写在前面：合法学习边界

Linux 是安全学习、渗透测试和应急响应中最常见的操作系统。本文内容用于理解用户权限、文件系统和服务运行身份。请不要在没有授权的情况下修改他人系统、尝试提权、读取他人隐私数据、绕过访问控制或使用漏洞工具。所有权限测试、配置审计和应急响应动作都应在自己设备、本地靶场、公司授权测试环境或已获书面授权的系统上完成。

一、为什么安全学习必须懂 Linux

很多 Web 服务、数据库、反向代理、日志系统和云主机都运行在 Linux 上。安全人员需要知道：服务以哪个用户运行、配置文件谁能修改、上传目录是否可写、日志记录在哪里、关键系统文件是否被替换、某个进程是否消耗异常资源。

对零基础学习者来说，Linux 基础可以从四个问题开始：

1
2
3
4

这台机器有哪些用户？
当前我以谁的身份运行？
文件属于谁，谁可以读、写、执行？
进程以谁的身份运行，访问了哪些文件和资源？

这些问题贯穿 Web 安全、提权排查、日志分析、服务器加固和应急响应。

二、用户与组：操作系统中的身份

Linux 中几乎每个动作都需要身份。用户代表“谁在操作”，组代表“用户之间的共同权限集合”。一个用户可以属于多个组，组权限可以让同一批用户访问同一批资源。

1. 查看当前用户

1
2
3

whoami
id
groups

whoami 输出当前用户名；id 输出用户 ID、组 ID 和所属组；groups 输出用户属于哪些组。

常见输出示例：

1
2

ubuntu
uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu),27(sudo),33(www-data)

这说明当前用户是 ubuntu，属于 sudo 组，也能看到 www-data 这个组。

2. 查看用户列表

1

cat /etc/passwd

/etc/passwd 中每一行通常包含：用户名、密码占位符、UID、GID、用户描述、家目录和登录 shell。重点看 UID：

1
2

UID=0：root，拥有最高权限
UID=1000 以上：通常是一般用户

安全排查时，可以关注是否新增 UID 为 0 的账户，或者是否存在异常登录 shell。

3. 创建普通用户和组

以下命令通常由管理员在授权环境中执行：

1
2
3

sudo groupadd devteam
sudo useradd -m -G devteam alice
sudo passwd alice

说明：

1
2
3
4

groupadd：创建用户组
useradd -m：创建用户并创建家目录
-G：加入附加组
passwd：设置密码

实际生产环境中，还需要考虑密码复杂度、SSH 密钥、登录限制、账户过期和审计日志。

三、权限：rwx 和数字权限

Linux 文件权限主要分为三类：读、写、执行。对应字母是 r、w、x。

常见权限示例：

1
2
3

-rw-r--r--：所有者可读写，组和其他人可读
-rwxr-xr-x：所有者可执行，组和其他人可读和执行
-rw-------：只有所有者可读写

数字权限表示方式：

1
2
3
4

r = 4
w = 2
x = 1
--- = 0

所以：

1
2
3

755 = rwxr-xr-x
644 = rw-r--r--
600 = rw-------

常用命令：

1
2
3
4
5

ls -l
chmod 755 deploy.sh
chmod 600 private.key
chown ubuntu:ubuntu notes.txt
chgrp devteam notes.txt

安全提示：私钥、口令文件、配置文件不应该开放给所有人读写。Web 目录也要避免被非必要用户随意写入。

四、目录权限的特殊含义

目录权限容易被新手误解。文件需要 x 才能执行，但目录需要 x 才能进入，需要 r 才能列出内容。

例子：

1

rwxr-xr-x /var/www

意味着其他用户可以进入并读取目录内容；如果目录没有 x，即使用户知道文件路径，也可能无法进入该目录。

如果目录有写和执行权限：

1

rwx------

通常只有所有者可以在目录中创建、删除、重命名文件。生产 Web 服务器通常不应让上传目录同时可写、可执行、可被外部用户修改。

五、文件系统常见路径

了解常见目录能帮助理解服务和日志位置。

1
2
3
4
5
6
7
8
9

/bin          常用命令
/usr/bin      大量用户命令
/etc          配置文件
/var/log      日志文件
/var/www      Web 根目录常见位置，具体取决于站点配置
/home         普通用户家目录
/root         root 用户家目录
/tmp          临时文件目录
/dev          设备文件

常用查看命令：

1
2
3
4

pwd
ls -lah
find /etc -maxdepth 1 -type f -name '*.conf'
find /var/log -maxdepth 2 -type f | sort | head -100

