服务器设置只读文件系统后网站文件仍被篡改_定位与解决办法_处理方法_运维笔记
很多Linux服务器管理员遇到过这样的困惑：明明已经把文件设置为只读权限（chmod 444或chattr +i），但文件还是被修改了，甚至被植入了木马。这时候第一反应是权限设置没生效，但实际上Linux系统中能绕过只读限制的方式有很多种。本文从原理到实操，全面分析只读文件仍被修改的各种原因，并给出对应的解决办法。
第一种常见原因是root用户或具有同等权限的进程修改了文件。Linux的权限检查对root用户无效，root可以读写任何文件，无论权限设置为多少。如果攻击者通过漏洞获取了root权限，或者网站运行在root用户下（这是非常危险的配置），那么只读权限形同虚设。解决方法是确保网站运行在普通用户下，不要使用root启动Web服务，同时严格限制root登录方式，使用密钥登录并禁用密码登录。
第三步是检查Web服务的运行用户和配置。使用ps aux | grep nginx或ps aux | grep httpd查看Web服务的运行用户，确认不是root。查看php-fpm的运行用户，确认与网站文件所有者一致。查看网站目录的权限，确认upload和cache目录之外的目录都是只读的。检查php.ini中的disable_functions，确认禁用了exec、system、shell_exec等危险函数。如果Web服务运行在root下，必须立即修改为普通用户，这是最基本的安全要求。
第四，入侵检测与响应：部署IDS/IPS系统，如Snort、Suricata，监控网络流量中的攻击行为。配置OSSEC或Wazuh主机入侵检测系统，监控文件变化、日志异常、进程异常。制定应急响应预案，当发现文件被篡改时，按照隔离、排查、清除、加固、恢复的流程处理。定期进行安全演练，验证防护措施的有效性。
运维案例：客户的服务器设置了chattr +i但文件还是被改了，排查后发现攻击者获取了root权限，先执行chattr -i解除属性，修改文件后再chattr +i恢复属性，操作非常隐蔽。后来配置了auditd监控chattr命令，下次攻击者操作时立即告警，及时阻断了入侵。
配置提醒：设置文件只读权限后，记得重启Web服务和相关进程，确保进程重新打开文件时权限检查生效。同时测试网站功能是否正常，特别是需要写入文件的功能（如上传、缓存、日志），避免因为权限设置导致网站功能异常。
更新时间：2026-08-27 00:35:26