适合加noexec的分区是/tmp、/var/tmp、/home及独立挂载的/var/www，核心原则为用户可写且无需直接执行程序；需配合nosuid、nodev使用，并注意解释器执行不受影响。
在Linux系统中，noexec 是一个关键的安全挂载选项，它能阻止在指定挂载点上执行任何二进制文件或脚本，从而有效缓解恶意代码（如上传的Web shell、临时编译程序）被执行的风险。正确配置 noexec 需结合分区用途判断，并非所有分区都适合启用——例如 /、/usr、/bin 等必须可执行的根目录不能加 noexec；而 /tmp、/var/tmp、/home 等用户可写区域则是重点加固对象。
哪些分区适合加 noexec？
核心原则是：**用户可写 + 无需直接执行程序的挂载点**。常见推荐如下：
-
/tmp：临时文件存放地，极少需要执行，但常被攻击者利用上传并运行恶意 payload -
/var/tmp：同/tmp，生命周期更长，同样高风险 -
/home：普通用户主目录，默认允许执行，但多数日常操作（文档、图片、配置）不依赖执行权限；启用后可阻断用户自行编译/运行未授权程序 -
/var/www（若独立挂载）：Web 根目录，PHP/Python 脚本由 Web 服务器解释执行，不应允许直接chmod +x && ./xxx运行
临时启用 noexec（测试用）
使用 mount -o remount,noexec 可立即生效，无需重启，适合验证兼容性：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 对
/tmp：运行sudo mount -o remount,noexec /tmp - 验证是否生效：尝试在
/tmp中创建并执行脚本，应提示Permission denied - 若发现业务异常（如某软件强制要求在
/tmp编译运行），说明不兼容，需回退：sudo mount -o remount,exec /tmp
永久配置 noexec（修改 /etc/fstab）
编辑 /etc/fstab，在对应分区的挂载选项字段（第4列）添加 noexec，多个选项用逗号分隔，不加空格：
- 示例（为
/tmp添加 noexec）：tmpfs /tmp tmpfs defaults,nosuid,nodev,noexec 0 0 - 示例（为独立
/home分区添加）：UUID=xxxx /home ext4 defaults,nosuid,nodev,noexec 1 2 - 修改后务必执行
sudo mount -a测试语法是否正确，无报错再重启或重新挂载
注意事项与补充建议
noexec 是纵深防御的一环，需配合其他选项使用才更有效：
- 总是搭配
nosuid和nodev：防止 setuid 提权和设备文件滥用 - 注意
noexec不影响解释器执行（如python script.py仍可运行），但它禁止./script.py直接执行——这是设计使然，不是漏洞 - 某些旧版应用（如部分 Java 启动脚本）可能依赖
/tmp执行临时二进制，上线前务必充分测试 - 若需临时绕过（如运维调试），可用
mount -o remount,exec /mountpoint，操作完及时恢复
