Linux权限提升防御需在账户、认证、内核、能力四层面持续加固：严格限制sudo权限、强化基础账户与SSH认证、及时更新内核修补LPE漏洞、清理危险capabilities并规范敏感文件权限。
Linux权限提升攻击防御不是配置一次就高枕无忧的事，而是需要在账户、认证、内核、能力四个层面持续收紧的系统工程。关键在于把攻击者能利用的路径一条条堵死，而不是等漏洞爆发再补救。
严格管控用户与sudo权限
普通用户拥有无限制的sudo权限是提权最直接的跳板。必须禁用“ALL=(ALL) NOPASSWD: ALL”这类通配符规则，改用最小化授权策略：
- 用visudo编辑/etc/sudoers，只允许执行明确路径和参数的命令，例如alice ALL=(root) /usr/bin/systemctl restart nginx
- 启用sudo日志审计，在/etc/sudoers中加入Defaults logfile="/var/log/sudo.log"
- 定期检查哪些用户被加入了sudo或wheel组，移除长期不用或职责变更的成员
加固基础账户与认证机制
默认账户、空密码、弱口令、过期密钥，都是攻击者进门的第一把钥匙：
- 禁用或锁定非必要系统账户：usermod -L ftp、usermod -L sync，避免使用passwd -d清空密码
- 强制密码复杂度：在/etc/pam.d/common-password中添加pam_pwquality.so retry=3 minlen=10 difok=3
- SSH登录必须禁用密码，仅允许带密码保护的密钥认证；公钥文件权限设为600，所在目录不可被组或其他人写入
及时修补内核与本地提权漏洞
Dirty COW、PTRACE_TRACEME、bpf Verifier绕过等经典LPE漏洞，往往只需一个未更新的内核版本就能被利用：
- 启用自动安全更新：Ubuntu启用unattended-upgrades，RHEL/CentOS启用yum-cron或dnf-automatic
- 定期运行linux-exploit-suggester.sh或lynis audit system，识别当前系统可被利用的本地漏洞
- 老旧发行版（如已EOL的CentOS 7）必须迁移，不能依赖临时缓解措施
限制危险能力与敏感文件权限
Capabilities机制和宽松的文件权限会无声放大攻击面：
- 清理不必要的capability：对非必需程序执行setcap -r /usr/bin/ping；业务不依赖时，禁用CAP_SYS_ADMIN等高危能力
- 确保关键文件权限合规：/etc/shadow应为0000（即-r--------），/etc/passwd可读但不可写
- 对/tmp、/var/tmp等world-writable目录，挂载时启用noexec,nosuid,nodev选项
防护效果不取决于某一项做得多好，而取决于最薄弱的那个环节。账户、认证、内核、能力四条防线同步加固，配合实时日志监控与季度审计，才能真正抬高攻击门槛。
