首页/系统/信创系统运维速查/全局可写文件排查
安全加固65 条

全局可写文件排查

全局可写(o+w)文件是未授权篡改的常见入口:等保核查与日常巡检都会扫;find 按权限位过滤并排除伪文件系统,结果逐一确认后收敛权限。

信创系统运维速查系统更新于 2026-10-12

扫描

扫描
find / -xdev -type f -perm -0002 -print 2>/dev/null | head -50
# 排除有意放开的位置(示例:跳过 /tmp 后继续扫):
find / -xdev -path /tmp -prune -o -type f -perm -0002 -print 2>/dev/null | head -50
find / -xdev -type d -perm -0002 -print 2>/dev/null | head

修复

修复
chmod o-w /path/to/file
chmod o-w /path/to/dir
ls -ld /tmp        # drwxrwxrwt:sticky 位保证仅属主可删自己的文件
/tmp 的粘滞位(t)是设计使然;检查目录权限时确认 sticky 位存在即可,不必把 /tmp 改死。

易错点

  • 扫描不加 -xdev 会扫进 /proc /sys /dev 产生大量噪音,过滤条件先写好
  • 修复前确认业务是否依赖写入(上传目录、共享目录),直接 chmod 可能弄坏应用

数据来源与参考

  • man 1 find
  • 等保 2.0 访问控制与完整性要求
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