AIX-三级现场测评命令单
IBM AIX（示例版本 AIX 7.2）服务器三级等保现场测评取证命令单：oslevel、oslevel -r、uname -a 与 ifconfig -a 系统版本与网络核查，/etc/passwd、/etc/security/passwd、/etc/security/user、/etc/security/login.cfg 与 lsrole -f ALL、lsuser ALL 账户与口令策略核查，sshd_config 与 ssh -Q cipher/mac/kex 远程接入与算法核查，以及安全审计、关键文件权限、最小安装与补丁、时钟同步与计划任务、入侵防范、安全基线与完整性核查，逐条给出预期现象与判定要点。
Categories:
7 分钟阅读
示例版本：AIX 7.2
说明：IBM 文档可直接支撑 oslevel 与 lssrc 的典型输出格式；对随现场变化的值仅描述关键字段。
定位：三级等保现场测评取证命令单，按功能小节组织核查命令、预期现象与判定要点。
系统版本核查
oslevel
- 预期现象：应输出系统版本级别；IBM 示例格式为 6.1.0.0，在 AIX 7.2 环境中通常表现为 7.2.x.x。
示例输出（节选）
7.2.0.0
oslevel -r
- 预期现象：应输出技术级别，常见格式类似 5300-02、6100-00。
示例输出（节选）
7200-07
uname -a
- 预期现象：应显示系统名、节点名、版本、架构等信息。
示例输出（节选）
AIX aixprod 2 7 00F8A3CC4C00
ifconfig -a
- 预期现象：应显示网络接口和 IP 信息。
示例输出（节选）
en0: flags=1e080863,480<UP,BROADCAST,NOTRAILERS,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
inet 192.168.10.21 netmask 0xffffff00 broadcast 192.168.10.255
lo0: flags=e08084b,c<UP,BROADCAST,LOOPBACK,RUNNING,SIMPLEX,MULTICAST,GROUPRT,64BIT>
inet 127.0.0.1 netmask 0xff000000 broadcast 127.0.0.1
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)、d)（最小安装与漏洞修补核查所需的版本、补丁现状基础信息）。
- 判定要点：版本与技术级别可准确取证且与批准基线一致记符合；技术级别过旧、补丁集缺失或版本无法确认记部分符合或不符合。
- 取证要求：留存 oslevel、oslevel -r、uname -a、ifconfig -a 输出截图（含主机名与采集时间）。
账户与口令策略核查
cat /etc/passwd
- 预期现象：应列出本地账户。
示例输出（节选）
root:!:0:0::/:/usr/bin/ksh
daemon:!:1:1::/etc:
bin:!:2:2::/bin:
sys:!:3:3::/usr/sys:
appuser:!:210:1::/home/appuser:/usr/bin/ksh
cat /etc/security/passwd
- 预期现象：应列出口令散列相关信息，通常需高权限。
示例输出（节选）
root:
password = {ssha512}06$xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
lastupdate = 1735689600
flags = ADMCHG
appuser:
password = {ssha512}06$yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy
lastupdate = 1722470400
cat /etc/security/user
- 预期现象：应显示用户口令默认设置。
示例输出（节选）
default:
admin = false
login = true
su = true
maxage = 12
minage = 1
minalpha = 2
minother = 2
mindiff = 3
loginretries = 5
histexpire = 26
histsize = 5
cat /etc/security/login.cfg
- 预期现象：应显示登录策略参数。
示例输出（节选）
default:
logindelay = 4
logintimeout = 60
logininterval = 600
maxlogins = 32
usw:
shells = /bin/sh,/bin/bsh,/bin/csh,/bin/ksh,/usr/bin/ksh
lsrole -f ALL
- 预期现象：应显示角色定义和属性。
示例输出（节选）
ManageAllUsers:
authorized_roles=ALL
default_roles=
screen=NONE
visibility=1
Operator:
authorized_roles=ManageBasicUsers
default_roles=
screen=NONE
visibility=1
SecurityAdmin:
authorized_roles=ALL
default_roles=
screen=sec_ww
visibility=1
lsuser ALL
- 预期现象：应显示用户属性。
示例输出（节选）
