CENTOS7 ~]#md5sum –check md5.log

/etc/fstab: OK

/etc/passwd: OK

hash值只看文件内容，不看文件名。

数字签名：

Pb{data+Sa{hash(data)}}先hash数据，对hash值用sa加密，将数据和sa加密过的hash值放到一块用Pb加密，

data+Sa{hash(data)} B 用私钥解开这一步消耗时间太多，效率太次

hash(data)=data1 用A的公钥解开得到hash值与得到的文件的hash值对比。

hash(data)=data2

key[data+Sa{hash(data)}]+Pb(key) 综合使用。https就是用的这种方法

密钥交换

1. 用b的公钥加密传给b

2. 密钥交换：IKE（ Internet Key Exchange ）

公钥加密：

DH (Deffie-Hellman)：生成会话密钥,参看如下：

https://en.wikipedia.org/wiki/Diffie%E2%80%93Hellman_key_exchange

DH：

1、A: a,p 协商生成公开的整数a, 大素数p只能被1和自己整除的数

B: a,p

2、A:生成隐私数据 :x (x<p )，计算得出 a^x%p，发送给B

B:生成隐私数据 :y,计算得出 a^y%p，发送给A

3、A:计算得出 [(a^y%p)^x] %p = a^xy%p，生成为密钥

B:计算得出 [(a^x%p)^y] %p = a^xy%p，生成为密钥

a=5

p=23

x=6

5^6%23=8

19^6%23=2

a=5

p=23

y=15

5^15%23=19

8^15%23=2

应用程序：RPM

文件完整性的两种实施方式

被安装的文件

MD5单向散列

rpm –verify package_name (or -V) 校验包里的每个文件的变化，就是用的hash算法

发行的软件包文件

GPG公钥签名

rpm –import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat*

rpm –checksig pakage_file_name (or -K)

使用gpg实现对称加密

对称加密file文件

gpg -c file

ls file.gpg

在另一台主机上解密file

gpg -o file -d file.gpg

[root@CENTOS7 ~]#cd /data/d1

[root@CENTOS7 d1]#cp /etc/fstab .

[root@CENTOS7 d1]#ls

d2 fstab

[root@CENTOS7 d1]#gpg -c fstab

┌─────────────────────────────────────────────────────┐

│ Enter passphrase │

│ │

│ Passphrase ******__________________________________ │

│ │

│ <OK> <Cancel> │

└─────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────┐

│ Please re-enter this passphrase │

│ │

│ Passphrase ******__________________________________ │

│ │

│ <OK> <Cancel> │

└─────────────────────────────────────────────────────┘

[root@CENTOS7 d1]#cd

[root@CENTOS7 ~]#cd /data/d1

[root@CENTOS7 d1]#ls

d2 fstab fstab.gpg

[root@CENTOS7 d1]#cat fstab.gpg

}+???$?Y?^]?Z?#???!°kR[k?垰-Fo???u??3薌￥R2?嘬?q{?￡A4+¨C冴o|?K?犖 5?tl￡￠+?@±?L$?RR?K?P°???g&? U}Y?ME?A?h′?ma Z–um?7v3k/

tc??2??^?g皔免A-·LK ??l”o\б6br?￥n-??????#(??R

??m(??p?0·

[root@CENTOS7 d1]#scp /data/d1/fstab.gpg 192.168.30.102:/data/mm

root@192.168.30.102’s password:

fstab.gpg 100% 374 687.2KB/s 00:00

[root@centos6 mm]#gpg -d fstab.gpg 只是显示，但是不会生成文件

gpg: CAST5 encrypted data

can’t connect to `/root/.gnupg/S.gpg-agent’: No such file or directory

gpg: encrypted with 1 passphrase

# /etc/fstab

# Created by anaconda on Tue Mar 27 17:53:47 2018

# Accessible filesystems, by reference, are maintained under ‘/dev/disk’

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a / xfs defaults 0 0

UUID=4d8d9214-eeed-4758-8c34-f05492b9ea73 /boot xfs defaults 0 0

UUID=fb669d84-551f-4a70-a11e-f61deec0fd86 /data xfs defaults 0 0

UUID=906330a5-2af1-4bf4-8b2d-9337eaf92250 swap swap defaults 0 0

gpg: WARNING: message was not integrity protected

[root@centos6 mm]#gpg -o f1 -d fstab.gpg 创建解密后的文件 -o f1

gpg: CAST5 encrypted data

can’t connect to `/root/.gnupg/S.gpg-agent’: No such file or directory

gpg: encrypted with 1 passphrase

gpg: WARNING: message was not integrity protected

[root@centos6 mm]#ls

f1 fstab.gpg

[root@centos6 mm]#cat f1

# /etc/fstab

# Created by anaconda on Tue Mar 27 17:53:47 2018

# Accessible filesystems, by reference, are maintained under ‘/dev/disk’

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a / xfs defaults 0 0

UUID=4d8d9214-eeed-4758-8c34-f05492b9ea73 /boot xfs defaults 0 0

UUID=fb669d84-551f-4a70-a11e-f61deec0fd86 /data xfs defaults 0 0

UUID=906330a5-2af1-4bf4-8b2d-9337eaf92250 swap swap defaults 0 0

使用gpg工具实现公钥加密

在hostB主机上用公钥加密，在hostA主机上解密–

在hostA主机上生成公钥/私钥对

gpg –gen-key

在hostA主机上查看公钥

gpg –list-keys

在hostA主机上导出公钥到wang.pubkey

gpg -a –export -o wang.pubkey

从hostA主机上复制公钥文件到需加密的B主机上

scp wang.pubkey hostB:

使用gpg工具实现公钥加密

在需加密数据的hostB主机上生成公钥/私钥对

gpg –list-keys

gpg –gen-key

在hostB主机上导入公钥

gpg –import wang.pubkey

gpg –list-keys

用从hostA主机导入的公钥，加密hostB主机的文件file,生成file.gpg

gpg -e -r wangxiaochun file

file file.gpg

使用gpg工具实现公钥加密

复制加密文件到hostA主机

scp fstab.gpg hostA:

在hostA主机解密文件

gpg -d file.gpg

gpg -o file -d file.gpg

删除公钥和私钥

gpg –delete-keys wangxiaochun

gpg –delete-secret-keys wangxiaochun

[root@CENTOS7 ~]#gpg –gen-key

This is free software: you are free to change and redistribute it.

There is NO WARRANTY, to the extent permitted by law.

