1.检查是否设置口令长度至少8位，并包括数字，小写字符、大写字符和特殊符号4类中至少2类。
在文件/etc/login.defs中设置 PASS_MIN_LEN 不小于标准值
修改/etc/pam.d/system-auth文件, 在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种，追加到password requisite pam_cracklib.so后面，添加到配置文件中。
例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注：ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数
2.检查是否设置账户口令的生存期不长于90天。
修改/etc/login.def

PASS_MAX_DAYS 90      #密码最大有效期，此处参数PASS_MAX_DAYS为60，表示60天后，密码会过期。99999表示永不过期。PASS_MIN_DAYS 0      #两次修改密码的最小间隔时间，0表示可以随时修改账号密码PASS_MIN_LEN  8      #密码最小长度，对于root无效PASS_WARN_AGE 7      #密码过期前多少天开始提示1234

3.检查是否设置用户不能重复使用最近5次（含5次）内已使用的口令。
修改文件 # vi /etc/pam.d/system-auth
在 password sufficient pam_unix.so use_authtok md5 shadow remember=10
4.检查是否设置当用户连续认证失败次数超过5次，锁定该用户使用的账户。

vim /etc/pam.d/login

auth  required  pam_tally2.so  deny=5  unlock_time=300 even_deny_root root_unlock_time=101

5.检查默认账号，是否删除或锁定与设备运行、维护等工作无关的账号。查看多余账号

cat /etc/passwd

[root@localhost ~]# userdel username[root@localhost ~]# groupdel groupname删除的用户,如adm,lp,sync,shutdown,halt,news,uucp,operator,
games,gopher等。
删除的组,如adm,lp,news,uucp,games,dip,pppusers,popusers,
slipusers等。123456

6.检查远程登录限制，是否限制具备超级管理员权限的用户远程登录。
限制具备超级管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。
Root从远程使用Telnet登录；
普通用户从远程使用Telnet登录；
Root从远程使用ssh登录；
普通用户从远程使用ssh登录；
7.检查用户缺省访问权限，是否配置用户缺省访问权限，屏蔽掉新建文件和目录不该有的访问允许权限。
查看新建的文件或目录的权限，操作举例如下：

#ls -l dir； #查看目录dir的权限#cat /etc/default/login  /etc/default/login不存在（查看是否有umask027内容）123

8.检查服务开启，是否最小化，关闭不必要的服务。

/etc/rc.d/init.d或# rpm -qi $(rpm -qf /etc/rc.d/init.d/sshd)chkconfig –level 2345 服务名称 off12

9.检查补丁安全，是否在确保业务不受影响的情况下及时更新操作系统补丁。
查看补丁安装情况：

rpm –qa | grep patch

/etc/sysconfig/yum-cron
CHECK_ONLY=yes
更新的补丁在：  http://itrc.hp.com/service/patch/releaseIndexPage.do123

10.检查日志审计功能设置，是否配置日志审计功能
查看日志服务是否开启#service -–status-all | grep syslog
在root权限下，使用命令more、cat或vi查看

/var/log/message 系统启动后的信息和错误日志，是Red Hat Linux中最常用的日志之一
/var/log/secure 与安全相关的日志信息
/var/log/maillog 与邮件相关的日志信息
/var/log/cron 与定时任务相关的日志信息
/var/log/spooler 与UUCP和news设备相关的日志信息
/var/log/boot.log 守护进程启动和停止相关的日志消息123456

11.检查远程管理加密协议，是否配置使用SSH等加密协议进行远程管理，禁止使用Telnet等明文传输协议。

查看SSH服务状态：#ps –elf|grep ssh查看Telnet服务状态：#ps –elf|grep telnet12

（是否有SSH进程存在：#ps –elf|grep ssh）
12.检查登录超时时间设置，是否设置登录账号的登录超时为30分钟。

cat /etc/profile|grep TMOUT -n
查看超时时间参数TMOUT
在/etc/profile 后面添加export TMOUT=1800readonly TMOUT12345