root id=0 pgrp=system groups=system,bin,adm,security home=/ shell=/usr/bin/ksh
daemon id=1 pgrp=staff groups=staff home=/etc shell=/usr/bin/ksh
bin id=2 pgrp=bin groups=bin home=/bin shell=/usr/bin/ksh
appuser id=210 pgrp=staff groups=staff,audit home=/home/appuser shell=/usr/bin/ksh
- 对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)（身份标识唯一、鉴别信息复杂度并定期更换）与 8.1.4.2 访问控制 a)、d)（账户与最小权限/权限分离）。
- 判定要点：/etc/security/user 中 default 及特权账户的 maxage、minage、minalpha、minother、mindiff、loginretries、histexpire、histsize 均有效配置（AIX 以自身口令策略机制实现复杂度控制，不使用 Linux 的 pam_pwquality），且 loginretries 失败锁定与 login.cfg 登录限制生效记符合；关键字段为 0 或空记部分符合或不符合。
- 取证要求：留存 /etc/passwd、/etc/security/passwd（散列可脱敏）、/etc/security/user、/etc/security/login.cfg、lsuser ALL、lsrole -f ALL 输出截图。
- 高风险提示：存在弱口令、空口令或未启用口令复杂度与定期更换策略，按高风险判例处理，见 22、高风险判定指引与加固对照表。
远程接入与服务核查
cat /etc/ssh/sshd_config
- 预期现象：应显示 SSH 服务端配置，可核查认证方式、算法和访问控制参数。
示例输出（节选）
Port 22
Protocol 2
PermitRootLogin no
MaxAuthTries 4
LoginGraceTime 60
PasswordAuthentication yes
PubkeyAuthentication yes
X11Forwarding no
Subsystem sftp /usr/sbin/sftp-server
ssh -Q cipher
- 预期现象：安装 OpenSSH 时应列出客户端支持的对称加密算法。
示例输出（节选）
3des-cbc
aes128-cbc
aes192-cbc
aes256-cbc
aes128-ctr
aes192-ctr
aes256-ctr
ssh -Q mac
- 预期现象：安装 OpenSSH 时应列出客户端支持的 MAC 算法。
示例输出（节选）
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
ssh -Q kex
- 预期现象：安装 OpenSSH 时应列出客户端支持的密钥交换算法。
示例输出（节选）
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
curve25519-sha256
ssh -Q key
- 预期现象：安装 OpenSSH 时应列出客户端支持的主机密钥/公钥算法。
示例输出（节选）
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ssh-ed25519
rsa-sha2-256
rsa-sha2-512
ssh -V
- 预期现象：应输出 OpenSSH 版本号。
示例输出（节选）
OpenSSH_8.1p1, OpenSSL 1.1.1k 25 Mar 2021
lssrc -s sshd
- 预期现象：sshd 在 IBM OpenSSH 安装时注册为 SRC 子系统，输出通常包含 Subsystem、Group、PID、Status 列。
示例输出（节选）
Subsystem Group PID Status
ssh 4849924 active
lssrc -a | grep sshd
- 预期现象：在 SRC 全量子系统列表中应能看到 sshd 状态。
示例输出（节选）
Subsystem Group PID Status
sshd 4849924 active
grep telnet /etc/inetd.conf
- 预期现象：telnet 由 inetd 按需拉起，非独立 SRC 子系统；条目以 # 注释表示 telnet 未提供，未注释时结合 netstat 确认监听状态。
示例输出（节选）
#telnet stream tcp6 nowait root /usr/sbin/telnetd telnetd
grep ftp /etc/inetd.conf
- 预期现象：ftp 由 inetd 按需拉起，非独立 SRC 子系统；条目以 # 注释表示 ftp 未提供，未注释时结合 netstat 确认监听状态。
示例输出（节选）
#ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd
netstat -an | grep 21
- 预期现象：启用 FTP 时应看到 21 端口监听或连接信息。
示例输出（节选）
tcp4 0 0 *.21 *.* LISTEN
netstat -an | grep 22
- 预期现象：启用 SSH 时应看到 22 端口监听或连接信息。
示例输出（节选）
tcp4 0 0 *.22 *.* LISTEN
