麒麟系统中禁止普通用户执行指定脚本的三种有效方法：一是用kysec内核级标记拒绝执行，二是通过pam模块会话层拦截，三是移除读权限并变更属主实现硬隔离。
在麒麟系统中，普通用户能直接执行脚本往往是因为该脚本具有可执行权限且未受系统级策略拦截，要禁止其运行指定路径的脚本（如 /home/user/tools/unsafe.sh），必须绕过用户自行 chmod +x 的规避行为，采用内核或会话层强制拦截机制。
通过KYSEC执行控制模块标记拒绝执行
此方法作用于内核安全子系统，对特定文件路径打上“拒绝执行”标签，无论权限如何、是否加了x位、是否用bash -c调用，均被实时拦截，且不依赖用户shell配置。
方法一：命令行直接设置拒绝标签
以root身份执行：kysec_set -n exectl -v denied /home/user/tools/unsafe.sh
【注意：-v denied 是唯一有效的拒绝值，使用 rejected、forbidden 等无效；路径必须为绝对路径，不能含通配符或环境变量】
方法二：批量拒绝多个脚本
新建拒绝列表文件 /tmp/deny_list.txt，每行一个绝对路径：
/home/user/tools/unsafe.sh
/opt/malware/test.py
/usr/local/bin/autorun.sh
执行：kysec_set -n exectl -v denied -f /tmp/deny_list.txt
执行后立即生效，无需重启。验证方式：切换至普通用户，运行 /home/user/tools/unsafe.sh → 终端直接报错 “Permission denied”，且不弹出KYSEC授权框。
通过PAM模块在会话启动时拦截脚本调用
适用于需精细控制调用上下文的场景，例如只禁止从终端直接执行，但允许systemd服务调用——此时KYSEC无法区分上下文，而PAM可以。
第一步：创建拦截脚本
执行 sudo nano /usr/local/bin/block_script_exec.sh，写入以下内容：
#!/bin/sh
if [ "$PAM_TYPE" = "auth" ] && [ "$PAM_SERVICE" = "login" ]; then
case "$PAM_USER" in
guest|student)
if echo "$PAM_RHOST" | grep -qE '^(192\.168\.10\.|10\.0\.0\.)'; then
if [ -n "$PAM_TTY" ] && [ "$PAM_TTY" != "tty1" ]; then
for script in /home/student/scripts/*.sh; do
if [ "$(readlink -f "" 2>/dev/null)" = "$(readlink -f "$script" 2>/dev/null)" ]; then
exit 1
fi
done
fi
fi
esac
fi
exit 0
第二步：赋予执行权限并注册到PAM
sudo chmod +x /usr/local/bin/block_script_exec.sh
编辑 /etc/pam.d/login，在末尾添加一行：
auth [default=bad success=ok] pam_exec.so quiet /usr/local/bin/block_script_exec.sh
第三步：测试拦截效果
切换至 student 用户，在终端中执行 bash /home/student/scripts/exploit.sh → 命令立即退出，无任何输出，返回码为1。
通过移除脚本文件的读取权限实现硬性隔离
当目标脚本仅需阻止普通用户执行，且不关心是否被复制或重命名时，最简单有效的方式是剥夺其基本访问权——没有读权限，连解析shebang都做不到，bash -c "$(cat ...)"也会失败。
第一步：确认当前归属与权限
运行 ls -l /home/user/tools/unsafe.sh，若显示 -rwxr-xr-x user user，则所有者有完整权限，但组和其他用户仍可读可执行。
第二步：收回非所有者读权限
执行 sudo chmod go-r /home/user/tools/unsafe.sh
这一步将权限改为 -rwx------，即只有所有者能读、写、执行，其他用户连 cat 都失败。
第三步：防止用户自行恢复权限
执行 sudo chown root:root /home/user/tools/unsafe.sh → 所有者变为root，普通用户即使有写权限也无法修改chmod或chown。
【关键前提】必须确保该脚本不在用户主目录下可写子目录中，否则用户可能 cp 复制一份再 chmod；建议将其移至 /opt/restricted/ 或 /usr/local/restricted/ 并设为 root:root 600。