Please select what kind of key you want:

(1) RSA and RSA (default)

(2) DSA and Elgamal

(3) DSA (sign only)

(4) RSA (sign only)

Your selection?

RSA keys may be between 1024 and 4096 bits long.

What keysize do you want? (2048)

Requested keysize is 2048 bits

Please specify how long the key should be valid.

0 = key does not expire

<n> = key expires in n days

<n>w = key expires in n weeks

<n>m = key expires in n months

<n>y = key expires in n years

Key is valid for? (0)

Key does not expire at all

Is this correct? (y/N) y

GnuPG needs to construct a user ID to identify your key.

Real name: wang

Name must be at least 5 characters long

Real name: wangge

Email address:

Comment:

You selected this USER-ID:

“wangge”

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit?

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o

You need a Passphrase to protect your secret key.

You don’t want a passphrase – this is probably a *bad* idea!

I will do it anyway. You can change your passphrase at any time,

using this program with the option “–edit-key”.

We need to generate a lot of random bytes. It is a good idea to perform

some other action (type on the keyboard, move the mouse, utilize the

disks) during the prime generation; this gives the random number

generator a better chance to gain enough entropy.

We need to generate a lot of random bytes. It is a good idea to perform

some other action (type on the keyboard, move the mouse, utilize the

disks) during the prime generation; this gives the random number

generator a better chance to gain enough entropy.

gpg: /root/.gnupg/trustdb.gpg: trustdb created

gpg: key 96AA6208 marked as ultimately trusted

public and secret key created and signed.

gpg: checking the trustdb

gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model

gpg: depth: 0 valid: 1 signed: 0 trust: 0-, 0q, 0n, 0m, 0f, 1u

pub 2048R/96AA6208 2018-05-17

Key fingerprint = 8FE6 085E 5FB5 2C80 6068 3E71 FD59 19AE 96AA 6208

uid wangge

sub 2048R/67F30259 2018-05-17

[root@CENTOS7 ~]#gpg –list-key

/root/.gnupg/pubring.gpg

————————

pub 2048R/96AA6208 2018-05-17

uid wangge

sub 2048R/67F30259 2018-05-17

[root@CENTOS7 ~]#cd .gnupg

[root@CENTOS7 .gnupg]#ls

gpg.conf pubring.gpg random_seed S.gpg-agent

private-keys-v1.d pubring.gpg~ secring.gpg trustdb.gpg

[root@CENTOS7 .gnupg]#ll

total 28

-rw——- 1 root root 7680 May 17 19:34 gpg.conf

drwx—— 2 root root 6 May 17 19:34 private-keys-v1.d

-rw——- 1 root root 1166 May 17 20:01 pubring.gpg

-rw——- 1 root root 1166 May 17 20:01 pubring.gpg~

-rw——- 1 root root 600 May 17 20:01 random_seed

-rw——- 1 root root 2468 May 17 20:01 secring.gpg

srwxr-xr-x 1 root root 0 May 17 19:35 S.gpg-agent

-rw——- 1 root root 1280 May 17 20:01 trustdb.gpg

[root@centos6 .gnupg]#gpg -a –export -o wang.pubkey

scp centos6.pubkey 192.168.30.101：/data/d1

[root@CENTOS7 d1]#ls

centos6.pubkey d2 fstab fstab.gpg

[root@CENTOS7 .gnupg]#gpg –import /data/d1/centos6.pubkey

gpg: key B5E37F74: public key “magedu” imported

gpg: Total number processed: 1

gpg: imported: 1 (RSA: 1)

[root@CENTOS7 .gnupg]#gpg –list-key

/root/.gnupg/pubring.gpg

————————

pub 2048R/96AA6208 2018-05-17

uid wangge

sub 2048R/67F30259 2018-05-17

pub 2048R/B5E37F74 2018-05-17

uid magedu

sub 2048R/5F59D856 2018-05-17

[root@CENTOS7 d1]#gpg -e -r magedu fstab

[root@CENTOS7 d1]#scp fstab.gpg 192.168.30.102:/data/mm

[root@centos6 ~]#gpg -o f2 -d /data/mm/fstab.gpg

gpg: encrypted with 2048-bit RSA key, ID 5F59D856, created 2018-05-17

“magedu”

[root@centos6 ~]#cat f2

# /etc/fstab

# Created by anaconda on Tue Mar 27 17:53:47 2018

# Accessible filesystems, by reference, are maintained under ‘/dev/disk’

# See man pages fstab(5), findfs(8), mount(8) and/or blkid(8) for more info

UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a / xfs defaults 0 0

UUID=4d8d9214-eeed-4758-8c34-f05492b9ea73 /boot xfs defaults 0 0

UUID=fb669d84-551f-4a70-a11e-f61deec0fd86 /data xfs defaults 0 0

UUID=906330a5-2af1-4bf4-8b2d-9337eaf92250 swap swap defaults 0 0

删除钥匙

[root@CENTOS7 d1]#gpg –list-key

/root/.gnupg/pubring.gpg

————————

pub 2048R/96AA6208 2018-05-17

uid wangge

sub 2048R/67F30259 2018-05-17

pub 2048R/B5E37F74 2018-05-17

uid magedu

sub 2048R/5F59D856 2018-05-17

[root@CENTOS7 d1]#gpg –delete-keys magedu

This is free software: you are free to change and redistribute it.

There is NO WARRANTY, to the extent permitted by law.

pub 2048R/B5E37F74 2018-05-17 magedu

Delete this key from the keyring? (y/N) y

[root@CENTOS7 d1]#gpg –list-key

/root/.gnupg/pubring.gpg

————————

pub 2048R/96AA6208 2018-05-17

uid wangge

sub 2048R/67F30259 2018-05-17

[root@CENTOS7 d1]#gpg –list-secret-key wangge

sec 2048R/96AA6208 2018-05-17

uid wangge

ssb 2048R/67F30259 2018-05-17

[root@CENTOS7 d1]#gpg –delete-secret-key wangge

This is free software: you are free to change and redistribute it.

There is NO WARRANTY, to the extent permitted by law.

sec 2048R/96AA6208 2018-05-17 wangge

Delete this key from the keyring? (y/N) y

This is a secret key! – really delete? (y/N) y

[root@CENTOS7 d1]#gpg –delete-key wangge

This is free software: you are free to change and redistribute it.