tcp4 0 0 192.168.10.21.22 192.168.10.5.52341 ESTABLISHED
netstat -an | grep 23
- 预期现象：启用 Telnet 时应看到 23 端口监听或连接信息。
示例输出（节选）
# telnet 未启用时通常无输出
cat /etc/inetd.conf
- 预期现象：应显示 inetd 管理的服务配置。
示例输出（节选）
#ftp stream tcp6 nowait root /usr/sbin/ftpd ftpd
#telnet stream tcp6 nowait root /usr/sbin/telnetd telnetd
#shell stream tcp6 nowait root /usr/sbin/rshd rshd
#login stream tcp6 nowait root /usr/sbin/rlogind rlogind
lssrc -ls inetd
- 预期现象：应显示 inetd 当前管理的服务信息。
示例输出（节选）
Subsystem Group PID Status
inetd tcpip 3768502 active
Source /etc/inetd.conf
Service command status:
ftp comments disabled
telnet comments disabled
- 对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 c)（远程管理防窃听）与 8.1.4.4 入侵防范 b)、c)（关闭不必要服务、限制管理终端接入范围）。
- 判定要点：远程管理仅经 SSH 等加密协议、telnet/ftp 等明文服务未启用且 sshd 限定访问来源记符合；存在明文远程服务启用即记不符合。
- 取证要求：留存 sshd_config 关键参数、ssh -V/ssh -Q 输出、lssrc -s sshd、/etc/inetd.conf、lssrc -ls inetd、netstat -an 端口核对截图。
- 高风险提示：采用 telnet、ftp 等明文协议远程管理，按高风险判例处理，见 22、高风险判定指引与加固对照表。
安全审计核查
现场核查一律使用只读命令；若发现审计未启用，不得擅自执行 audit start、audit on 等变更操作（影响系统性能且属配置变更），应记录不符合项并转入整改流程。
ps -ef | grep syslog
- 预期现象：运行 syslog 时应看到相关进程。
示例输出（节选）
root 4849924 1 0 Aug 18 - 0:04 /usr/sbin/syslogd
root 56623152 58327242 1 09:32:44 pts/0 0:00 grep syslog
lssrc -s syslogd
- 预期现象：应显示 syslogd 状态。
示例输出（节选）
Subsystem Group PID Status
syslogd ras 4849924 active
audit query
- 预期现象：审计开启时应显示 auditing on、bin manager 进程号及审计事件类、审计对象清单。
示例输出（节选）
auditing on
bin manager is process number 4630536
audit events:
general- USER_SU,PASSWORD_Change,FILE_Unlink
audit objects:
/etc/security/passwd :
r = S_PASSWD_READ
/etc/security/user :
w = S_USER_WRITE
/usr/sbin/audit query
- 预期现象：应显示与 audit query 相同的状态信息。
示例输出（节选）
auditing on
bin manager is process number 4630536
audit events:
general- USER_SU,PASSWORD_Change,FILE_Unlink
ps -ef | grep audit
- 预期现象：AIX 审计子系统不由 SRC 管理（由 audit start/audit shutdown 控制），开启时应看到 auditbin 守护进程及 streamcmds 定义的 auditstream|auditpr 管道进程。
示例输出（节选）
root 4630536 1 0 Aug 18 - 0:00 /usr/sbin/auditbin
root 4630538 1 0 Aug 18 - 0:02 /bin/ksh /usr/sbin/auditstream | /usr/sbin/auditpr -v > /audit/stream.out
root 56623152 58327242 1 09:32:44 pts/0 0:00 grep audit
cat /etc/security/audit/config
- 预期现象：应显示审计配置。
示例输出（节选）
start:
binmode = on
streammode = on
bin:
trail = /audit/trail
binsize = 25000
classes:
general = USER_SU,PASSWORD_Change,FILE_Unlink
users:
root = general
appuser = general
objects:
/etc/security/passwd:
r = S_PASSWD_READ
/etc/security/user:
