主机与服务风险面53 条

NFS 导出与权限配置风险

NFS 默认 2049（及 rpcbind 111），/etc/exports 控制导出范围；配置不当（对全网段导出、no_root_squash、读写放开）会造成任意挂载与提权风险。

加固示例（/etc/exports）

/data/share 10.0.0.12(rw,sync,root_squash,no_subtree_check)
# 仅授权特定主机；root_squash 将 root 映射为匿名用户
# 只读场景使用 ro；避免使用 no_root_squash

showmount -e <目标IP>        # 列出导出目录（授权范围内）
cat /proc/fs/nfs/exports     # 本机导出情况

no_root_squash 会让客户端 root 在服务端保持 root 身份，涉及系统目录导出时风险显著。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