There is NO WARRANTY, to the extent permitted by law.

pub 2048R/96AA6208 2018-05-17 wangge

Delete this key from the keyring? (y/N) y

[root@CENTOS7 d1]#ll /root/.gnupg

total 20

-rw——- 1 root root 7680 May 17 19:34 gpg.conf

drwx—— 2 root root 6 May 17 19:34 private-keys-v1.d

-rw——- 1 root root 0 May 17 21:12 pubring.gpg

-rw——- 1 root root 1166 May 17 21:11 pubring.gpg~

-rw——- 1 root root 600 May 17 21:07 random_seed

-rw——- 1 root root 0 May 17 21:12 secring.gpg

srwxr-xr-x 1 root root 0 May 17 19:35 S.gpg-agent

-rw——- 1 root root 1280 May 17 21:12 trustdb.gpg

systemd

POST –> Boot Sequence –> Bootloader –> kernel + initramfs(initrd) —

> rootfs –> /sbin/init

init: CentOS 5: SysV init

CentOS 6: Upstart

CentOS 7: Systemd

Systemd：系统启动和服务器守护进程管理器，负责在系统启动或运行时，激

活系统资源，服务器进程和其它进程

Systemd新特性：

系统引导时实现服务并行启动

按需启动守护进程

自动化的服务依赖关系管理

同时采用socket式与D-Bus总线式激活服务

系统状态快照

systemd

核心概念：unit

unit表示不同类型的systemd对象，通过配置文件进行标识和配置；文件中

主要包含了系统服务、监听socket、保存的系统快照以及其它与init相关的信息

配置文件：

/usr/lib/systemd/system:每个服务最主要的启动脚本设置，类似于之前的

/etc/init.d/

/run/systemd/system：系统执行过程中所产生的服务脚本，比上面目录

优先运行

/etc/systemd/system：管理员建立的执行脚本，类似于

/etc/rc.d/rcN.d/Sxx类的功能，比上面目录优先运行

[root@CENTOS7 ~]#cd /usr/lib/systemd/system

[root@CENTOS7 system]#ls

abrt-ccpp.service iscsid.service runlevel1.target

abrtd.service iscsid.socket runlevel1.target.wants

abrt-oops.service iscsi.service runlevel2.target

abrt-pstoreoops.service iscsi-shutdown.service runlevel2.target.wants

abrt-vmcore.service iscsiuio.service runlevel3.target

abrt-xorg.service iscsiuio.socket runlevel3.target.wants

service相当于centos 中的/etc/init.d中的程序

ll /etc/systemd/system

total 4

drwxr-xr-x. 2 root root 31 Mar 27 18:00 basic.target.wants

drwxr-xr-x. 2 root root 31 Mar 27 17:57 bluetooth.target.wants

lrwxrwxrwx. 1 root root 41 Mar 27 17:57 dbus-org.bluez.service -> /usr/lib/systemd/system/bluetooth.service

lrwxrwxrwx. 1 root root 44 Mar 27 18:00 dbus-org.freedesktop.Avahi.service -> /usr/lib/systemd/system/avahi-daemon.service

lrwxrwxrwx. 1 root root 44 Mar 27 18:00 dbus-org.freedesktop.ModemManager1.service -> /usr/lib/systemd/system/ModemManager.service

lrwxrwxrwx. 1 root root 46 Mar 27 17:57 dbus-org.freedesktop.NetworkManager.service -> /usr/lib/systemd/system/NetworkManager.service

lrwxrwxrwx. 1 root root 57 Mar 27 17:57 dbus-org.freedesktop.nm-dispatcher.service -> /usr/lib/systemd/system/NetworkManager-dispatcher.service

lrwxrwxrwx. 1 root root 36 Mar 27 18:05 default.target -> /lib/systemd/system/graphical.target

drwxr-xr-x. 2 root root 87 Mar 27 17:56 default.target.wants

drwxr-xr-x. 2 root root 38 Mar 27 18:00 dev-virtio\x2dports-org.qemu.guest_agent.0.device.wants

lrwxrwxrwx. 1 root root 35 Mar 27 17:59 display-manager.service -> /usr/lib/systemd/system/gdm.service

drwxr-xr-x. 2 root root 32 Mar 27 17:56 getty.target.wants

drwxr-xr-x. 2 root root 65 Mar 27 18:08 graphical.target.wants

drwxr-xr-x. 2 root root 4096 May 5 15:56 multi-user.target.wants

drwxr-xr-x. 2 root root 26 Mar 27 17:58 printer.target.wants

drwxr-xr-x. 2 root root 31 Mar 27 17:57 remote-fs.target.wants

drwxr-xr-x. 2 root root 141 Apr 30 17:35 sockets.target.wants

drwxr-xr-x. 2 root root 36 Mar 27 18:00 spice-vdagentd.target.wants

drwxr-xr-x. 2 root root 169 Mar 27 17:57 sysinit.target.wants

drwxr-xr-x. 2 root root 44 Mar 27 17:56 system-update.target.wants

drwxr-xr-x. 2 root root 29 Mar 27 17:57 vmtoolsd.service.requires

target 拥有runlevel的功能

Unit类型

Systemctl –t help 查看unit类型

Service unit: 文件扩展名为.service, 用于定义系统服务

Target unit: 文件扩展名为.target，用于模拟实现运行级别

Device unit: .device, 用于定义内核识别的设备

Mount unit: .mount, 定义文件系统挂载点

Socket unit: .socket, 用于标识进程间通信用的socket文件，也可在系统启动时，

延迟启动服务，实现按需启动

Snapshot unit: .snapshot, 管理系统快照

Swap unit: .swap, 用于标识swap设备

Automount unit: .automount，文件系统的自动挂载点，神奇的目录

Path unit: .path，用于定义文件系统中的一个文件或目录使用,常用于当文件系统变化时，

延迟激活服务，如：spool 目录

比如/var/spool/at，at一个计划任务，根据时间点进行执行。

[root@CENTOS7 system]#systemctl -t help 查看系统支持的unit类型

Available unit types:

service

socket

busname

target 大概相当于centos6上的init7中模式

snapshot

device

mount

automount

swap

timer

path

slice

scope

特性

关键特性：

基于socket的激活机制：socket与服务程序分离

基于d-bus的激活机制：

基于device的激活机制：

基于path的激活机制：

系统快照：保存各unit的当前状态信息于持久存储设备中

向后兼容sysv init脚本

不兼容：

systemctl命令固定不变，不可扩展如果这些软件是基于systemd开发的就能管理反之不能管理。就是说一个服务必须由systemctl开启才能用systemctl关闭，用别的开启不能用systemctl关闭

非由systemd启动的服务，systemctl无法与之通信和控制

管理服务

管理系统服务：

CentOS 7: service unit

注意：能兼容早期的服务脚本

命令：systemctl COMMAND name.service

启动：service name start ==> systemctl start name.service

停止：service name stop ==> systemctl stop name.service

重启：service name restart ==> systemctl restart name.service

状态：service name status ==> systemctl status name.service

这样写的好处是一次性可以跟多个服务，多个服务之间用空格隔开

[root@CENTOS7 system]#systemctl status atd

● atd.service – Job spooling tools

Loaded: loaded (/usr/lib/systemd/system/atd.service; enabled; vendor preset: enabled)

Active: active (running) since Mon 2018-05-14 19:10:17 CST; 31min ago

Main PID: 1043 (atd)

CGroup: /system.slice/atd.service

└─1043 /usr/sbin/atd -f

May 14 19:10:17 CENTOS7.localdomain systemd[1]: Started Job spooling tools.

