基于shell语言的linux安全基线检查

由于公司有Linux安全基线检查的要求，看了下网上的安全基线，几十条，公司那么多主机，一条条去检查太耗费时间了，身为程序员时刻要想到自动化，提升效率。

1、首先找到基线检查文档，网上一搜一大把。

2、另外freebuf上有个人写了linux安全基线检测,可以作为基础模版改动。

根据上面2个文档进行开发，最终形成以下脚本。
github

#! /bin/bash 
#vesion 1.0
#author by  (魔法剑客)

ipadd=`ifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_"`
cat <<EOF
*************************************************************************************
*****               linux基线检查脚本                 *****
*****               Author(魔法剑客)                    *****
*************************************************************************************
*****               linux基线配置规范设计               *****
*****               输出结果"/tmp/${ipadd}_checkResult.txt"             *****
*************************************************************************************
EOF


echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt"

user_id=`whoami`
echo "当前扫描用户：${user_id}" >> "/tmp/${ipadd}_checkResult.txt"

scanner_time=`date '+%Y-%m-%d %H:%M:%S'`
echo "当前扫描时间：${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt"

echo "***************************"
echo "账号策略检查中..."
echo "***************************"

#编号：SBL-Linux-02-01-01 
#项目：帐号与口令-用户口令设置
#合格：Y;不合格：N
#不合格地方

passmax=`cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'`
passmin=`cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}'`
passlen=`cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'`
passage=`cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'`

echo "SBL-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
if [ $passmax -le 90 -a $passmax -gt 0 ];then
  echo "Y:口令生存周期为${passmax}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:口令生存周期为${passmax}天，不符合要求,建议设置不大于90天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passmin -ge 6 ];then
  echo "Y:口令更改最小时间间隔为${passmin}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:口令更改最小时间间隔为${passmin}天，不符合要求，建议设置大于等于6天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passlen -ge 8 ];then
  echo "Y:口令最小长度为${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:口令最小长度为${passlen},不符合要求，建议设置最小长度大于等于8" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passage -ge 30 -a $passage -lt $passmax ];then
  echo "Y:口令过期警告时间天数为${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:口令过期警告时间天数为${passage},不符合要求，建议设置大于等于30并小于口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt"
fi

echo "***************************"
echo "账号是否会主动注销检查中..."
echo "***************************"
checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}')
if [ $? -eq 0 ];then
  TMOUT=`cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}'`
  if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then
    echo "Y:账号超时时间${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
  else
    echo "N:账号超时时间${TMOUT}秒,不符合要求，建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
  fi
else
  echo "N:账号超时不存在自动注销,不符合要求，建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi



#编号：SBL-Linux-02-01-02 
#项目：帐号与口令-root用户远程登录限制
#合格：Y;不合格：N
#不合格地方

echo "***************************"
echo "检查root用户是否能远程登录限制..."
echo "***************************"