w = S_USER_WRITE
- 说明：config 含 start、bin、classes、users、objects 五个 stanza；对象审计条目（如 S_PASSWD_READ）写在 objects stanza，不能混入 classes。
cat /etc/syslog.conf
- 预期现象：应显示日志规则和转发配置。
示例输出（节选）
*.err;kern.debug;daemon.notice;mail.crit /var/adm/messages
auth.info /var/adm/authlog
*.notice @loghost.example.local
/usr/sbin/auditpr -v < /audit/trail
- 预期现象：auditpr 从标准输入读取二进制审计记录并按 /etc/security/audit/events 的格式定义显示记录尾（-v 为详细格式）；stream 模式可用 auditpr -v < /audit/stream.out 查看实时流文件。
示例输出（节选）
event loginstatus
command /usr/sbin/login
result FAILURE
login user=root tty=/dev/lft0 host=UNKNOWN
tail -n 20 /var/adm/sulog
- 预期现象：应输出最近的 su 操作日志（记录日期、时间、系统名、登录名及成功/失败标志）。
示例输出（节选）
su: GOOD su-by root on /dev/pts/0 at 08/24/26 08:31:02
su: BAD su-from appuser to root on /dev/pts/1 at 08/24/26 08:35:47
su: GOOD su-by appuser on /dev/pts/2 at 08/23/26 17:02:11
last -n 20
- 预期现象：应输出最近登录记录。
示例输出（节选）
appuser pts/1 192.168.10.55 Mon Aug 24 09:01 still logged in.
root pts/0 192.168.10.30 Mon Aug 24 08:30 - 08:45 (00:15)
appuser pts/2 192.168.10.55 Sun Aug 23 17:00 - 19:12 (02:12)
who /etc/security/failedlogin
- 预期现象：应显示失败登录记录。
示例输出（节选）
appuser pts/1 Aug 24 07:58 192.168.10.99
root pts/0 Aug 24 08:12 192.168.10.77
- 对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)、b)、c)、d)。
- 判定要点：audit 子系统 auditing on、审计事件覆盖登录/提权/口令变更等关键行为、审计记录与日志有保护及留存能力（不少于 6 个月）记符合；完全未启用审计记不符合。
- 取证要求：留存 audit query、/etc/security/audit/config、/etc/syslog.conf（含转发至日志服务器配置）、lssrc -s syslogd、sulog/wtmp/failedlogin 记录输出截图。
- 高风险提示：未开启任何安全审计功能，按高风险判例处理，见 22、高风险判定指引与加固对照表。
关键文件权限核查
ls -l /etc/passwd
- 预期现象：应显示关键文件权限。
示例输出（节选）
-rw-r--r-- 1 root security 1521 Mar 12 2025 /etc/passwd
ls -l /etc/security/user
- 预期现象：应显示关键文件权限。
示例输出（节选）
-rw------- 1 root security 8842 Feb 03 2025 user
ls -l /etc/security/login.cfg
- 预期现象：应显示关键文件权限。
示例输出（节选）
-rw-r--r-- 1 root security 3312 Nov 22 2024 login.cfg
ls -l /etc/syslog.conf
- 预期现象：应显示日志配置文件权限。
示例输出（节选）
-rw-r--r-- 1 root system 612 Jan 15 2025 /etc/syslog.conf
ls -l /var/adm/sulog
- 预期现象：应显示日志文件权限。
示例输出（节选）
-rw------- 1 root system 10240 Aug 24 09:12 /var/adm/sulog
ls -l /var/adm/wtmp
- 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-rw-r-- 1 adm adm 1048576 Aug 24 09:01 /var/adm/wtmp
ls -l /etc/utmp
- 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-rw-r-- 1 bin bin 480 Aug 24 09:01 /etc/utmp
ls -l /etc/security/failedlogin
- 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-r--r-- 1 root security 1200 Aug 24 08:12 failedlogin
