自动挂载与共享引入的路径
自动挂载与网络文件系统会把外部数据路径接进本机：被挂载的共享既可能是攻击者进入的通道，也可能是数据外带的中转位置。autofs 在访问时才挂载、空闲一段时间后自动卸载，因此 mount 的输出可能看不全，必须同时检查配置文件。NFS 与 CIFS 共享的挂载参数直接决定挂载点能否被用作执行路径或提权跳板，例如 rw 与 noexec 的差别会改变整个风险评估结论。
基本信息
| 配置文件 | /etc/fstab、/etc/auto.master、/etc/auto.* |
|---|---|
| 查看命令 | mount | grep -E 'nfs|cifs'、findmnt -t nfs,nfs4,cifs |
| 关键参数 | rw、noexec、nosuid、soft 与 hard |
| 注意 | 按需挂载的共享在空闲时会自动卸载 |
典型使用场景
- 确认主机当前与历史上挂载过哪些远程共享
- 判断共享目录是否具备执行条件，评估提权路径
- 排查数据外带的中转位置是否落在共享目录
- 核对 fstab 与自动挂载配置是否被改动
- 评估断开共享对业务的依赖影响
查看挂载与配置
查看挂载与配置
mount | grep -E 'nfs|cifs' # 当前已挂载的共享
findmnt -t nfs,nfs4,cifs # 结构化的挂载树视图
grep -vE '^\s*#|^\s*$' /etc/auto.master 2>/dev/null # 自动挂载主配置
cat /etc/auto.* 2>/dev/null | head -20 # 各映射文件内容
dmesg -T | grep -i nfs | tail -10 # 内核记录的挂载与超时消息
ls -lt --time-style=long-iso /etc/fstab /etc/auto.* 2>/dev/null # 配置文件改动时间挂载项读法
| 字段 | 含义 | 判读要点 |
|---|---|---|
| 共享源 | 远程主机与导出路径 | 陌生主机是重点核查对象 |
| 挂载点 | 本地目录位置 | 落在用户可写目录风险更高 |
| 文件系统类型 | nfs、nfs4、cifs 等 | 决定可用的挂载选项集合 |
| 挂载选项 | rw、noexec、nosuid 等 | 可写可执行即为高风险组合 |
按需挂载的共享在空闲时会卸载，mount 输出可能只反映当前时刻；判断历史行为要结合配置文件、内核消息与审计记录三方面。
挂载参数中的 rw、noexec、nosuid 决定共享目录能否被直接用作执行路径，缺少 nosuid 时共享上的 setuid 文件在挂载点内仍可能生效。
断网或强制卸载共享可能造成正在进行的任务失败甚至数据丢失，处置前先确认哪些进程占用该挂载点。