Linux下chattr不可变属性被解除_深层原因分析_全面防护方案
网站文件设置只读权限后仍被篡改，通常意味着服务器已经被入侵，攻击者获得了较高权限。这时候不能只关注文件权限本身，需要从系统层面排查入侵路径，清除后门，然后重新进行权限加固。本文结合实际运维案例，讲解只读文件被修改的常见场景、排查方法和彻底解决方案。
第二种原因是chattr +i属性被解除。chattr命令设置的不可修改属性（immutable）确实可以防止文件被修改、删除、重命名，但这个属性只有root可以设置和解除。如果攻击者获得了root权限，执行chattr -i就能解除属性，然后修改文件。更隐蔽的方式是攻击者不解除属性，而是直接替换文件：删除原文件（需要先解除i属性）或者创建一个同名文件替换。解决方法是除了chattr +i，还需要监控chattr命令的执行，使用auditd记录文件属性变更。
第四种原因是通过已打开的文件描述符修改。Linux中，文件权限检查是在open()系统调用时进行的，如果一个进程在文件还是可写的时候打开了它，获得了可写的文件描述符，之后即使文件被设置为只读，这个进程仍然可以通过已有的文件描述符写入数据。这种情况常见于Web服务器进程，它在启动时打开了日志文件或缓存文件，之后文件被设置为只读，但进程仍然可以写入。解决方法是设置文件只读之后重启相关进程，让进程重新打开文件时权限检查生效。
第三步是检查Web服务的运行用户和配置。使用ps aux | grep nginx或ps aux | grep httpd查看Web服务的运行用户，确认不是root。查看php-fpm的运行用户，确认与网站文件所有者一致。查看网站目录的权限，确认upload和cache目录之外的目录都是只读的。检查php.ini中的disable_functions，确认禁用了exec、system、shell_exec等危险函数。如果Web服务运行在root下，必须立即修改为普通用户，这是最基本的安全要求。
第二步是检查系统是否被入侵。查看最近的登录记录（last命令），检查是否有陌生IP登录。查看secure或auth.log日志，搜索Accepted password或Accepted publickey，确认是否有异常登录。查看crontab定时任务，是否有可疑的定时任务。查看进程列表（ps aux），是否有陌生进程在运行。查看网络连接（netstat -anp或ss -tlnp），是否有异常的出站连接。这些检查可以帮助判断服务器是否已经被完全控制。
第二，系统权限加固：禁用root直接登录，使用sudo授权普通用户执行管理操作。配置密码复杂度策略和登录失败锁定。关闭不必要的系统服务和端口。配置防火墙只允许必要的IP访问SSH端口。定期更新系统安全补丁。这些基础加固能大幅降低被入侵获取root权限的概率。
站长反馈：网站文件设置了444只读权限，但首页还是被篡改了，检查后发现php-fpm运行在root用户下，root可以修改任何文件。将php-fpm改为www-data用户运行，同时调整目录权限后，类似问题再也没有发生过。root运行Web服务是非常危险的配置，很多安全事故都源于此。
安全提示：如果发现只读文件被修改，很可能服务器已经被入侵且攻击者获得了较高权限。这时候不要只修改文件权限就完事，需要全面排查系统安全，清除后门。如果不确定是否清除干净，最稳妥的方案是备份数据后重装系统，从干净的环境重新部署。
更新时间：2026-08-26 23:17:38