/etc/passwd 与 /etc/group 权限（0644）

/etc/passwd 与 /etc/group 必须全局可读、仅 root 可写（0644）：可写意味着攻击者能直接添加账号或改 GID 提权，是最严重的权限错误之一。

加固项	账号与组文件的写保护
适用平台	Linux（RHEL/CentOS/Debian/Ubuntu）
风险等级	高
基线值	/etc/passwd、/etc/group、passwd-、group- 均为 0644 root:root

核查：四个文件一起看

stat -c '%a %U:%G %n' /etc/passwd /etc/group /etc/passwd- /etc/group-

chmod 0644 /etc/passwd /etc/group
chown root:root /etc/passwd /etc/group
pwck -r && grpck -r    # 校验账号/组文件一致性（只读检查）

0644 是标准值，不要改成 0600：许多程序依赖读取用户名映射，权限过严会导致 ls 只显示 UID 数字等异常。

CIS Linux Benchmark：Ensure permissions on /etc/passwd and /etc/group are configured
pwck(8)、grpck(8) 手册

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