13.ssh安全设置策略（/etc/ssh/sshd_config）

Port 22 #ssh服务端口号，我们可以改成高端口，一般端口扫描工具不会扫描高端口的。 AddressFamily any
#ssh服务的协议族，可以用ipv4 ipv6或者直接使用any。 Protocol 2 #ssh服务协议版本，默认为1，建议使用2，1有漏洞。 KeyRegenerationInterval 3600 # 在SSH-1协议下，短命的服务器密钥将以此指令设置的时间为周期(秒)，不断重新生成。这个机制可以尽量减小密钥丢失或者黑客攻击造成的损失。
ServerKeyBits 2048 # 指定临时服务器密钥的长度。1024存在认证漏洞，安全最低2048位。 LogLevel
ERROR #日志级别，可以使用 QUIET, FATAL, ERROR, INFO(默认), VERBOSE, DEBUG,
DEBUG1, DEBUG2, DEBUG3。 LoginGraceTime 30
#限制用户必须在指定的时限内认证成功，建议设置低，增加暴力破解难度，单位为秒。 MaxAuthTries 3 #最多登录尝试次数，建议设置低一些，加大暴力破解难度。 RSAAuthentication yes #使用纯 RSA公钥认证。 PubkeyAuthentication yes #使用公钥认证，推荐使用安全高效！ AuthorizedKeysFile
.ssh/authorized_keys
#用户公钥文件保存路径，默认为用户的home目录下.ssh隐藏文件夹中的authorized_keys，建议更换到其他目录，防止丢失或者被恶意登陆者在默认的这个路径中找到篡改。
PermitEmptyPasswords no #不允许空密码登录，这个太危险啦。 GSSAPIAuthentication no #不基于
GSSAPI 的用户认证，关闭，优化性能。 UsePAM no #使用PAM认证，如果不用LDAP之类的登陆，建议关闭，优化性能。
X11Forwarding no #如果没有使用x11转发最好关闭掉，优化性能。 PrintMotd no
#登录打印公告信息，可以修改或者关闭，修改/etc/motd来震慑恶意登陆者，默认会显示一些系统信息，关闭掉，减少恶意登陆者获取的信息量，防止被恶意利用。
PrintLastLog no #不打印最后登陆信息，减少恶意登陆者获取的信息量，防止被恶意利用。 TCPKeepAlive yes
#保持长连接，加快连接速度，优化性能。 PidFile /var/run/sshd.pid #ssh服务的pid文件。 Banner none #不显示系统banner信息，如果开启会在每次登陆时显示系统信息，减少恶意登陆者获取的信息量，防止被恶意利用。
PermitRootLogin no #禁止root用户登陆，降低远程登陆的用户权限。 PasswordAuthentication no
#允许用户名密码登陆，no，禁止使用用户名和密码登陆，使用公钥登陆，防止针对用户名和密码的暴力破解。

14#vim /etc/bashrc　#在配置文件最后添加

HISTTIMEFORMAT="%Y-%m-%d:%H-%M-%S:`whoami`:  "export HISTTIMEFORMAT                            #作用:用作记录命令执行时间，以及执行用户12

#vim /etc/profile ＃在最后加上如下脚本代码，记录每个用户的操作命令

history
 USER=`whoami`
 USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
 if [ "$USER_IP" = "" ]; then
 USER_IP=`hostname`
 fi
 if [ ! -d /var/log/history ]; then
 mkdir /var/log/history chmod 777 /var/log/history fi
 if [ ! -d /var/log/history/${LOGNAME} ]; then
 mkdir /var/log/history/${LOGNAME}
 chmod 300 /var/log/history/${LOGNAME}
 fi
 export HISTSIZE=4096
 DT=`date +"%Y%m%d_%H:%M:%S"`
 export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
 chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null123456789101112131415161718

15、/etc/profile , /etc/pam.d/sshd , /etc/pam.d/remote , /etc/ssh/sshd_config , /etc/passwd , /etc/group , /etc/shadow 这些文件生产服务器上最好就是最小权限

chmod 600 xxxxxx
chattr +i xxxx123

一、SELinux简介

SELinux(Secure Enhanced Linux)安全增强的Linux是由美国国家安全局NSA针对计算机基础结构安全开发的一个全新的Linux安全策略机制。SELinux可以允许系统管理员更加灵活的来定义安全策略。

SELinux是一个内核级别的安全机制，从Linux2.6内核之后就将SELinux集成在了内核当中，因为SELinux是内核级别的，所以我们对于其配置文件的修改都是需要重新启动操作系统才能生效的。

现在主流发现的Linux版本里面都集成了SELinux机制，CentOS/RHEL都会默认开启SELinux机制。

二、SELinux基本概念

我们知道，操作系统的安全机制其实就是对两样东西做出限制：进程和系统资源(文件、网络套接字、系统调用等)。

在之前学过的知识当中，Linux操作系统是通过用户和组的概念来对我们的系统资源进行限制，我们知道每个进程都需要一个用户才能执行。

在SELinux当中针对这两样东西定义了两个基本概念：域(domin)和上下文(context)。

域就是用来对进行进行限制，而上下文就是对系统资源进行限制。

我们可以通过 ps -Z 这命令来查看当前进程的域的信息，也就是进程的SELinux信息：

[root@xiaoluo ~]# ps -ZLABEL                             PID TTY          TIME CMD
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 2503 pts/0 00:00:00 su
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 2511 pts/0 00:00:00 bash
unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 3503 pts/0 00:00:00 ps