May 14 19:10:17 CENTOS7.localdomain systemd[1]: Starting Job spooling tools…

[root@CENTOS7 system]#service atd status

Redirecting to /bin/systemctl status atd.service

● atd.service – Job spooling tools

Loaded: loaded (/usr/lib/systemd/system/atd.service; enabled; vendor preset: enabled)

Active: active (running) since Mon 2018-05-14 19:10:17 CST; 32min ago

Main PID: 1043 (atd)

CGroup: /system.slice/atd.service

└─1043 /usr/sbin/atd -f

May 14 19:10:17 CENTOS7.localdomain systemd[1]: Started Job spooling tools.

May 14 19:10:17 CENTOS7.localdomain systemd[1]: Starting Job spooling tools…

管理服务

条件式重启：已启动才重启，否则不做操作

service name condrestart ==> systemctl try-restart name.service

重载或重启服务：先加载，再启动

systemctl reload-or-restart name.service

重载或条件式重启服务：

systemctl reload-or-try-restart name.service

禁止自动和手动启动：

systemctl mask name.service

取消禁止：

systemctl unmask name.service

[root@CENTOS7 ~]#systemctl stop atd

[root@CENTOS7 ~]#systemctl mask atd

Created symlink from /etc/systemd/system/atd.service to /dev/null.

[root@CENTOS7 ~]#ll /etc/systemd/system 这个文件的优先级高，mask以后无法手动启动

total 4

lrwxrwxrwx 1 root root 9 May 14 19:48 atd.service -> /dev/null

[root@CENTOS7 ~]#systemctl start atd

Failed to start atd.service: Unit is masked.

[root@CENTOS7 ~]#systemctl unmask atd 取消mask

Removed symlink /etc/systemd/system/atd.service.

[root@CENTOS7 ~]#systemctl start atd

[root@CENTOS7 ~]#systemctl status atd

● atd.service – Job spooling tools

Loaded: loaded (/usr/lib/systemd/system/atd.service; enabled; vendor preset: enabled)

Active: active (running) since Mon 2018-05-14 19:51:22 CST; 13s ago

服务查看

查看某服务当前激活与否的状态：

systemctl is-active name.service

查看所有已经激活的服务：

systemctl list-units –type|-t service

查看所有服务：

systemctl list-units –type service –all|-a

chkconfig命令的对应关系：

设定某服务开机自启：

chkconfig name on ==> systemctl enable name.service

设定某服务开机禁止启动：

chkconfig name off ==> systemctl disable name.service

[root@CENTOS7 ~]#systemctl is-active atd 查看atd服务起没启动

active

[root@CENTOS7 ~]#systemctl is-active httpd

unknown

[root@CENTOS7 ~]#echo $?

[root@CENTOS7 ~]#systemctl list-units -t service 列出已经加载的service程序

UNIT LOAD ACTIVE SUB DESCRIPTION

abrt-ccpp.service loaded active exited Install ABRT coredump hook

abrt-oops.service loaded active running ABRT kernel log watcher

abrt-xorg.service loaded active running ABRT Xorg log watcher

abrtd.service loaded active running ABRT Automated Bug Reporting Tool

accounts-daemon.service loaded active running Accounts Service

68 loaded units listed. Pass –all to see loaded but inactive units, too.

To show all installed unit files use ‘systemctl list-unit-files’.

[root@CENTOS7 ~]#systemctl list-units -t service -all 列出所有的service程序

144 loaded units listed.

To show all installed unit files use ‘systemctl list-unit-files’.

[root@CENTOS7 ~]#systemctl list-units 列出所有加载的units

[root@CENTOS7 ~]#systemctl list-units -all 列出所有的加载和没加载的units

[root@CENTOS7 ~]#systemctl disable atd 开机不启动atd

Removed symlink /etc/systemd/system/multi-user.target.wants/atd.service.

[root@CENTOS7 ~]#systemctl enable atd 开机启动atd

Created symlink from /etc/systemd/system/multi-user.target.wants/atd.service to /usr/lib/systemd/system/atd.service.

[root@CENTOS7 ~]#ll /etc/systemd/system/multi-user.target.wants/atd.service 开机启动就是创建了这个软连接，不启动就是删除了这个软连接

lrwxrwxrwx 1 root root 35 May 14 20:04 /etc/systemd/system/multi-user.target.wants/atd.service -> /usr/lib/systemd/system/atd.service

multi-user.target 相当于centos6中的运行在上面模式就是rc3.d

[root@CENTOS7 ~]#ls /etc/systemd/system/multi-user.target.wants -l 这里的文件就相当于rc3.d中S开头的文件

total 0

lrwxrwxrwx. 1 root root 41 Mar 27 17:57 abrt-ccpp.service -> /usr/lib/systemd/system/abrt-ccpp.service

lrwxrwxrwx. 1 root root 37 Mar 27 17:56 abrtd.service -> /usr/lib/systemd/system/abrtd.service

lrwxrwxrwx. 1 root root 41 Mar 27 17:56 abrt-oops.service -> /usr/lib/systemd/system/abrt-oops.service

lrwxrwxrwx. 1 root root 43 Mar 27 17:57 abrt-vmcore.service -> /usr/lib/systemd/system/abrt-vmcore.service

lrwxrwxrwx. 1 root root 41 Mar 27 17:56 abrt-xorg.service -> /usr/lib/systemd/system/abrt-xorg.service

lrwxrwxrwx 1 root root 35 May 14 20:04 atd.service -> /usr/lib/systemd/system/atd.service

lrwxrwxrwx. 1 root root 38 Mar 27 17:57 auditd.service -> /usr/lib/systemd/system/auditd.service