echo "SBL-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no")
if [ $? -eq 0 ];then
  echo "Y:已经设置远程root不能登陆，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:已经设置远程root能登陆，不符合要求，建议/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-03
#项目：帐号与口令-检查是否存在除root之外UID为0的用户
#合格：Y;不合格：N
#不合格地方
#查找非root账号UID为0的账号
echo "SBL-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt"
UIDS=`awk -F[:] 'NR!=1{print $3}' /etc/passwd`
flag=0
for i in $UIDS
do
  if [ $i = 0 ];then
    echo "N:存在非root账号的账号UID为0，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
  else
    flag=1
  fi
done
if [ $flag = 1 ];then
  echo "Y:不存在非root账号的账号UID为0，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-04
#项目：帐号与口令-检查telnet服务是否开启
#合格：Y;不合格：N
#不合格地方
#检查telnet是否开启
echo "SBL-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt"
telnetd=`cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}'`
if [ "$telnetd"x = "yes"x ]; then
  echo "N:检测到telnet服务开启，不符合要求，建议关闭telnet" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-05
#项目：帐号与口令-root用户环境变量的安全性
#合格：Y;不合格：N
#不合格地方
#检查目录权限是否为777
echo "SBL-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt"
dirPri=$(find $(echo $PATH | tr ':' ' ') -type d \( -perm -0777 \) 2> /dev/null)
if [  -z "$dirPri" ] 
then
  echo "Y:目录权限无777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:文件${dirPri}目录权限为777的，不符合要求。" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-06
#项目：帐号与口令-远程连接的安全性配置
#合格：Y;不合格：N
#不合格地方
echo "SBL-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt"
fileNetrc=`find / -xdev -mount -name .netrc -print 2> /dev/null`
if [  -z "${fileNetrc}" ];then
  echo "Y:不存在.netrc文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:存在.netrc文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
fileRhosts=`find / -xdev -mount -name .rhosts -print 2> /dev/null`
if [ -z "$fileRhosts" ];then
  echo "Y:不存在.rhosts文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:存在.rhosts文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-07
#项目：帐号与口令-用户的umask安全配置
#合格：Y;不合格：N
#不合格地方
#检查umask设置
echo "SBL-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt"
umask1=`cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}'`
umask2=`cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}'`
umask3=`cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}'`
flags=0
for i in $umask1
do
  if [ $i != "027" ];then
    echo "N:/etc/profile文件中所所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
    flags=1
    break
  fi
done
if [ $flags == 0 ];then
  echo "Y:/etc/profile文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi 
flags=0
for i in $umask2
do
  if [ $i != "027" ];then
    echo "N:/etc/csh.cshrc文件中所所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
    flags=1
    break
  fi
done  
if [ $flags == 0 ];then
  echo "Y:/etc/csh.cshrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask3
do
  if [ $i != "027" ];then
    echo "N:/etc/bashrc文件中所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt"
    flags=1
    break
  fi
done
if [ $flags == 0 ];then
  echo "Y:/etc/bashrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-01-08
#项目：帐号与口令-grub和lilo密码是否设置检查
#合格：Y;不合格：N
#不合格地方
#grub和lilo密码是否设置检查
echo "SBL-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt"
grubfile=$(cat /etc/grub.conf | grep password)
if [ $? -eq 0 ];then
  echo "Y:已设置grub密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:没有设置grub密码，不符合要求,建议设置grub密码" >> "/tmp/${ipadd}_checkResult.txt"
fi
lilo=$(cat /etc/lilo.conf | grep password)
if [ $? -eq 0 ];then
  echo "Y:已设置lilo密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:没有设置lilo密码，不符合要求,建议设置lilo密码" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-02-01
#项目：文件系统-重要目录和文件的权限设置
#合格：Y;不合格：N
#不合格地方
echo "SBL-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt"
echo "***************************"
echo "检查重要文件权限中..."
echo "***************************"
file1=`ls -l /etc/passwd | awk '{print $1}'`
file2=`ls -l /etc/shadow | awk '{print $1}'`
file3=`ls -l /etc/group | awk '{print $1}'`
file4=`ls -l /etc/securetty | awk '{print $1}'`
file5=`ls -l /etc/services | awk '{print $1}'`
file6=`ls -l /etc/xinetd.conf | awk '{print $1}'`
file7=`ls -l /etc/grub.conf | awk '{print $1}'`
file8=`ls -l /etc/lilo.conf | awk '{print $1}'`
#检测文件权限为400的文件
if [ $file2 = "-r--------" ];then
  echo "Y:/etc/shadow文件权限为400，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/shadow文件权限不为400，不符合要求，建议设置权限为400" >> "/tmp/${ipadd}_checkResult.txt"
fi
#检测文件权限为600的文件
if [ $file4 = "-rw-------" ];then
  echo "Y:/etc/security文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/security文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file6 = "-rw-------" ];then
  echo "Y:/etc/xinetd.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/xinetd.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file7 = "-rw-------" ];then
  echo "Y:/etc/grub.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/grub.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ -f /etc/lilo.conf ];then
  if [ $file8 = "-rw-------" ];then
    echo "Y:/etc/lilo.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
  else
    echo "N:/etc/lilo.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt"
  fi
  
