nosuid是Linux挂载关键安全选项，使SUID/SGID位失效，防止普通用户执行特权程序提权；必须用于/tmp、/var/tmp、Web上传目录、独立数据盘、外部设备挂载点及/dev/shm，禁用于系统根目录；临时启用用sudo mount -o remount,nosuid，永久配置需在/etc/fstab对应行options字段添加nosuid并执行mount -a。
nosuid 是 Linux 文件系统挂载中一道关键防线，它不阻止程序运行，而是让所有 setuid/setgid 权限位彻底失效——普通用户执行 root 所有、带 s 位的程序时，依然只是普通用户身份，无法切换 UID/GID，从而切断最常见的一类本地提权路径。
哪些位置必须加 nosuid
只对“用户可写 + 不该继承特权”的非系统路径启用，加错地方会导致系统瘫痪：
-
/tmp和/var/tmp：服务与用户共用的临时区，极易被植入 SUID shell 或恶意工具 - Web 上传目录（如
/var/www/uploads）：上传文件可能含伪造的 SUID 二进制 - 独立挂载的数据盘（如
/mnt/data、/mnt/backup）：纯存储用途，无需特权继承 - 外部设备挂载点（如
/mnt/usb）：U 盘插入后自动挂载，防范 autorun 类提权载荷 -
/dev/shm：内存 tmpfs，常被用于无文件攻击链中的 SUID 利用环节
怎么快速验证是否生效
别等重启，先临时启用并测试：
- 运行
sudo mount -o remount,nosuid /tmp（替换为你的目标挂载点） - 创建测试程序：
cp /bin/bash /tmp/mysh && chmod u+s /tmp/mysh - 执行
./tmp/mysh -p：若提示符仍是$（不是#），且id显示 uid/gid 未提升，说明 nosuid 已起效 - 查看状态：
findmnt -o TARGET,OPTIONS /tmp，输出中应明确包含nosuid
永久配置要写进 /etc/fstab
临时挂载重启即失效，生产环境必须固化：
- 找到对应分区行，例如：
/dev/sdb1 /mnt/data ext4 defaults 0 2 - 修改第 4 字段（options 列），加入
nosuid并用逗号分隔：/dev/sdb1 /mnt/data ext4 defaults,nosuid,noexec,nodev 0 2 - 保存后运行
sudo mount -a测试语法是否合法，无报错即生效
为什么不能单用 nosuid
它只管“权限位”，不管“能不能跑”和“有没有设备”：
- 攻击者仍可上传并直接执行普通二进制（如
./exploit），需noexec拦住 - 可能通过创建
/mnt/data/evil_dev设备节点绕过权限控制，需nodev封堵 - 对纯归档或镜像类分区，再加
ro（只读）能彻底杜绝写入+执行+提权三连风险
特别注意适用边界
linux-sysadmin
下载
Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...
- 绝对不要对
/、/usr、/bin、/sbin、/lib等系统目录加nosuid，否则sudo、ping、passwd等命令将无法正常工作 -
nosuid对已加载进内存的进程无效，只作用于新执行的程序 - 它不影响 capabilities 机制，也不替代
chattr +i锁定/etc/shadow等核心文件
不复杂但容易忽略