ls -l /etc/security/lastlog
- 预期现象：应显示日志文件权限。
示例输出（节选）
-rw-r--r-- 1 root security 3400 Aug 24 09:01 lastlog
- 对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)、e)（账户/权限分配与访问控制策略）。
- 判定要点：关键安全文件属主为 root、属组为 security/system 且其他用户无写权限，口令散列与审计日志文件其他用户不可读写记符合；/etc/security/passwd 等全局可读写记不符合。
- 取证要求：留存各关键文件 ls -l 输出截图（含权限位、属主、属组）。
最小安装与补丁核查
lslpp -la | more
- 预期现象：应列出已安装软件清单。
示例输出（节选）
Fileset Level State Type Description
----------------------------------------------------------------------------
Path: /usr/lib/objrepos
bos.rte 7.2.5.0 COMMITTED R Base Operating System Runtime
openssh.base.client 8.1.102.1700 COMMITTED R Open Secure Shell Commands
openssh.base.server 8.1.102.1700 COMMITTED R Open Secure Shell Server
State codes:
A -- Applied.
C -- Committed.
instfix -i
- 预期现象：应显示补丁安装情况。
示例输出（节选）
All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
Not all filesets for 7200-02_AIX_ML were found.
instfix -i | grep AIX_ML
- 预期现象：应筛出 AIX_ML 级别补丁条目。
示例输出（节选）
All filesets for 7.2.0.0_AIX_ML were found.
All filesets for 7200-00_AIX_ML were found.
cat /etc/hosts.allow
- 预期现象：应显示允许地址规则；未配置时可能为空。注意 /etc/hosts.allow、/etc/hosts.deny 依赖 TCP Wrappers 支持：AIX 的 inetd 服务需安装 tcpd，且上游 OpenSSH 7.5 起已移除该支持，故 OpenSSH 8.1 下限制来源应以 sshd_config 的 AllowUsers/Match Address 或防火墙为准。
示例输出（节选）
sshd : 192.168.10.0/255.255.255.0 : ALLOW
cat /etc/hosts.deny
- 预期现象：应显示拒绝地址规则；未配置时可能为空。
示例输出（节选）
# 未配置拒绝规则时通常为空或仅有注释行
cat /etc/profile
- 预期现象：应显示登录环境和超时控制参数。
示例输出（节选）
export PATH=/usr/bin:/etc:/usr/sbin:$HOME/bin:/sbin
TMOUT=600 ; export TMOUT
umask 022
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)、b)、d)。
- 判定要点：不存在与业务无关的多余软件组件、instfix 补丁集完整（All filesets … were found）且 TMOUT 等超时与访问控制措施已配置记符合；存在高危遗留组件或补丁集长期缺失记部分符合或不符合。
- 取证要求：留存 lslpp -la、instfix -i、/etc/hosts.allow、/etc/hosts.deny、/etc/profile（TMOUT/umask）输出截图。
时钟同步与计划任务核查
lsattr -El sys0
- 预期现象：应显示系统时钟、时区或相关系统属性配置。
示例输出（节选）
maxbuf 20 Maximum number of pages in block I/O BUFFER CACHE True
modelname IBM,9000-32E Machine name False
systemid Hardware system identifier False
tz Asia/Shanghai Time zone (TZ) variable with DST suitability True
crontab -l
- 预期现象：应显示当前用户计划任务；无任务时可能为空或提示无计划任务。
示例输出（节选）
#0 2 * * 0 /usr/local/scripts/backup.sh >/dev/null 2>&1
30 1 * * * /usr/local/scripts/logclean.sh >/dev/null 2>&1
- 对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 b)（审计记录日期和时间准确）与 8.1.4.9 数据备份恢复 a)。
- 判定要点：时钟与可信 NTP 源同步、时区正确，备份/日志类计划任务经审批配置记符合；无任何同步与备份措施记部分符合或不符合。