通过 ls -Z 命令我们可以查看文件上下文信息，也就是文件的SELinux信息：

[root@xiaoluo ~]# ls -Z-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 Desktop-rw-r--r--+ root root system_u:object_r:admin_home_t:s0 install.log-rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log.syslog

在稍后我们来探讨一下这些字段所代表的含义。

三、策略

在SELinux中，我们是通过定义策略来控制哪些域可以访问哪些上下文。

在SELinux中，预置了多种的策略模式，我们通常都不需要自己去定义策略，除非是我们自己需要对一些服务或者程序进行保护

在CentOS/RHEL中，其默认使用的是目标(target)策略，那么何为目标策略呢？

目标策略定义了只有目标进程受到SELinux限制，非目标进程就不会受到SELinux限制，通常我们的网络应用程序都是目标进程，比如httpd、mysqld，dhcpd等等这些网络应用程序。

我们的CentOS的SELinux配置文件是存放在 /etc/sysconfig/ 目录下的 selinux 文件，我们可以查看一下里面的内容：

[root@xiaoluo ~]# cat /etc/sysconfig/selinux # This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted 　　// 我们的CentOS使用的策略就是目标策略

四、SELinux模式

SELinux的工作模式一共有三种 enforcing、permissive和disabled 

①enforcing　　强制模式：只要是违反策略的行动都会被禁止，并作为内核信息记录

②permissive　　允许模式：违反策略的行动不会被禁止，但是会提示警告信息

③disabled　　禁用模式：禁用SELinux，与不带SELinux系统是一样的，通常情况下我们在不怎么了解SELinux时，将模式设置成disabled，这样在访问一些网络应用时就不会出问题了。

上面也说了SELinux的主配置文件是 /etc/sysconfig/selinux 

[root@xiaoluo ~]# cat /etc/sysconfig/selinux 

# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#     enforcing - SELinux security policy is enforced.
#     permissive - SELinux prints warnings instead of enforcing.
#     disabled - No SELinux policy is loaded.
SELINUX=enforcing　　//　　我们看到SELinux默认的工作模式是enforcing
# SELINUXTYPE= can take one of these two values:
#     targeted - Targeted processes are protected,
#     mls - Multi Level Security protection.
SELINUXTYPE=targeted

我们SELinux默认的工作模式是enforcing，我们可以将其修改为 permissive或者是disabled

我们如果要查看当前SELinux的工作状态，可以使用 getenforce 命令来查看：

[root@xiaoluo ~]# getenforce 
Enforcing

当前的工作模式是 enforcing，我们如果要设置当前的SELinux工作状态，可以使用 setenforce [0|1] 命令来修改，setenforce 0表示设置成 permissive，1表示enforcing

【注意：】通过 setenforce 来设置SELinux只是临时修改，当系统重启后就会失效了，所以如果要永久修改，就通过修改SELinux主配置文件

[root@xiaoluo ~]# setenforce 0[root@xiaoluo ~]# getenforcePermissive

[root@xiaoluo ~]# setenforce 1[root@xiaoluo ~]# getenforce Enforcing

 

 

[root@xiaoluo ~]# ls -Z-rw-------. root root system_u:object_r:admin_home_t:s0 anaconda-ks.cfg
drwxr-xr-x. root root unconfined_u:object_r:admin_home_t:s0 Desktop-rw-r--r--+ root root system_u:object_r:admin_home_t:s0 install.log-rw-r--r--. root root system_u:object_r:admin_home_t:s0 install.log.syslog

 

我们可以通过 ls -Z 这个命令来查看我们文件的上下文信息，也就是SELinux信息，我们发现其比传统的 ls 命令多出来了 system_u:object_r:admin_home_t:s0这个东西，我们现在就来分析一下这段语句所代表的含义

system_u:object_r:admin_home_t:s0

这条语句通过：划分成了四段，第一段  代表的是用户，第二段  表示的是角色，第三段是SELinux中最重要的信息， 表示的是类型，最后一段 s0 是跟MLS、MCS相关的东西，暂时不需要管

