| 加固项 | 共享目录粘滞位 |
|---|---|
| 适用平台 | Linux（RHEL/CentOS/Debian/Ubuntu） |
| 风险等级 | 中 |
| 基线值 | /tmp、/var/tmp 权限 1777（drwxrwxrwt） |
核查
核查
ls -ld /tmp /var/tmp
# 期望：drwxrwxrwt ... /tmp修复
修复
chmod 1777 /tmp /var/tmp目录权限尾部的 t 就是粘滞位；缺 t 且目录可写时，先恢复权限，再排查期间是否发生过文件被替换。
本包目录（363 条）
主机加固基线90 条
- UID 0 账号核查（仅允许 root）
- 空口令账号核查（shadow 第二字段）
- 等保 2.0 主机安全要求对照（三级）
- /etc/shadow 权限加固（0000 或 0640）
- SUID 文件清点与基线比对
- /etc/passwd 与 /etc/group 权限（0644）
- 全局可写文件核查（-0002）
- ASLR 地址随机化（randomize_va_space=2）
- 系统账号禁止登录 shell（nologin）
- cron 计划任务文件权限
- 加固基线的分批实施与回滚预案
- sudo NOPASSWD 授权核查
- sshd 配置与主机密钥权限
- SMBv1 协议禁用（WannaCry 通道）
- su 限制到 wheel 组（pam_wheel）
- sudo 会话加固（use_pty 与日志）
- sysctl 加固配置的落地与验证
- GRUB 引导口令（阻断单用户绕过）
- 系统账号口令锁定（! 或 * 前缀）
- /tmp 与 /var/tmp 粘滞位（1777）
- /tmp 挂载加固（nosuid,nodev,noexec）
- 交互会话超时（TMOUT）
- SELinux 强制模式（Enforcing）
- Credential Guard 凭据保护
- 用户家目录权限（750 或更严）
- cron 与 at 使用限制（allow 白名单）
- TCP SYN Cookies 开启（防半连接耗尽）
- Defender 防病毒状态核验
- 无属主文件核查（-nouser / -nogroup）
- 默认 umask 027（login.defs）
- ICMP 重定向防护（accept_redirects=0）
- CIS 基线分级与豁免治理（L1/L2）
- Guest 来宾账户禁用
- Defender ASR 攻击面缩减规则
- /etc/gshadow 与 /etc/gshadow- 权限（0000）
- SGID 文件与目录清点
- 禁用 core dump（limits + sysctl）
- 反向路径过滤（rp_filter）防源地址欺骗
- 最小化安装与软件资产盘点
- LSA 进程保护（RunAsPPL）
- /dev/shm 挂载加固（noexec）
- 关闭 IP 转发（ip_forward=0）
- AIDE 文件完整性校验
- UAC 配置（启用与安全桌面）
- LAN Manager 认证级别（拒绝 LM/NTLM）
- LLMNR 多播名称解析关闭
- 受控文件夹访问（防勒索加固）
- 源路由选项禁用（accept_source_route=0）
- 内核信息泄露限制（dmesg_restrict / kptr_restrict）
- AppArmor 强制执行（aa-status）
- WDigest 明文凭据缓存禁用
- SMB 签名强制（防中继篡改）
- ICMP 广播响应抑制（icmp_echo_ignore_broadcasts）
- 空密码账户只能控制台登录
- 内存完整性（HVCI 内核隔离）
- Defender 云保护与 PUA 拦截
- 应用控制（WDAC / AppLocker）
- 启动项与自运行点盘点
- ptrace 范围限制（yama.ptrace_scope）
- IPv6 参数加固（accept_ra 与重定向）
- USB 存储禁用（usb-storage 黑名单）
- 安全启动（Secure Boot）核查
- SMB 加密（SMB3 传输加密）
- NetBIOS over TCP/IP 关闭
- Defender 防篡改保护
- PowerShell 2.0 引擎禁用
- secedit 导出/导入安全模板
- 异常报文日志（log_martians）
- 救援模式认证（sulogin）
- 罕见文件系统模块禁用（cramfs/hfs 等）
- Administrator 账户重命名（RID 500）
- 未加引号服务路径核查（路径劫持）
- Defender 定期扫描策略
- 微软安全基线应用（SCT 体系）
- 禁用 Ctrl+Alt+Del 重启
- 罕见网络协议模块禁用（dccp/sctp/rds/tipc）
- AutoRun 与自动播放禁用
- PATH 可写目录核查（劫持面）
- 易受攻击驱动阻止列表（BYOVD 防御）
- Windows Script Host 禁用
- WebClient 服务禁用（WebDAV 横向移动）
- 崩溃转储配置（小内存转储）
- LGPO 工具（离线组策略落地）
- 登录警告横幅（issue / issue.net）
- mDNS 组播解析关闭
- 远程协助关闭（fAllowToGetHelp）
- 存储凭据盘点（cmdkey）
- 时间同步核查（w32tm）
- 关机清理页面文件
- 交互式登录法律横幅
/tmp 与 /var/tmp 粘滞位（1777）
共享临时目录必须带粘滞位（drwxrwxrwt）：人人可建文件，但只能删除自己的；缺粘滞位时任意用户可删除或替换他人文件，可被用于本地提权。
易错点
- 系统若把 /tmp 挂成 tmpfs，重启即清空：日志与残留物留存策略要单独设计，别指望它长期保留
- 修复时对目录用 chmod 1777（含粘滞位），漏写 1 只得到 777 仍不安全
数据来源与参考
- CIS Linux Benchmark：Ensure sticky bit is set on all world-writable directories
- sticky(7) 手册（Linux）