lrwxrwxrwx. 1 root root 38 Apr 20 16:28 autofs.service -> /usr/lib/systemd/system/autofs.service

lrwxrwxrwx. 1 root root 44 Mar 27 18:00 avahi-daemon.service -> /usr/lib/systemd/system/avahi-daemon.service

lrwxrwxrwx. 1 root root 39 May 5 15:56 chronyd.service -> /usr/lib/systemd/system/chronyd.service

lrwxrwxrwx. 1 root root 37 Mar 27 17:56 crond.service -> /usr/lib/systemd/system/crond.service

lrwxrwxrwx. 1 root root 33 Mar 27 17:58 cups.path -> /usr/lib/systemd/system/cups.path

lrwxrwxrwx. 1 root root 36 Mar 27 17:58 cups.service -> /usr/lib/systemd/system/cups.service

lrwxrwxrwx. 1 root root 42 Mar 27 18:00 irqbalance.service -> /usr/lib/systemd/system/irqbalance.service

lrwxrwxrwx. 1 root root 37 Mar 27 17:57 kdump.service -> /usr/lib/systemd/system/kdump.service

lrwxrwxrwx. 1 root root 35 Mar 27 17:57 ksm.service -> /usr/lib/systemd/system/ksm.service

lrwxrwxrwx. 1 root root 40 Mar 27 17:57 ksmtuned.service -> /usr/lib/systemd/system/ksmtuned.service

lrwxrwxrwx. 1 root root 46 Mar 27 17:56 libstoragemgmt.service -> /usr/lib/systemd/system/libstoragemgmt.service

lrwxrwxrwx. 1 root root 38 Mar 27 18:00 mcelog.service -> /usr/lib/systemd/system/mcelog.service

lrwxrwxrwx. 1 root root 41 Mar 27 17:57 mdmonitor.service -> /usr/lib/systemd/system/mdmonitor.service

lrwxrwxrwx. 1 root root 44 Mar 27 18:00 ModemManager.service -> /usr/lib/systemd/system/ModemManager.service

lrwxrwxrwx. 1 root root 46 Mar 27 17:57 NetworkManager.service -> /usr/lib/systemd/system/NetworkManager.service

lrwxrwxrwx. 1 root root 41 Mar 27 17:57 nfs-client.target -> /usr/lib/systemd/system/nfs-client.target

lrwxrwxrwx. 1 root root 39 Mar 27 18:00 postfix.service -> /usr/lib/systemd/system/postfix.service

lrwxrwxrwx. 1 root root 40 Mar 27 17:56 remote-fs.target -> /usr/lib/systemd/system/remote-fs.target

lrwxrwxrwx. 1 root root 36 Mar 27 18:00 rngd.service -> /usr/lib/systemd/system/rngd.service

lrwxrwxrwx. 1 root root 39 Mar 27 18:00 rsyslog.service -> /usr/lib/systemd/system/rsyslog.service

lrwxrwxrwx. 1 root root 38 Mar 27 18:00 smartd.service -> /usr/lib/systemd/system/smartd.service

lrwxrwxrwx. 1 root root 36 Mar 27 18:00 sshd.service -> /usr/lib/systemd/system/sshd.service

lrwxrwxrwx. 1 root root 39 Mar 27 18:00 sysstat.service -> /usr/lib/systemd/system/sysstat.service

lrwxrwxrwx. 1 root root 37 Mar 27 18:00 tuned.service -> /usr/lib/systemd/system/tuned.service

lrwxrwxrwx. 1 root root 40 Mar 27 17:57 vmtoolsd.service -> /usr/lib/systemd/system/vmtoolsd.service

[root@CENTOS7 ~]#systemctl is-enabled sshd 查看一个服务是否开机启动

enabled

服务查看

查看所有服务的开机自启状态：

chkconfig –list ==> systemctl list-unit-files –type service

用来列出该服务在哪些运行级别下启用和禁用

chkconfig sshd –list ==>

ls /etc/systemd/system/*.wants/sshd.service

查看服务是否开机自启：

systemctl is-enabled name.service

其它命令：

查看服务的依赖关系：

systemctl list-dependencies name.service

杀掉进程：

systemctl kill unitname

[root@CENTOS7 ~]#systemctl list-unit-files –type service 列出所有服务

UNIT FILE STATE

abrt-ccpp.service enabled

abrt-oops.service enabled

abrt-pstoreoops.service disabled

[root@CENTOS7 ~]#ls /etc/systemd/system/*.wants/sshd.service 查看sshd在上面模式下是开机启动的。只有在这个multi-user.target.wants模式下启动

/etc/systemd/system/multi-user.target.wants/sshd.service

[root@CENTOS7 ~]#ls /etc/systemd/system/*.wants

/etc/systemd/system/graphical.target.wants: 5 模式，在centos7上各个模式有可能存在依赖关系，5模式就调用了3模式.3模式上启动上面5模式只多不少

[root@CENTOS7 ~]#systemctl list-dependencies sshd 查看sshd的依赖性，依赖性特别多，basic.target相当于服务的集合

sshd.service

● ├─sshd-keygen.service

● ├─system.slice

● └─basic.target

服务状态

systemctl list-unit-files –type service –all显示状态

loaded:Unit配置文件已处理已经加载到内存中

active(running):一次或多次持续处理的运行一直在运行

active(exited):成功完成一次性的配置运行一次就退出了

active(waiting):运行中，等待一个事件等待一件事情完成在继续运行

inactive:不运行

enabled:开机启动

disabled:开机不启动

static:开机不启动，但可被另一个启用的服务激活

在centos上 nfs服务依赖于rpcbind，service rpcbind stop 那么nfs服务无法启动

在centos7上可以直接启动nfs-server，systed会自动帮你启动rpcbind服务。

[root@CENTOS7 ~]#systemctl status rpcbind nfs-server

● rpcbind.service – RPC bind service

Loaded: loaded (/usr/lib/systemd/system/rpcbind.service; indirect; vendor preset: enabled)

Active: inactive (dead)

● nfs-server.service – NFS server and services

Loaded: loaded (/usr/lib/systemd/system/nfs-server.service; disabled; vendor preset: disabled)

Active: inactive (dead)

[root@CENTOS7 ~]#systemctl start nfs-server 启动nfs-server服务自动启动rpcbind

[root@CENTOS7 ~]#systemctl status rpcbind nfs-server

● rpcbind.service – RPC bind service

Loaded: loaded (/usr/lib/systemd/system/rpcbind.service; indirect; vendor preset: enabled)

Active: active (running) since Mon 2018-05-14 20:40:51 CST; 47s ago

Process: 3319 ExecStart=/sbin/rpcbind -w $RPCBIND_ARGS (code=exited, status=0/SUCCESS)

Main PID: 3320 服务

CGroup: /system.slice/rpcbind.service

└─3320 /sbin/rpcbind -w

May 14 20:40:51 CENTOS7.localdomain systemd[1]: Starting RPC bind service…

May 14 20:40:51 CENTOS7.localdomain systemd[1]: Started RPC bind service.