else
  echo "N:/etc/lilo.conf文件夹不存在"
fi
#检测文件权限为644的文件
if [ $file1 = "-rw-r--r--" ];then
  echo "Y:/etc/passwd文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/passwd文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file5 = "-rw-r--r--" ];then
  echo "Y:/etc/services文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/services文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file3 = "-rw-r--r--" ];then
  echo "Y:/etc/group文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:/etc/group文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-02-02-02
#项目：文件系统-查找未授权的SUID/SGID文件
#合格：Y;不合格：N
#不合格地方
echo "SBL-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt"
unauthorizedfile=`find / \( -perm -04000 -o -perm -02000 \) -type f `
echo "C:文件${unauthorizedfile}设置了SUID/SGID，请检查是否授权" >> "/tmp/${ipadd}_checkResult.txt"
#编号：SBL-Linux-02-02-03
#项目：文件系统-检查任何人都有写权限的目录
#合格：Y;不合格：N;检查：C
#不合格地方
echo "SBL-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteDre=$(find / -xdev -mount -type d \( -perm -0002 -a ! -perm -1000 \) 2> /dev/null)
if [  -z "${checkWriteDre}" ];then
  echo "Y:不存在任何人都有写权限的目录，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:${checkWriteDre}目录任何人都可以写，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi  
#编号：SBL-Linux-02-02-04
#项目：文件系统-检查任何人都有写权限的文件
#合格：Y;不合格：N;检查：C
#不合格地方
echo "SBL-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteFile=$(find / -xdev -mount -type f \( -perm -0002 -a ! -perm -1000 \) 2> /dev/null)
if [  -z "${checkWriteFile}" ];then
  echo "Y:不存在任何人都有写权限的目录，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:${checkWriteFile}目录任何人都可以写，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi  
#编号：SBL-Linux-02-02-05
#项目：文件系统-检查异常隐含文件
#合格：Y;不合格：N;检查：C
#不合格地方
echo "SBL-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt"
hideFile=$(find / -xdev -mount \( -name "..*" -o -name "...*" \) 2> /dev/null)
if [  -z "${hideFile}" ];then
  echo "Y:不存在隐藏文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
  echo "N:${hideFile}是隐藏文件，建议审视" >> "/tmp/${ipadd}_checkResult.txt"
fi  
#编号：SBL-Linux-03-01-01 
#项目：日志审计-syslog登录事件记录
#合格：Y;不合格：N;检查：C
#不合格地方
echo "SBL-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
recodeFile=$(cat /etc/syslog.conf)
if [  ! -z "${recodeFile}" ];then
   logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.*)
  if [ ! -z "${logFile}" ];then
    echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
  else
    echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
  fi
else
  echo "N:不存在／etc/syslog.conf文件，建议对所有登录事件都记录" >> "/tmp/${ipadd}_checkResult.txt"
fi  
#编号：SBL-Linux-03-01-02
#项目：系统文件-检查日志审核功能是否开启
#合格：Y;不合格：N;检查：C
echo "SBL-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
auditdStatus=$(service auditd status 2> /dev/null)
if [ $? = 0 ];then
  echo "Y:系统日志审核功能已开启，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $? = 3 ];then
  echo "N:系统日志审核功能已关闭，不符合要求，建议service auditd start开启" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-04-01-01 
#项目：系统文件-系统core dump状态
#合格：Y;不合格：N;检查：C
echo "SBL-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core)
if [ $? -eq 0 ];then
  soft=`cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2}`
  for i in $soft
  do
    if [ "$i"x = "soft"x ];then
      echo "Y:* soft core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt"
    fi
    if [ "$i"x = "hard"x ];then
      echo "Y:* hard core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt"
    fi
  done
else 
  echo "N:没有设置core，建议在/etc/security/limits.conf中添加* soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt"
fi
#编号：SBL-Linux-04-01-02
#项目：系统文件-检查磁盘动态空间，是否大于等于80%
#合格：Y;不合格：N;检查：C
#
echo "SBL-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}')
for i in $space
do
  if [ $i -ge 80 ];then
    echo "C:警告！磁盘存储容量大于80%,建议扩充磁盘容量或者删除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt"
  fi
done
最后编辑于 ：
©著作权归作者所有,转载或内容合作请联系作者
  • 人面猴
    序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
    沈念sama阅读 202,980评论 5赞 476
  • 死咒
    序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
    沈念sama阅读 85,178评论 2赞 380
  • 救了他两次的神仙让他今天三更去死
    文/潘晓璐 我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
    开封第一讲书人阅读 149,868评论 0赞 336
  • 道士缉凶录：失踪的卖姜人
    文/不坏的土叔 我叫张陵，是天一观的道长。 经常有香客问我，道长，这世上最难降的妖魔是什么？ 我笑而不...
    开封第一讲书人阅读 54,498评论 1赞 273
  • 港岛之恋（遗憾婚礼）
    正文 为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
    茶点故事阅读 63,492评论 5赞 364
  • 恶毒庶女顶嫁案：这布局不是一般人想出来的
    文/花漫 我一把揭开白布。 她就那样静静地躺着，像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上，一...
    开封第一讲书人阅读 48,521评论 1赞 281
  • 城市分裂传说
    那天，我揣着相机与录音，去河边找鬼。 笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。 我是一名探鬼主播，决...
    沈念sama阅读 37,910评论 3赞 395
  • 双鸳鸯连环套：你想象不到人心有多黑
    文/苍兰香墨 我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
    开封第一讲书人阅读 36,569评论 0赞 256
  • 万荣杀人案实录
    序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
    沈念sama阅读 40,793评论 1赞 296
  • 护林员之死
    正文 独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 35,559评论 2赞 319
  • 白月光启示录
    正文 我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 37,639评论 1赞 329
  • 活死人
    序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
    沈念sama阅读 33,342评论 4赞 318
  • 日本核电站爆炸内幕
    正文 年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
    茶点故事阅读 38,931评论 3赞 307
  • 男人毒药：我在死后第九天来索命
    文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 29,904评论 0赞 19
  • 一桩弑父案，背后竟有这般阴谋
    文/苍兰香墨 我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 31,144评论 1赞 259
  • 情欲美人皮
    我被黑心中介骗来泰国打工， 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。 一个月前我还...
    沈念sama阅读 42,833评论 2赞 349
  • 代替公主和亲
    正文 我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
    茶点故事阅读 42,350评论 2赞 342

推荐阅读更多精彩内容