怎么实施针对 Web 服务器运行用户权限的降权隔离防范代码执行实战-安全-PHP中文网

web服务器运行用户权限降权隔离本质是将账号钉死在最小操作边界：禁用登录、限定文件访问、剥离高危组、中间件强制绑定，实现账号—目录—进程—配置四层咬合。

怎么实施针对 web 服务器运行用户权限的降权隔离防范代码执行实战

Web 服务器运行用户权限降权隔离，本质是让 www-data、nginx 或自建账号（如 webproc）只做它该做的事：读静态文件、转发请求、写上传内容——但绝不允许登录、执行命令、读配置、跨目录访问，更不能碰系统二进制或敏感组。这不是加一道锁，而是把账号“钉死”在最小操作边界里。

一、彻底禁用交互式登录能力
攻击者一旦拿下 WebShell，第一件事就是 su - www-data 或 bash -p 提权。必须从系统层切断这条路：

Linux 执行：
```
sudo usermod -s /usr/sbin/nologin www-data  
sudo usermod -d /nonexistent www-data
```
检查 /etc/passwd 中该行末尾是否为 /nologin，家目录字段是否为空或 /nonexistent
Windows 下（IIS）：
在“本地用户和组”中确认 IIS_IUSRS 未勾选“允许本地登录”“通过远程桌面服务登录”，且登录脚本、Profile 路径为空

二、文件系统权限按用途物理切分
权限不是“统一设755就完事”，而是每个目录有唯一角色、唯一权限组合：

网站根目录（如 /var/www/html）：
chown -R webproc:nginx-sec /var/www/html
chmod 750 /var/www/html（仅 owner 可读写执行，组可读+执行，其他无权）
上传目录（如 /var/www/html/uploads）：
chmod 750 /var/www/html/uploads，但必须配合 Nginx 配置禁用脚本执行：
```
location ~ ^/uploads/.*\.(php|py|pl|sh|rb|jsp|asp)$ {
    deny all;
}
```
配置文件（/etc/nginx/、/etc/php/）：
所有者设为 root:root，权限 640，确保 webproc 组无读权限
日志目录（/var/log/nginx/）：
chown root:adm /var/log/nginx，chmod 750，webproc 不加入 adm 组

三、剥离高危系统组并锁定执行环境
默认 www-data 常被自动塞进 adm、sudo、docker 等组，这是提权捷径：

查当前归属：groups www-data

清理非必要组：

sudo deluser www-data adm  
sudo deluser www-data sudo  
sudo deluser www-data docker  
sudo deluser www-data systemd-journal

禁用危险二进制对运行用户的执行权：
```
sudo chmod 750 /bin/sh /bin/bash /usr/bin/perl /usr/bin/python3  
sudo chgrp root /bin/sh /bin/bash  
```
（确保 webproc 不在 root 组，且组无执行位）

8spAi
8spAi - 创作、绘画、思维导图一站搞定！

下载

四、中间件层强制绑定与约束
账号降权若不配中间件同步控制，等于开门揖盗：

Nginx：主配置 nginx.conf 顶部明确写：
```
user webproc nginx-sec;
worker_processes auto;
```
关闭 autoindex on、禁用 include 动态加载、移除所有 php_admin_flag 指令

PHP-FPM：www.conf 中设：

user = webproc  
group = nginx-sec  
listen.owner = webproc  
listen.group = nginx-sec

Apache：httpd.conf 中设 User webproc + Group nginx-sec，禁用 mod_userdir 和 mod_info

降权不是一步到位，而是“账号—目录—进程—配置”四层咬合。每层松动，整套防线就失效。真正安全的 Web 用户，应该连 ls /etc 都失败，cat /etc/passwd 权限拒绝，id 显示只有两个组，ps aux | grep webproc 只见 worker 进程——干净、受限、不可逃逸。