生产环境实战：Linux 系统中 “/tmp 目录权限过大” 的安全风险与整改方案

Linux 系统中 “/tmp 目录权限过大” 的安全风险与整改方案

在 Linux 生产环境中，/tmp 目录用于存储临时文件，但权限设置不当（如默认的 777 权限）会引入严重安全风险。本文将从风险分析入手，逐步提供实战整改方案，确保系统安全可靠。

一、安全风险分析

/tmp 目录权限过大（例如权限值为 777）意味着任何用户（包括非特权用户）都能读写和执行文件。这会带来以下具体风险：

• 恶意软件传播风险：攻击者可上传恶意脚本（如 shell 脚本或二进制文件）到 /tmp，并通过 cron 任务或 web 服务执行，导致系统被入侵。例如，权限为 777 时，任何用户都能创建文件 $ /tmp/exploit.sh$。
• 敏感数据泄露风险：应用程序可能在 /tmp 中存储临时数据（如数据库缓存或日志）。权限过大时，未授权用户可读取这些文件，泄露密码、密钥等敏感信息。
• 权限提升攻击风险：攻击者利用 /tmp 中的可执行文件进行提权。例如，通过 setuid 程序或符号链接攻击，获取 root 权限。
• 资源滥用风险：用户可无限写入文件，导致磁盘空间耗尽，引发服务中断。

这些风险在生产环境中尤为严重，可能造成数据泄露、服务瘫痪或合规违规。根据统计，权限问题在 Linux 安全事件中占比约 15%（来源：行业报告）。

二、整改方案

整改核心是限制权限，确保只有所有者能删除文件，同时允许临时文件创建。推荐使用 sticky bit（权限值 1777），并结合其他加固措施。以下是实战步骤：

步骤 1: 检查当前权限

使用命令检查 /tmp 权限：

ls -ld /tmp

输出示例：

drwxrwxrwt 10 root root 4096 Jan 1 12:00 /tmp

• 如果权限为 drwxrwxrwx（即 777），需立即整改。
• 符号 t 表示 sticky bit 已设置（权限值 1777），这是安全状态。

步骤 2: 设置安全权限

执行以下命令修改权限：

sudo chmod 1777 /tmp  # 设置 sticky bit，确保只有文件所有者能删除文件
sudo chown root:root /tmp  # 确保所有者为 root

• 权限解释：
  • 1777：第一个 1 表示 sticky bit，777 允许所有用户读写执行，但 sticky bit 限制文件删除。
  • 数学表示权限值：$1777 = 1 \times 512 + 7 \times 64 + 7 \times 8 + 7 \times 1$（二进制分解）。
• 独立公式说明权限计算： Linux 权限基于八进制，每个数字代表用户、组和其他权限。sticky bit 添加额外控制： $$ \text{权限值} = \text{sticky_bit} \times 1000 + \text{user} \times 100 + \text{group} \times 10 + \text{other} \times 1 $$ 其中，sticky_bit 为 1 时生效。

步骤 3: 额外加固措施

• 使用 tmpfs：将 /tmp 挂载为内存文件系统，减少磁盘 I/O 并自动清理：

  echo "tmpfs /tmp tmpfs defaults,noexec,nosuid,size=1G 0 0" | sudo tee -a /etc/fstab
  sudo mount -o remount /tmp
  

  • noexec 阻止执行文件，nosuid 禁用 setuid，提升安全。
• 定期清理：添加 cron 任务，每天清理旧文件：

  sudo crontab -e
  # 添加行：0 2 * * * find /tmp -type f -atime +1 -delete
  

• 审计与监控：使用工具如 auditd 监控 /tmp 访问：

  sudo auditctl -w /tmp -p wa -k tmp_access
  

步骤 4: 验证整改效果

• 检查权限：ls -ld /tmp 应显示 drwxrwxrwt。
• 测试安全性：尝试以普通用户身份删除他人文件：

  touch /tmp/testfile
  sudo chown otheruser /tmp/testfile
  rm /tmp/testfile  # 应失败，提示 "Operation not permitted"
  

三、最佳实践总结

• 权限原则：始终设置 /tmp 为 1777，并避免使用 777。
• 生产环境建议：
  • 在系统部署时，通过 Ansible 或 Puppet 自动化权限设置。
  • 结合 SELinux 或 AppArmor 进行强制访问控制。
  • 定期审计：使用 lynis audit system 扫描权限漏洞。
• 风险缓解：如果应用依赖 /tmp，确保其使用子目录并设置严格权限（如 700）。

通过以上方案，您能有效降低安全风险，符合 CIS Linux Benchmark 标准。实战中，测试环境先验证，再应用到生产，以避免服务中断。