①system_u　　指的是SElinux用户，root表示root账户身份，user_u表示普通用户无特权用户，system_u表示系统进程，通过用户可以确认身份类型，一般搭配角色使用。身份和不同的角色搭配时有权限不同，虽然可以使用su命令切换用户但对于SElinux的用户并没有发生改变，账户之间切换时此用户身份不变，在targeted策略环境下用户标识没有实质性作用。

②object_r　　object_r一般为文件目录的角色、system_r一般为进程的角色，在targeted策略环境中用户的角色一般为system_r。用户的角色类似用户组的概念，不同的角色具有不同的身份权限，一个用户可以具备多个角色，但是同一时间只能使用一个角色。在targeted策略环境下角色没有实质作用，在targeted策略环境中所有的进程文件的角色都是system_r角色。

③admin_home　　文件和进程都有一个类型，SElinux依据类型的相关组合来限制存取权限。

五、实例

下面我们通过一个实例来看一下上下文 context 的值和SELinux的访问控制

比如说我搭建好了一个Web服务器，我们知道www服务器其默认网页存放位置是在 /var/www/html 这个目录下，我们如果在这里新建一个 index.html 测试页面，启动我们的www服务器，刷新就能见到其内容了，这时我们如果是在我们的 /home 目录下建立一个 index.html 页面，然后将其移动到 /var/www/html 这个目录下，再刷新页面，其还会不会正常显示呢？

首先我们启动我们的 httpd 服务：

 

[root@xiaoluo ~]# service httpd restart

Stopping httpd:                                            [  OK  ]
Starting httpd: httpd: apr_sockaddr_info_get() failed for xiaoluo
httpd: Could not reliably determine the server's fully qualified domain name, using 127.0.0.1 for ServerName
                                                           [  OK  ]

 

然后打开浏览器，输入我们的 127.0.0.1 来访问，此时看到的界面是Apache的测试界面：

 

因为我们此时的 /var/www/html 下还不存在任何页面：

[root@xiaoluo home]# ll /var/www/html/total 0

接下来我们在 /home 目录下建立一个 index.html 的页面，然后将其移动到我们的 /var/www/html 目录下

[root@xiaoluo home]# vi index.html

This is a test about SELinux

[root@xiaoluo home]# mv index.html /var/www/html/[root@xiaoluo html]# cd /var/www/html/[root@xiaoluo html]# lsindex.html

此时，按照正常情况，因为html目录下存在了一个index.html的页面，我们此时如果刷新浏览器页面，应该会跳转到index.html页面的

 

但是事实我们发现，页面还是在这个测试页面，到底是为什么呢？这个就跟我们的SELinux的安全策略有关系了，我们可以去 /var/log/audit 这个目录下查看audit.log 这个文件，从中找出错误信息

[root@xiaoluo html]# tail /var/log/audit/audit.log type=CRED_DISP msg=audit(1369575601.957:289): user pid=3637 uid=0 auid=0 ses=44 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 msg='op=PAM:setcred acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'type=USER_END msg=audit(1369575601.957:290): user pid=3637 uid=0 auid=0 ses=44 subj=system_u:system_r:crond_t:s0-s0:c0.c1023 msg='op=PAM:session_close acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'type=AVC msg=audit(1369575729.534:291): avc:  denied  { getattr } for  pid=3619 comm="httpd" path="/var/www/html/index.html" dev=sda2 ino=538738 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:home_root_t:s0 tclass=filetype=SYSCALL msg=audit(1369575729.534:291): arch=c000003e syscall=4 success=no exit=-13 a0=7f34198634f8 a1=7fffbc87bee0 a2=7fffbc87bee0 a3=7f341985ff60 items=0 ppid=3612 pid=3619 auid=500 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1369575729.535:292): avc:  denied  { getattr } for  pid=3619 comm="httpd" path="/var/www/html/index.html" dev=sda2 ino=538738 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:home_root_t:s0 tclass=filetype=SYSCALL msg=audit(1369575729.535:292): arch=c000003e syscall=6 success=no exit=-13 a0=7f34198635c8 a1=7fffbc87bee0 a2=7fffbc87bee0 a3=1 items=0 ppid=3612 pid=3619 auid=500 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1369575736.549:293): avc:  denied  { getattr } for  pid=3618 comm="httpd" path="/var/www/html/index.html" dev=sda2 ino=538738 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:home_root_t:s0 tclass=filetype=SYSCALL msg=audit(1369575736.549:293): arch=c000003e syscall=4 success=no exit=-13 a0=7f34198634f8 a1=7fffbc87bee0 a2=7fffbc87bee0 a3=7f341985ff60 items=0 ppid=3612 pid=3618 auid=500 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)
type=AVC msg=audit(1369575736.549:294): avc:  denied  { getattr } for  pid=3618 comm="httpd" path="/var/www/html/index.html" dev=sda2 ino=538738 scontext=unconfined_u:system_r:httpd_t:s0 tcontext=unconfined_u:object_r:home_root_t:s0 tclass=filetype=SYSCALL msg=audit(1369575736.549:294): arch=c000003e syscall=6 success=no exit=-13 a0=7f34198635c8 a1=7fffbc87bee0 a2=7fffbc87bee0 a3=1 items=0 ppid=3612 pid=3618 auid=500 uid=48 gid=48 euid=48 suid=48 fsuid=48 egid=48 sgid=48 fsgid=48 tty=(none) ses=1 comm="httpd" exe="/usr/sbin/httpd" subj=unconfined_u:system_r:httpd_t:s0 key=(null)

