Linux系统中只读文件被root权限进程修改_定位与解决办法_安全加固
Linux的文件权限系统是网站安全防护的重要手段，但很多站长对权限的理解停留在chmod命令层面，以为设置了444就万无一失。实际上，root用户可以修改任何文件，chattr属性可以被root解除，文件系统可以被重新挂载为可写，进程可以通过文件描述符修改已经打开的文件。了解这些绕过方式，才能有针对性地加固防护。
第一种常见原因是root用户或具有同等权限的进程修改了文件。Linux的权限检查对root用户无效，root可以读写任何文件，无论权限设置为多少。如果攻击者通过漏洞获取了root权限，或者网站运行在root用户下（这是非常危险的配置），那么只读权限形同虚设。解决方法是确保网站运行在普通用户下，不要使用root启动Web服务，同时严格限制root登录方式，使用密钥登录并禁用密码登录。
第三种原因是文件被重新挂载为可写。即使整个分区挂载为只读（mount -o remount,ro），root用户也可以执行mount -o remount,rw重新挂载为可写，然后修改文件。这种方式常见于攻击者获得root权限后，先重新挂载根分区为可写，再植入后门。解决方法是使用不可修改的挂载配置，或者将网站文件放在独立的分区，通过fstab设置为只读挂载，同时监控mount命令的执行。
第三步是检查Web服务的运行用户和配置。使用ps aux | grep nginx或ps aux | grep httpd查看Web服务的运行用户，确认不是root。查看php-fpm的运行用户，确认与网站文件所有者一致。查看网站目录的权限，确认upload和cache目录之外的目录都是只读的。检查php.ini中的disable_functions，确认禁用了exec、system、shell_exec等危险函数。如果Web服务运行在root下，必须立即修改为普通用户，这是最基本的安全要求。
第四，入侵检测与响应：部署IDS/IPS系统，如Snort、Suricata，监控网络流量中的攻击行为。配置OSSEC或Wazuh主机入侵检测系统，监控文件变化、日志异常、进程异常。制定应急响应预案，当发现文件被篡改时，按照隔离、排查、清除、加固、恢复的流程处理。定期进行安全演练，验证防护措施的有效性。
站长反馈：网站文件设置了444只读权限，但首页还是被篡改了，检查后发现php-fpm运行在root用户下，root可以修改任何文件。将php-fpm改为www-data用户运行，同时调整目录权限后，类似问题再也没有发生过。root运行Web服务是非常危险的配置，很多安全事故都源于此。
安全提示：如果发现只读文件被修改，很可能服务器已经被入侵且攻击者获得了较高权限。这时候不要只修改文件权限就完事，需要全面排查系统安全，清除后门。如果不确定是否清除干净，最稳妥的方案是备份数据后重装系统，从干净的环境重新部署。
更新时间：2026-08-27 11:39:00