● nfs-server.service – NFS server and services

Loaded: loaded (/usr/lib/systemd/system/nfs-server.service; disabled; vendor preset: disabled)

Active: active (exited) since Mon 2018-05-14 20:41:30 CST; 8s ago

Process: 3340 ExecStart=/usr/sbin/rpc.nfsd $RPCNFSDARGS (code=exited, status=0/SUCCESS)

Process: 3335 ExecStartPre=/bin/sh -c /bin/kill -HUP `cat /run/gssproxy.pid` (code=exited, status=0/SUCCESS)

Process: 3333 ExecStartPre=/usr/sbin/exportfs -r (code=exited, status=0/SUCCESS)

Main PID: 3340 (code=exited, status=0/SUCCESS)

CGroup: /system.slice/nfs-server.service

May 14 20:41:30 CENTOS7.localdomain systemd[1]: Starting NFS server and services…

May 14 20:41:30 CENTOS7.localdomain systemd[1]: Started NFS server and services.

[root@CENTOS7 ~]#yum install telnet-server 这是个非独立服务，在centos6上有xinetd管理，在cengtos7上由systemd管理

[root@CENTOS7 ~]#systemctl start telnet.socket

[root@CENTOS7 ~]#ss -ntpel

LISTEN 0 128 :::23 :::* users:((“systemd”,pid=1,fd=29)) ino:39847 sk:ffff880000079980 v6only:0 <->

users:((“systemd”,pid=1,fd=29)) ino:39847 sk:ffff880000079980 v6only:0 <->

[root@CENTOS7 ~]#ps aux | grep telnet 没有启动这个服务

root 3688 0.0 0.0 112660 968 pts/0 S+ 20:51 0:00 grep –color=auto telnet

当用centos6的telnet连接centos7时由systemd来激活telnet服务

[root@CENTOS7 ~]#ps aux | grep telnet

root 3719 0.0 0.1 39440 1552 ? Ss 20:53 0:00 in.telnetd: ::ffff:192.168.30.102

systemctl 命令示例

显示所有单元状态

systemctl 或 systemctl list-units

只显示服务单元的状态

systemctl –type=service

显示sshd服务单元

systemctl –l status sshd.service

验证sshd服务当前是否活动

systemctl is-active sshd

启动，停止和重启sshd服务

systemctl start sshd.service

systemctl stop sshd.service

systemctl restart sshd.service

[root@CENTOS7 ~]#systemctl -t socket 查看启用的socket服务

UNIT LOAD ACTIVE SUB DESCRIPTION

avahi-daemon.socket loaded active running Avahi mDNS/DNS-SD Stack Activation Socket

cups.socket loaded active running CUPS Printing Service Sockets

dbus.socket loaded active running D-Bus System Message Bus Socket

dm-event.socket loaded active listening Device-mapper event daemon FIFOs

iscsid.socket loaded active listening Open-iSCSI iscsid Socket

iscsiuio.socket loaded active listening Open-iSCSI iscsiuio Socket

lvm2-lvmetad.socket loaded active running LVM2 metadata daemon socket

lvm2-lvmpolld.socket loaded active listening LVM2 poll daemon socket

[root@CENTOS7 ~]#systemctl -t socket -all 查看所有的socket服务

UNIT LOAD ACTIVE SUB DESCRIPTION

avahi-daemon.socket loaded active running Avahi mDNS/DNS-SD Stack Activation Socket

cups.socket loaded active running CUPS Printing Service Sockets

dbus.socket loaded active running D-Bus System Message Bus Socket

systemctl 命令示例

重新加载配置

systemctl reload sshd.service 从新加载某个服务，比restart平滑，不会关闭服务。

列出活动状态的所有服务单元

systemctl list-units –type=service

列出所有服务单元

systemctl list-units –type=service –all

查看服务单元的启用和禁用状态

systemctl list-unit-files –type=service

列出失败的服务

systemctl –failed –type=service

[root@CENTOS7 ~]#systemctl –failed -t service

UNIT LOAD ACTIVE SUB DESCRIPTION

● kdump.service loaded failed failed Crash recovery kernel arming 一点内核崩溃可以查看这个，可能由于内存不够而加载失败

systemctl 命令示例

列出依赖的单元

systemctl list-dependencies sshd

验证sshd服务是否开机启动

systemctl is-enabled sshd

禁用network，使之不能自动启动,但手动可以

systemctl disable network

启用network

systemctl enable network

禁用network，使之不能手动或自动启动

systemctl mask network

启用network

systemctl unmask network

service unit文件格式

/etc/systemd/system：系统管理员和用户使用/usr/lib/systemd/system：发

行版打包者使用

以 “#” 开头的行后面的内容会被认为是注释

相关布尔值，1、yes、on、true 都是开启，0、no、off、false 都是关闭

时间单位默认是秒，所以要用毫秒（ms）分钟（m）等须显式说明

service unit file文件通常由三部分组成：

[Unit]：定义与Unit类型无关的通用选项；用于提供unit的描述信息、unit行为

及依赖关系等

[Service]：与特定类型相关的专用选项；此处为Service类型

[Install]：定义由“systemctl enable”以及”systemctl disable“命令在实现

服务启用或禁用时用到的一些选项

[root@CENTOS7 ~]#ll /etc/systemd/system 这个文件相当于centos6上的/etc/rcN.d

total 4

drwxr-xr-x. 2 root root 31 Mar 27 18:00 basic.target.wants

drwxr-xr-x. 2 root root 31 Mar 27 17:57 bluetooth.target.wants

lrwxrwxrwx. 1 root root 41 Mar 27 17:57 dbus-org.bluez.service -> /usr/lib/systemd/system/bluetooth.service

[root@CENTOS7 ~]#cat /usr/lib/systemd/system/atd.service 这个文件的作用类似于centos6上/etc/init.d中的脚本

在centos7上变成文本形式

[Unit]

