服务器用户权限合规检查需围绕“谁有权限、凭什么有、用得对不对、有没有被滥用”四问构建闭环，涵盖重点账户与高危权限筛查、敏感文件权限校验、脚本化检查、行为验证及日志审计。
服务器用户权限合规检查不是翻一遍配置就完事，而是围绕“谁有权限、凭什么有、用得对不对、有没有被滥用”这四个核心问题，形成可重复、可验证、可追溯的闭环动作。
明确检查范围和高危目标
先划清边界，避免泛泛而谈：
-
重点账户：UID=0的用户（
awk -F: '$3 == 0 {print $1}' /etc/passwd）、长期未登录账户（lastlog -b 90）、离职人员残留账号、共享账号（如多人共用root或admin） -
高危权限：sudo权限是否精确到命令路径（如
/bin/systemctl restart nginx而非ALL=(ALL) ALL）、是否允许免密sudo（NOPASSWD需严格审批）、是否开放远程root登录（PermitRootLogin yes在sshd_config中必须禁用） -
敏感文件权限：
/etc/shadow必须为600且属主root；/etc/ssh/sshd_config应为600；含密钥或数据库连接串的配置文件权限不得高于600
用脚本固化关键检查项
人工检查易漏、难复现，脚本要把规则变成可执行逻辑：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- 查高危MySQL账号：
mysql -N -s -e "SELECT User,Host,Super_priv,Grant_priv,CHAR_LENGTH(authentication_string),plugin FROM mysql.user WHERE Host != 'localhost' AND (Super_priv = 'Y' OR Grant_priv = 'Y') AND CHAR_LENGTH(authentication_string) - 查异常sudo配置：
grep -v '^#' /etc/sudoers | grep -E '(ALL\s*=\s*\(ALL\)|NOPASSWD|root)' | grep -v 'Defaults' - 查弱密码或空密码账户：
awk -F: '($2 == "" || length($2) 0 {print $1}' /etc/shadow（注意：需root权限） - 输出统一为制表符分隔，配合
IFS=$'\t'逐行解析，防止字段错位
验证权限是否真实生效
配置写了≠生效了，要从行为反推：
- 用
sudo -l -U username实际验证某用户能执行哪些命令，比读sudoers更可靠 - 检查服务运行账户：用
sc qc servicename（Windows）或ps -eo user,comm | grep nginx（Linux），确认不是以LocalSystem或root身份运行非必要服务 - 抓取真实执行行为：用
pspy捕获cron实际调用的命令，发现被隐藏的脚本，不只依赖crontab -l - 测试远程登录限制：尝试从非授权IP ssh登录，确认
AllowUsers或Match规则是否真起作用
日志与审计闭环不能断
没日志的权限等于没设：
- 确认
/var/log/auth.log或/var/log/secure记录完整，每条sudo操作含用户、时间、命令、TTY - 启用auditd监控关键系统调用：
-w /etc/shadow -p wa -k shadow_access，并定期用ausearch -k shadow_access查访问痕迹 - 日志必须集中转发至独立服务器，本地日志加
chattr +a设为只追加，防篡改 - 每次巡检生成结构化报告（如JSON），包含风险项、等级、修复命令，自动触发工单或告警
