运维安全：服务器文件与目录权限收敛 6 项

为什么要做权限收敛

结论：网站目录权限过宽，是挂马与越权读取的常见入口，应按够用即收的原则收紧。安庆不少中小企业站点把上传目录设成可写可执行，攻击者就能传脚本直接运行。把权限收到「该读才读、该写才写」，能挡掉大部分自动化入侵。按我们运维经验，权限过宽导致的入侵占我们处置事件的四到五成，是性价比高的先手防护。

文件与目录用什么权限

结论：目录一般给 755、文件一般给 644，上传与缓存目录单独设可写但不执行。根据我们运维经验，Web 根下绝大多数文件不需要被执行权限，去掉执行位就能让上传的木马无法直接跑起来。可执行权限只留给必要的脚本与二进制。按我们运维经验，一次完整收敛通常覆盖几百到上千个文件，脚本批量处理更稳。

落地 6 项配置

1. 统一梳理 Web 目录归属，运行用户与 FTP 用户分清楚。
2. 目录设 755、静态文件设 644，批量修正历史宽松权限。
3. 上传目录设为可写但关闭执行，配合类型校验防脚本落地。
4. 配置文件与密钥放到 Web 根之外，禁止被外网直接访问。
5. 用 cron 或监控定期比对关键目录权限，发现回弹就告警。
6. 改完做一次访问与写入测试，确认业务不受影响。

常见被忽略的点

• 备份目录若挂在 Web 根下，可能被直接下载数据库。
• 日志目录过宽会泄露路径与接口信息。
• 临时解权限排查后忘记收回，留下长期敞口。
• 容器或面板自建账户权限过宽，也会成为横向移动跳板。
• 计划任务脚本以过高权限运行，也被利用来改写站点。

和账号管理怎么配合

结论：权限收敛要和账号最小化、SSH 密钥登录一起做，通常能形成更完整的防线。单靠改权限挡不住弱口令，两者结合才稳。具体基线以官方安全规范与等保要求为准。按官方等保与基线要求，权限、账号、日志三项要一起留痕，便于事后溯源。

小结

玉晗网络（安徽安庆）在服务器运维托管中，会把权限收敛作为基础安全项，连同账号、防火墙、备份一起交付。如果您的站点从未做过权限核查，可以联系我们做一次贴合业务的基线梳理。