| 加固项 | /etc/shadow 最小可读权限 |
|---|---|
| 适用平台 | Linux（RHEL/CentOS/Debian/Ubuntu） |
| 风险等级 | 高 |
| 基线值 | 0000 root:root，或 0640 root:shadow |
核查：查看当前权限
核查：查看当前权限
stat -c '%a %U:%G %n' /etc/shadow /etc/shadow-加固：收紧到发行版基线
加固：收紧到发行版基线
# 通用做法（多数发行版默认即是）
chown root:root /etc/shadow
chmod 0000 /etc/shadow
# Debian 系若要求 root:shadow 组可读：
# chown root:shadow /etc/shadow && chmod 0640 /etc/shadow改动前先 stat 记录原值便于回滚；root 不受 DAC 限制，0000 不影响 root 正常读取。