抓包文件为什么要管权限
多数系统默认 umask 是 022，落盘文件权限就是 644——同机所有用户都能读。抓包文件里往往带着登录凭据、令牌、内部接口路径，权限过宽等于把业务密钥摊在公共目录上。合理做法是采集前就把 umask 收紧，或把文件落在只有本人可进的目录里，任务结束后按期限清理并记录。
基本信息
| 目标权限 | 文件 600（仅属主可读写），目录 700 |
|---|---|
| 收紧方式 | 采集前 umask 077，或事后 chmod 600 |
| 适用平台 | Linux / macOS 用 POSIX 权限；Windows 用 icacls 配置 ACL |
| 常用目录 | 自建 /var/tmp/<任务名> 并设 700，避免用全局可读的 /tmp |
| 精细授权 | file ACL（setfacl）可只让指定用户只读，不必放宽整组 |
| 收尾要求 | 到期删除并记录清理时间与残留核对结果 |
典型使用场景
- 多用户分析机：同一台机器上有其他同事或服务账号，抓包文件必须隔离
- 无人值守采集：长期运行的任务在启动脚本里就把 umask 设好，避免中间文件被读到
- 共享分析平台：把权限交给平台统一管理，个人不要把文件放到公共目录
- 合规要求：审计要求能证明文件在存储期内只对授权人员可见
- 交接场景：临时给同事只读权限时用 ACL 授权到人，而不是改文件属组
权限设置示例
权限设置示例
umask # 查看当前掩码，022 表示新建文件为 644
install -d -m 700 /var/tmp/cap-20261012 # 建一个仅属主可进的目录
umask 077 && dumpcap -i eth0 -w /var/tmp/cap-20261012/cap.pcapng # 采集即受控
chmod 600 /var/tmp/cap-20261012/*.pcapng # 事后补齐
ls -l /var/tmp/cap-20261012/ # -rw------- 才是预期结果
setfacl -m u:analyst:r /var/tmp/cap-20261012/cap.pcapng # 只给指定用户只读权限取值对照
| 取值 | 含义 | 是否适合抓包文件 |
|---|---|---|
| 600 | 仅属主可读写 | 推荐，单人分析场景 |
| 640 | 属组可读 | 仅当组内成员均被授权时可用 |
| 644 | 所有用户可读 | 绝对不要用于含业务数据的抓包 |
| 660 | 属主读写、属组读写 | 需要组内共同分析时评估后使用 |
| 700 目录 | 仅属主可进入 | 推荐用于存放目录 |
| 777 目录 | 所有人可读写 | 不要在共享机上这样放 |
/tmp 在多数发行版上是全局可读且带粘滞位，只保证别人删不掉你的文件，不代表别人读不到；抓包文件应放在自建的 700 目录里，或明确使用私有临时目录。
权限只是访问控制的一层，磁盘加密、备份策略、共享分析平台的账号体系同样会影响暴露面；临时给他人权限后记得在任务结束时回收。