安全排查时，可以重点看 Web 根目录、配置文件、日志目录和临时目录。但不要盲目读取包含密钥、令牌或个人信息的文件，必须确认授权范围。

六、常用文件查看和搜索命令

1. 查看文件内容

1
2
3
4

cat small.txt
head -50 access.log
tail -100 access.log
tail -f /var/log/syslog

tail -f 会持续显示新写入日志。应急响应中常用它观察实时变化。

2. 搜索关键字

1
2

grep -n '404' /var/log/nginx/access.log
grep -R 'password=' /etc/nginx/conf.d/

-n 显示行号，-R 递归搜索目录。搜索敏感词时不要随意把结果复制到公共文档中，可能会泄露凭据、路径或用户信息。

3. 查找文件

1
2

find /home -name 'config.env'
find /var/www -type f -name '*.php'

find 适合按文件名、类型、时间、权限和所有者查找文件。学习时应先控制搜索范围，避免在生产系统上执行耗时过大的全盘搜索。

4. 查看文件属性

1
2

stat app.py
ls -la /etc/nginx/nginx.conf

stat 会显示文件大小、权限、所有者、组、创建和修改时间。应急响应中，文件修改时间常常是判断是否被篡改的重要线索。

七、进程与运行身份

服务以哪个用户运行，是 Linux 安全中的重要问题。Web 服务通常不应直接以 root 身份长时间运行，而应由低权限用户处理请求，例如 www-data。

查看进程：

1
2

ps aux | grep nginx
ps -ef | grep java

查看端口和进程对应关系：

1
2

sudo ss -tulnp
sudo lsof -i :80

查看某个进程详细信息：

1
2
3

ps -p 1234 -o pid,user,comm,args
ls -l /proc/1234/exe
cat /proc/1234/status

应急响应中，如果发现未知进程，应记录 PID、用户、启动参数、可执行文件路径、网络连接、文件修改时间和父进程关系。不要先删除现场证据，应优先保存、复制和备份相关数据。

八、用户权限与安全设计

1. 最小权限原则

最小权限原则意味着：一个用户、进程或服务只拥有完成任务所需的最低权限。例如：

1
2
3
4

Web 服务只需要读取 Web 文件和写入临时上传目录
普通用户不应拥有随意修改系统配置的权限
自动化脚本不应默认使用 root 长期运行
数据库连接账号不应拥有全局管理权限

2. sudo 的正确使用

普通用户需要临时执行管理命令时，可以加入 sudoers 并按需使用 sudo：

1
2

sudo ls /root
sudo systemctl status nginx

安全配置要避免不必要的：

1
2
3

NOPASSWD
ALL=(ALL) ALL 过度授权
root 权限脚本对任意用户开放

3. 敏感文件权限

私钥和配置应限制访问：

1
2

chmod 600 ~/.ssh/id_rsa
chown ubuntu:ubuntu ~/.ssh/id_rsa

数据库密码、API Token、JWT Secret 等不应放在公开可读的配置文件或 Git 仓库中。

九、文件系统层面的安全排查思路

当怀疑服务器被入侵或配置被篡改时，Linux 文件系统可以提供很多线索。

1. 查看最近修改的文件

1
2
3

find /var/www -type f -mtime -1
find /etc -type f -mtime -1
find /tmp -type f -mtime -1

注意：这个命令只适合在授权环境中使用，且不要假设结果一定代表攻击。系统更新、正常发布、定时任务和日志轮转也会产生新文件。

2. 检查 Web 目录异常文件

1

find /var/www -type f \( -name '*.php' -o -name '*.jsp' -o -name '*.jsp.tmp' \) -mtime -7

如果 Web 根目录突然出现非业务人员创建、无法解释来源、权限异常的可执行脚本，需要保留证据并进入应急响应流程。

3. 检查 SUID 和 SGID 文件

1
2

find / -perm -4000 -type f 2>/dev/null
find / -perm -2000 -type f 2>/dev/null

SUID 文件执行时会以文件所有者身份运行，是合法提权排查和攻击者横向移动中都可能关注的点。检查时应确认文件是否为系统正常文件、版本是否可信、权限是否符合预期。

4. 检查用户增加和异常账户

1
2
3

getent passwd
grep 'uid=0' /etc/passwd
last -n 50

新增 UID=0 账户、异常 shell、异常登录记录，都是需要结合上下文分析的高优先级线索。

十、和 Web 安全的联系

理解 Linux 权限后，很多 Web 安全问题更容易解释：

1
2
3
4
5

文件上传漏洞是否危险，要看上传目录能否被执行
WebShell 是否被触发，要看 Web 服务身份和目录权限
SQL 注入后能否读文件，要看应用和数据库账号权限
上传配置被改后为什么服务重启，要看 Web 服务运行身份和部署方式
日志为什么被删，要看操作者权限和日志轮转机制

所以 Web 安全不能只停留在浏览器和参数层，最终还要理解服务器如何接收请求、以什么身份执行代码、把数据写到哪里、把日志记录到哪里。

十一、小结

Linux 基础的核心不是背命令，而是理解身份、权限、资源和证据。安全人员需要知道当前是谁、以什么权限访问了什么、文件归谁所有、进程以谁的身份运行、日志在哪里。

下一阶段可以进入 Web 安全主题，例如 SQL 注入和 XSS。但在学习漏洞原理前，先理解 Linux 用户和权限，会让你更容易看懂真实环境中的影响边界：一个漏洞到底能影响网页展示，还是能读取敏感数据，甚至影响服务器安全。