Description=Job spooling tools 描述

After=syslog.target systemd-user-sessions.service 依赖关系晚于这些服务启动

[Service] 这个和文件类型相关

EnvironmentFile=/etc/sysconfig/atd

ExecStart=/usr/sbin/atd -f $OPTS

IgnoreSIGPIPE=no

[Install]

WantedBy=multi-user.target

service unit文件格式

Unit段的常用选项：

Description：描述信息

After：定义unit的启动次序，表示当前unit应该晚于哪些unit启动，其功能与

Before相反

Requires：依赖到的其它units，强依赖，被依赖的units无法激活时，当前unit

也无法激活

Wants：依赖到的其它units，弱依赖

Conflicts：定义units间的冲突关系

service unit文件格式

Service段的常用选项：

Type：定义影响ExecStart及相关参数的功能的unit进程启动类型

simple：默认值，这个daemon主要由ExecStart接的指令串来启动，启动后常驻于内

存中

forking：由ExecStart启动的程序透过spawns延伸出其他子程序来作为此daemon的

主要服务。原生父程序在启动结束后就会终止

oneshot：与simple类似，不过这个程序在工作完毕后就结束了，不会常驻在内存中

dbus：与simple类似，但这个daemon必须要在取得一个D-Bus的名称后，才会继续

运作.因此通常也要同时设定BusNname= 才行

notify：在启动完成后会发送一个通知消息。还需要配合 NotifyAccess 来让 Systemd

接收消息

idle：与simple类似，要执行这个daemon必须要所有的工作都顺利执行完毕后才会执

行。这类的daemon通常是开机到最后才执行即可的服务

service unit文件格式

EnvironmentFile：环境配置文件

ExecStart：指明启动unit要运行命令或脚本的绝对路径

ExecStartPre： ExecStart前运行

ExecStartPost： ExecStart后运行

ExecStop：指明停止unit要运行的命令或脚本

Restart：当设定Restart=1 时，则当次daemon服务意外终止后，会再次自动

启动此服务类似于再生机制

service unit文件格式

Install段的常用选项：

Alias：别名，可使用systemctl command Alias.service

RequiredBy：被哪些units所依赖，强依赖

WantedBy：被哪些units所依赖，弱依赖

Also：安装本服务的时候还要安装别的相关服务

注意：对于新创建的unit文件，或者修改了的unit文件，要通知systemd重载此

配置文件,而后可以选择重启

systemctl daemon-reload

服务Unit文件示例：

vim /etc/systemd/system/bak.service

[Unit]

Description=backup /etc

Requires=atd.service

[Service]

Type=simple

ExecStart=/bin/bash -c “echo /data/bak.sh|at now”

[Install]

WantedBy=multi-user.target

systemctl daemon-reload

systemctl start bak

运行级别

target units：

unit配置文件：.target

ls /usr/lib/systemd/system/*.target

systemctl list-unit-files –type target –all

运行级别：

0 ==> runlevel0.target, poweroff.target

1 ==> runlevel1.target, rescue.target

2 ==> runlevel2.target, multi-user.target

3 ==> runlevel3.target, multi-user.target

4 ==> runlevel4.target, multi-user.target

5 ==> runlevel5.target, graphical.target

6 ==> runlevel6.target, reboot.target

查看依赖性：

systemctl list-dependencies graphical.target

运行级别

级别切换：init N ==> systemctl isolate name.target

systemctl isolate multi-user.target

注：只有/lib/systemd/system/*.target文件中AllowIsolate=yes 才能切换(修改

文件需执行systemctl daemon-reload才能生效)

查看target：

runlevel ; who -r

systemctl list-units –type target

获取默认运行级别：

/etc/inittab ==> systemctl get-default

修改默认级别：

/etc/inittab ==> systemctl set-default name.target

systemctl set-default multi-user.target

ls –l /etc/systemd/system/default.target

[root@CENTOS7 ~]#systemctl get-default 查看当前模式

graphical.target

[root@CENTOS7 ~]#systemctl set-default multi-user.target 3模式修改进入的模式

Removed symlink /etc/systemd/system/default.target.

Created symlink from /etc/systemd/system/default.target to /usr/lib/systemd/system/multi-user.target.

[root@CENTOS7 ~]#systemctl get-default 重启进入字符界面

multi-user.target

[root@CENTOS7 ~]#systemctl set-default graphical.target 启动进入5模式

Removed symlink /etc/systemd/system/default.target.

Created symlink from /etc/systemd/system/default.target to /usr/lib/systemd/system/graphical.target.

[root@CENTOS7 ~]#systemctl get-default

graphical.target

也可以rm -f /etc/systemd/system/default.target

创建软连接一样可以

ln -s /usr/lib/systemd/system/graphical.target /etc/systemd/system/default.target

systemctl isolate multi-user.target 等价于init3

其它命令

切换至紧急救援模式：

systemctl rescue

切换至emergency模式：

systemctl emergency

其它常用命令：

传统命令init，poweroff，halt，reboot都成为

systemctl的软链接

关机：systemctl halt、systemctl poweroff

重启：systemctl reboot

挂起：systemctl suspend

休眠：systemctl hibernate

休眠并挂起：systemctl hybrid-sleep

CentOS7引导顺序

UEFi或BIOS初始化，运行POST开机自检

选择启动设备

引导装载程序, centos7是grub2

加载装载程序的配置文件：/etc/grub.d/ /etc/default/grub

/boot/grub2/grub.cfg

加载initramfs驱动模块

加载内核选项

内核初始化，centos7使用systemd代替init

执行initrd.target所有单元，包括挂载/etc/fstab

从initramfs根文件系统切换到磁盘根目录

systemd执行默认target配置，配置文件/etc/systemd/system/default.target

systemd执行sysinit.target初始化系统及basic.target准备操作系统

systemd启动multi-user.target下的本机与服务器服务

systemd执行multi-user.target下的/etc/rc.d/rc.local

Systemd执行multi-user.target下的getty.target及登录服务

systemd执行graphical需要的服务

在centos7上service用的是文本文件，调用2进制程序来完成启动服务的开启，用unit单元代替了脚本。

设置内核参数?