从这个日志文件中，我们就可以看到刷新页面不出来index.html的原因就是因为我们的SELinux安全策略所导致的

我们通过 ls -Z 命令先来看看刚移动过来的 index.html 的上下文信息

[root@xiaoluo html]# ls -Z-rw-r--r--. root root unconfined_u:object_r:home_root_t:s0 index.html

我们发现其第三个字段的类型是 home_root_t,这是为什么呢？因为我们刚才是在 /home 目录下创建的这index.html文件，所以其默认会继承上一层目录的SELinux的类型信息，我们可以查看一下 /home 这个目录的上下文信息：

[root@xiaoluo html]# ls -Z -d /home/drwxr-xr-x. root root system_u:object_r:home_root_t:s0 /home/

我们看到，其第三个字段和我们刚才的index.html相同，由此可以看出文件的context值是受上一级目录影响的，一般情况下它们会继承上一级目录的context值，但是，一些安装服务产生的文件context值会例外，不继承上级目录的context值，服务会自动创建它们的context值，比如没有装http服务的时候/var/目录下时没有www目录的，安装httpd服务后该服务会自动创建出所需的目录，并定义与服务相关的目录及文件才context值，它们并不会继承上级目录的context值。

[root@xiaoluo html]# ls -Z -d /vardrwxr-xr-x. root root system_u:object_r:var_t:s0       /var

[root@xiaoluo html]# ls -Z -d /var/www/html/drwxr-xr-x. root root system_u:object_r:httpd_sys_content_t:s0 /var/www/html/

此时我们发现我们的 /var/www/html 这个目录的上下文类型是 httpd_sys_content_t， 而我们刚才移动过来的 index.html 的类型却是 home_root_t,因为我们此时的SELinux的工作模式是 enforcing，所以对于违反策略的行动是被禁止的，所以我们刷新页面并不会出现我们的index.html里面的信息，那么我们这个时候应该解决这个问题呢？

通常解决办法由两种：

①直接将SELinux的工作模式设置成 disabled，这样就不会出现策略拦截问题了，但是这样的话我们的系统就没有SELinux安全防护了

②通过 restorecon 或者 chcon 命令来修复我们的文件上下文信息

命令 restorecon 可以用来恢复文件默认的上下文：

restorecon -R -v /var/www/html/index.html　　//-R 表示递归，如果是目录，则该目录下的所有子目录、文件都会得到修复　　

命令 chcon 可以改变文件的上下文信息，通常我们使用一个参照文件来进行修改：

chcon --reference=/var/www/html/index.html /var/www/html/test.html

这里我们通过使用 restorecon 命令来恢复我们文件默认的上下文：

[root@xiaoluo html]# restorecon -v index.html restorecon reset /var/www/html/index.html context unconfined_u:object_r:home_root_t:s0->unconfined_u:object_r:httpd_sys_content_t:s0

[root@xiaoluo html]# ls -Z-rw-r--r--. root root unconfined_u:object_r:httpd_sys_content_t:s0 index.html

我们看到，使用 restorecon 命令以后，index.html的上下文信息就继承了上一级目录 html 这个目录的上下文信息了，这个时候我们再刷新页面就可以看到我们index.html里面的内容了

 

通过这个实例我们就明白了文件的上下文信息与SELinux之间的关系了，并知道了通过查看 /var/log/audit/audit.log 这个日志文件的信息找出错误所在，以及通过restorecon 命令来修复我们的文件的上下文信息

 

本篇随笔主要讲解了SELinux的一些基本概念以及与SELinux相关的一些命令，对于SELinux更具体的一些内容以及知识将在以后学习的过程中记录下来！！！