Linux 系統防駭四大核心防線：單用戶模式、引導載入器、CMOS 與遠端防護

Linux 是多用戶系統，一旦 root 權限被竊，後果不堪設想。本文建構四層防禦體系，從單用戶模式防護、引導載入器鎖定、CMOS 密碼到遠端重啟防範，構建纵深防禦。

1. 保護 /etc/inittab 防止惡意進入單用戶模式

• 預設 id:3:initdefault（runlevel 3），若被改為 1 則下次開機直接進入單用戶模式
• 對策：chmod 700 /etc/inittab 僅允許 root 修改

2. 鎖定 LILO/GRUB 引導載入器

• LILO：設定 timeout=0 或極短等待，防止手動輸入單用戶參數；必要時用開機磁片救援
• GRUB：設定 GRUB 密碼（grub-md5-crypt 產生雜湊），保護啟動選單不被竄改

3. 設定 CMOS/BIOS 密碼

即使系統被改為單用戶模式，無法通過 BIOS 密碼也無法開機操作，形成硬體層面的最後防線。

4. 遠端防護綜合措施

• 強化 root 密碼複雜度，定期輪換
• /etc 目錄關鍵檔案設定不可變屬性（chattr +i）
• 停用不必要的網路服務，配置防火牆限制管理埠存取來源
• 啟用 SSH 金鑰認證，禁用密碼登入

四大防線層層疊加，大幅提升 Linux 伺服器抗入侵能力。