基线加固是预防Linux权限提升最基础有效的手段，核心是限制非必要权限、消除默认风险配置、及时发现异常行为；需禁用无用账户、严控sudo白名单、限制危险shell、定期自动化审计并启用auditd监控。
基线加固是预防Linux系统账户权限提升漏洞最基础也最有效的手段。核心在于限制非必要权限、消除默认风险配置、及时发现异常行为，而不是等漏洞爆发后再打补丁。
严格管理用户与组权限
权限提升常始于低权限账户被滥用或提权路径未被阻断。需确保：
- 禁用或锁定无用系统账户（如sync、shutdown、halt），使用
usermod -L锁定或passwd -l禁用密码 - 避免普通用户加入wheel、sudo、docker等高权限组；确需授权时，用
/etc/sudoers按命令粒度控制（如%dev ALL=(ALL) /usr/bin/systemctl restart nginx） - 检查
/etc/passwd中UID为0的账户——除root外不应存在；发现异常立即排查来源
收紧sudo与特权执行机制
sudo配置不当是提权主入口之一。加固要点包括：
- 禁用
sudo NOPASSWD泛授权（如%sudo ALL=(ALL) NOPASSWD: ALL），改用明确命令白名单 - 启用
requiretty和env_reset（默认已启用，需确认未被注释或覆盖） - 定期审计
sudo -l输出，识别用户可执行的潜在提权命令（如find、vim、less、git等支持shell逃逸的工具）
限制危险Shell与交互式环境
攻击者常通过交互式shell绕过权限限制。应：
- 将非登录用户shell设为
/sbin/nologin或/bin/false，禁止其启动交互会话 - 检查
/etc/shells，移除非必需shell（如/bin/zsh、/usr/bin/pwsh），防止被用于提权 - 对必须使用bash的受限账户，通过
chsh -s /bin/bash后配合rbash（受限bash）或PAM限制（如pam_restricted.so）限制命令路径和重定向
定期验证与自动化基线检查
人工配置易遗漏，需结合工具持续验证：
- 使用CIS Benchmarks或《GB/T 28448-2019》等标准，配合
lynis audit system或oscap xccdf eval扫描账户、sudo、密码策略等关键项 - 将基线检查脚本纳入CI/CD或定时任务（如每日cron），对异常项（如新出现的UID 0账户、sudoers文件变更）自动告警
- 启用
auditd监控敏感操作：记录execve调用、setuid变化、/etc/sudoers修改等事件