- 取证要求：留存 lsattr -El sys0（时区属性）、crontab -l 输出及 NTP 配置（如 /etc/ntp.conf，可另行核查）截图。
- 高风险提示：重要数据无任何本地/异地备份措施，按高风险判例处理，见 22、高风险判定指引与加固对照表。
入侵防范核查
grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config
- 预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
PermitRootLogin no
LoginGraceTime 60
MaxAuthTries 4
AllowUsers opsadmin deploy
sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups'
- 预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
permitrootlogin no
logingracetime 60
maxauthtries 4
allowusers opsadmin deploy
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 b)、c)。
- 判定要点：sshd -T 显示的生效参数与配置文件一致、具备登录失败处理（MaxAuthTries/LoginGraceTime）并限定管理终端来源（AllowUsers/AllowGroups 等）记符合。
- 取证要求：留存 grep 参数行与 sshd -T 输出的对照截图（以 sshd -T 生效值为准）。
安全基线与完整性核查
cat /etc/motd
- 预期现象：应显示登录后提示或告警内容（如已配置）。
示例输出（节选）
******************************************************************
* 本系统为生产环境受控主机，仅限授权人员操作，操作将被审计。 *
******************************************************************
lslpp -L | head
- 预期现象：应显示已安装软件包摘要信息。
示例输出（节选）
Fileset Level State Type Description
----------------------------------------------------------------------------
bos.rte 7.2.5.0 C F Base Operating System Runtime
openssh.base.client 8.1.102.1700 C F Open Secure Shell Commands
openssh.base.server 8.1.102.1700 C F Open Secure Shell Server
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)（软件清单与批准基线一致性）。
- 判定要点：/etc/motd 告警内容与受控要求一致、lslpp -L 清单与批准基线一致且无未审批组件记符合。
- 取证要求：留存 /etc/motd 内容与 lslpp -L 输出截图。
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》8.1.4 安全计算环境：openstd.samr.gov.cn 标准页
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》：openstd.samr.gov.cn 标准页
- IBM AIX 7.2 oslevel 命令参考：https://www.ibm.com/docs/en/aix/7.2?topic=o-oslevel-command
- IBM AIX 7.2 lssrc 命令参考：https://www.ibm.com/docs/en/aix/7.2?topic=l-lssrc-command
- IBM AIX 7.2 audit 命令参考：https://www.ibm.com/docs/en/aix/7.2?topic=audit-command
- IBM AIX 7.2 auditpr 命令参考：https://www.ibm.com/docs/ssw_aix_72/a_commands/auditpr.html
- IBM AIX 7.2 lsrole 命令参考：https://www.ibm.com/docs/en/aix/7.2?topic=l-lsrole-command
- IBM AIX 文件与命令参考（utmp 文件、su 命令与 /var/adm/sulog）：https://www.ibm.com/docs/ssw_aix_72/filesreference/utmp.html 、https://www.ibm.com/docs/ssw_aix_72/s_commands/su.html
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准 T/ISEAA 001-2020）：上海交大信息安全服务技术研究实验室发布页
- 命令核验说明：本文命令已于 2026-09 对照 IBM AIX 官方文档核验；现场以实际 AIX 版本（6.1/7.x）为准。
关联文章
- 配套加固：17、加固方案总纲
- 取证记录：16、安全评估加固记录表3.0
- 高风险口径：22、高风险判定指引与加固对照表