设置内核参数，只影响当次启动

启动时，在linux16行后添加systemd.unit=desired.target

systemd.unit=emergency.target

systemd.unit=rescue.target

rescue.target 比emergency 支持更多的功能，例如日志等

systemctl default 进入默认target

删除默认启动模式，指定重启模式，这样电脑就会无限重启，修复方法

rm -f /etc/systemd/system/defualt.target

ln -s /usr/lib/systemd/system/reboot.target /etc/systemd/system/default.target

reboot

修复

1.e

2.在linux16 行后加入 systemd.unit=multi-user.target

3.Ctrl+x

4.重启后能开启centos7，进入登录界面后修改default.target

systemctl set-default graphical.target

破解CentOS7的root口令方法一

启动时任意键暂停启动

按e键进入编辑模式

将光标移动linux16开始的行，添加内核参数rd.break

按ctrl-x启动

mount –o remount,rw /sysroot

chroot /sysroot

passwd root

touch /.autorelabel

exit

reboot

如果没有禁用selinux则必须在跟目录下创建touch /.autorelabel

破解CentOS7的root口令方法二

启动时任意键暂停启动

按e键进入编辑模式

将光标移动linux16开始的行，改为rw init=/sysroot/bin/sh

按ctrl-x启动

chroot /sysroot

passwd root

touch /.autorelabel

exit

reboot

修复GRUB2

GRUB“the Grand Unified Bootloader”

引导提示时可以使用命令行界面

可从文件系统引导

主要配置文件 /boot/grub2/grub.cfg

修复配置文件

grub2-mkconfig > /boot/grub2/grub.cfg

修复grub

grub2-install /dev/sda BIOS环境

grub2-install UEFI环境

调整默认启动内核

vim /etc/default/grub

GRUB_DEFAULT=0

清空/boot/grub2/下的所有文件修复方法：rm -rf /boot/grub2/*

1.进入救援模式

2.chroot /mnt/sysimage 或者 grub2-install –root-directory=/mnt/sysimage /dev/sda

grub2-install /dev/sda

3.grub2-mkconfig >(-o) /boot/grub2/grub.cfg

如果不做第3步，直接重启

insmod xfs

set root=（hd0,1）

linux16 /vmlinuz-3.10.0-693.el7.x86_64 root=UUID=0a1bc23e-06e5-4210-9b32-0edbff09ca1a ro crashkernel=auto rhgb quiet net.ifnames=0 selinux=0

initrd16 /initramfs-3.10.0-693.el7.x86_64.img 支持Tab键补全

boot 启动

修改默认启动选项

[root@CENTOS7 grub2]#cat /etc/default/grub

GRUB_DEFAULT=saved 修改这个saved改成1则是第2项2就是第3项修改之后要用命令

grub2-mkconfig -o /boot/grub2/grub.cfg

[root@CENTOS7 grub2]#cat grub.cfg

set default=”${saved_entry}”

删除centos7中/boot/下的所有文件

1.chroot /mnt/sysimage

mount /dev/sr0 /mnt

2.rpm -ivh /mnt/Packages/kernel-3.10.0-693.e17.x86_64.rpm –force

3.grub2-install /dev/sda

4.grub2-mkconfig -o /boot/grub2/grub.cfg

5.reboot

SELinux介绍

SELinux: Secure Enhanced Linux，是美国国家安全局(NSA=The National

Security Agency)和SCC(Secure Computing Corporation)开发的 Linux的一

个强制访问控制的安全模块。2000年以GNU GPL发布，Linux内核2.6版本后集

成在内核中

DAC：Discretionary Access Control自由访问控制

MAC：Mandatory Access Control 强制访问控制

DAC环境下进程是无束缚的

MAC环境下策略的规则决定控制的严格程度

MAC环境下进程可以被限制的

策略被用来定义被限制的进程能够使用那些资源（文件和端口）

默认情况下，没有被明确允许的行为将被拒绝

SELinux工作类型

SELinux有四种工作类型：

strict: centos5,每个进程都受到selinux的控制，识别的可以用，不识别的用统统拒绝

targeted: 用来保护常见的网络服务,仅有限进程受到selinux控制，只监控容易，只保护常见的服务，未知的服务是允许的

被入侵的进程，centos4只保护13个服务，centos5保护88个服务

minimum：centos7,修改的targeted，只对选择的网络服务

mls:提供MLS（多级安全）机制的安全性

targeted为默认类型，minimum和mls稳定性不足，未加以应用，strict已不再

使用

centos7上的selinux类型

[root@CENTOS7 ~]#cat /etc/selinux/config

# This file controls the state of SELinux on the system.

# SELINUX= can take one of these three values:

# enforcing – SELinux security policy is enforced.

# permissive – SELinux prints warnings instead of enforcing.selinux不起作用但是会报警

# disabled – No SELinux policy is loaded. 彻底禁用

SELINUX=disabled

# SELINUXTYPE= can take one of three two values:

# targeted – Targeted processes are protected,

# minimum – Modification of targeted policy. Only selected processes are protected.

# mls – Multi Level Security protection.

SELINUXTYPE=targeted

SELinux安全上下文

传统Linux，一切皆文件，由用户，组，权限控制访问

在SELinux中，一切皆对象（object），由存放在inode的扩展属性域的

安全元素所控制其访问

所有文件和端口资源和进程都具备安全标签：安全上下文（security

context）

安全上下文有五个元素组成：

user（用户）:role（角色）:type（类型）:sensitivity（敏感度）:category（类别）

user_u:object_r:tmp_t:s0:c0

实际上下文：存放在文件系统中，ls –Z;ps –Z

期望(默认)上下文：存放在二进制的SELinux策略库（映射目录和期望安

全上下文）中

semanage fcontext –l

[root@CENTOS7 ~]#ll -Z /etc/fstab

-rw-r–r–. root root system_u:object_r:etc_t:s0 /etc/fstab

五个安全元素

User:指示登录系统的用户类型,如root,user_u,system_u（系统文件）,多数本地进程都属于自

由（unconfined：无限制的）进程

Role:定义文件，进程和用户的用途：文件:object_r，进程和用户：系统进程system_r 用户创建的一般是unconfined

Type:指定数据类型，规则中定义何种进程类型访问何种文件Target策略基于

type实现,多服务共用：public_content_t 一个进程是否能访问文件

Sensitivity:限制访问的需要，由组织定义的分层安全级别，如unclassified,

secret,top,secret, 一个对象有且只有一个sensitivity,分0-15级，s0最

低,Target策略默认使用s0

Category：对于特定组织划分不分层的分类，如FBI Secret，NSA secret, 一个

对象可以有多个categroy， c0-c1023共1024个分类， Target 策略不使用

相关推荐

Linux文本查看及处理工具

Linux上的文件管理类命令都有哪些，其常用的使用方法及其相关示例演示

实验：实现互联网的DNS架构

Homework_week2

第十一周

Linux系统日志管理