Linux系统配置文件权限安全审计及违规权限自动修复方案-linux运维-PHP中文网

linux系统中关键配置文件权限过宽是常见安全隐患，修复需先识别高危文件（如/etc/shadow、/etc/sudoers等），再按最小权限原则设置（如000、440、600），最后通过定时审计、文件完整性监控和配置管理工具固化防护。

linux系统配置文件权限安全审计及违规权限自动修复方案

Linux系统中关键配置文件权限过宽（如644、755甚至777）是常见安全隐患，极易导致提权、配置篡改或信息泄露。修复核心思路是：先精准识别高危文件，再按最小权限原则重设权限，最后固化检查机制防止反复违规。

一、重点审计的高危配置文件清单

以下文件一旦权限宽松，可能被普通用户读取敏感信息或恶意修改：

/etc/shadow：必须为 000 或 400（仅root可读）
/etc/passwd：通常 644 安全，但若含明文密码（极罕见）则需 600
/etc/sudoers 和 /etc/sudoers.d/ 下所有文件：必须 440 或 400
/etc/ssh/sshd_config：建议 600，避免非授权查看密钥策略
/etc/crontab、/etc/cron.* 目录：应为 600 或 644（仅root写）

二、自动化权限审计脚本（bash）

以下脚本可一键扫描并输出越权文件（保存为 audit_perms.sh）：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

#!/bin/bash
declare -A CRITICAL_FILES=(
  ["/etc/shadow"]="000"
  ["/etc/sudoers"]="440"
  ["/etc/ssh/sshd_config"]="600"
  ["/etc/crontab"]="600"
)
echo "=== 权限审计结果 ==="
for file in "${!CRITICAL_FILES[@]}"; do
  [[ -f "$file" ]] || continue
  actual=$(stat -c "%a" "$file" 2>/dev/null)
  expected=${CRITICAL_FILES[$file]}
  if [[ "$actual" != "$expected" ]]; then
    echo "[WARN] $file: 当前 $actual ≠ 建议 $expected"
  fi
done

三、安全权限自动修复方案

修复脚本需以root运行，严格按预设规则修正，不盲目递归：

对 /etc/shadow 执行：chmod 000 /etc/shadow && chown root:root /etc/shadow
对 /etc/sudoers 及其目录：chmod 440 /etc/sudoers && chmod -R go-w /etc/sudoers.d/
统一加固SSH配置：chmod 600 /etc/ssh/sshd_config && chown root:root /etc/ssh/sshd_config
禁止非root写cron配置：chmod 600 /etc/crontab /etc/cron.*/* 2>/dev/null

四、长效防护机制建议

单次修复治标，需结合系统机制防复发：

将审计脚本加入 crontab 每日执行：0 2 * * * /path/to/audit_perms.sh | grep WARN | mail -s "权限告警" admin@local
使用 AIDE 或 Osquery 监控关键文件属性变更，实时告警
在Ansible/Puppet等配置管理工具中，将上述权限定义为强制策略，部署即生效
禁止开发人员直接登录生产服务器，通过跳板机+sudo限制操作范围