怎么在Linux利用Chattr-I锁定核心配置文件防止具有Root权限的破坏-linux运维-PHP中文网

chattr +i 是 linux 中通过文件系统元数据实现的不可变属性，可阻止包括 root 在内的任何用户修改、删除或重命名文件，常用于锁定 /etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 等核心配置文件以防范篡改。

怎么在linux利用chattr-i锁定核心配置文件防止具有root权限的破坏

chattr +i 是 Linux 中最底层、最硬核的文件保护手段之一，它直接作用于文件系统元数据，能让即使 root 用户也无法修改、删除或重命名目标文件——除非先解除该属性。这在防范恶意脚本、误操作甚至部分提权后的破坏行为时非常关键。

但要注意：+i 不是万能盾牌，它只防“改”，不防“读”；启用后连 root 也受限，所以必须慎用、精准用。

为什么用 `chattr +i` 锁核心配置文件？

/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow 是用户身份与权限的根基。
一旦被篡改（比如添加恶意 root 用户、清空 shadow 密码），系统就可能彻底失守。
普通权限控制（如 chmod、SELinux、AppArmor）都运行在内核之上，而 chattr +i 是内核对 ext4/xfs 等文件系统的原生支持，优先级更高。
即使攻击者已拿到 root shell，只要没先执行 chattr -i，就无法覆盖这些文件。

哪些文件适合加 `+i`？

以下四类文件是加固首选，也是 CentOS/RHEL 系统安全配置中明确推荐的：

/etc/passwd —— 用户账户基本信息（UID/GID/Shell/家目录等）
/etc/shadow —— 加密密码及口令策略（必须锁定！）
/etc/group —— 用户组定义
/etc/gshadow —— 组密码与管理员列表

⚠️ 注意：不要给 /etc/passwd 或 /etc/shadow 加 +i 后再运行 useradd、passwd 等命令，否则会失败。日常运维中建议仅在系统稳定、无需频繁增删用户时启用；或配合自动化流程，在变更前临时解锁、变更后立即重锁。

Linux installer
先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

实际操作步骤（需 root 权限）

# 1. 先确认当前属性（应为空或不含 i）
lsattr /etc/passwd /etc/shadow /etc/group /etc/gshadow

# 2. 一次性加不可修改属性（i = Immutable）
chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/group
chattr +i /etc/gshadow

# 3. 验证是否生效
lsattr /etc/passwd /etc/shadow /etc/group /etc/gshadow
# 输出应类似：----i---------e--- /etc/passwd

✅ 成功标志：lsattr 显示结果中包含字母 i，且无报错。

如何临时解除锁定（运维必需技能）

当需要新增用户、重置密码或调整组时：

# 先移除 i 属性
chattr -i /etc/passwd /etc/shadow /etc/group /etc/gshadow

# 执行变更（例如）
useradd -m -s /bin/bash alice
echo "alice:password123" | chpasswd

# 变更完成，立刻重新上锁
chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow