Аудит прав доступа файлов Linux: find, stat, ACL

Набор команд, которые запускаем при аудите нового сервера:

# Файлы с правами 777 (самое опасное)
find / -type f -perm 0777 2>/dev/null | grep -v '/proc\|/sys\|/dev'

# Каталоги с правами 777
find / -type d -perm 0777 2>/dev/null | grep -v '/proc\|/sys\|/tmp\|/var/tmp'

# World-writable файлы (любые права с w у others)
find / -type f -perm -o+w 2>/dev/null | grep -v '/proc\|/sys'

# World-writable каталоги без sticky bit (уязвимость)
find / -type d -perm -o+w ! -perm -1000 2>/dev/null | grep -v '/proc\|/sys'

# SUID файлы (исполняются от имени владельца)
find / -type f -perm -4000 -ls 2>/dev/null

# SGID файлы
find / -type f -perm -2000 -ls 2>/dev/null

# Файлы без владельца
find / -nouser 2>/dev/null | grep -v '/proc\|/sys'

# Файлы без группы
find / -nogroup 2>/dev/null | grep -v '/proc\|/sys'

На свежеустановленной Ubuntu 22.04 список SUID-файлов включает около 20 позиций — это нормально. Если вы видите незнакомые исполняемые файлы с SUID root, это серьёзный повод для расследования.

Для веб-серверов проверяем права в /var/www и конфигурационных каталогах:

# Все файлы в веб-корне с развёрнутым выводом прав
find /var/www -ls 2>/dev/null | awk '{print $3, $5, $6, $NF}' | sort

# Файлы, изменённые за последние 24 часа (подозрительно на взломанном сервере)
find /var/www -mtime -1 -type f -ls 2>/dev/null

# PHP-файлы, доступные для записи всем
find /var/www -name "*.php" -perm -o+w -ls 2>/dev/null

# Проверка конфигов nginx/apache
find /etc/nginx /etc/apache2 -type f -perm -o+r -ls 2>/dev/null
# Конфиг не должен читаться www-data напрямую через others

# Проверка SSH-ключей
find /root/.ssh /home/*/.ssh -type f -ls 2>/dev/null
# Правильно: id_rsa = 600, authorized_keys = 600, .ssh/ = 700

stat показывает права в числовом и символьном формате, владельца, время доступа:

$ stat /etc/passwd
  File: /etc/passwd
  Size: 2847
Device: 8,1     Inode: 524293
Access: (0644/-rw-r--r--)  Uid: (0/root)  Gid: (0/root)
Access: 2026-03-10 09:15:22
Modify: 2026-03-01 14:30:11
Change: 2026-03-01 14:30:11

$ stat /etc/shadow
  Access: (0640/-rw-r-----)  Uid: (0/root)   Gid: (42/shadow)
# 640 = root читает и пишет, группа shadow только читает, остальные ничего

# Проверка конкретного права в числах
stat -c "%a %n" /etc/passwd /etc/shadow /etc/sudoers
# 644 /etc/passwd
# 640 /etc/shadow
# 440 /etc/sudoers

Если на файле есть ACL — стандартный ls -la покажет только +, getfacl раскроет детали:

# Проверяем наличие ACL (+ в конце прав)
ls -la /shared/project/
# drwxrwxr-x+ 3 root developers ...  project

# Смотрим полный ACL
getfacl /shared/project/
# file: shared/project/
# owner: root
# group: developers
# user::rwx
# user:john:rwx       <-- явный ACL для john
# user:alice:r-x
# group::rwx
# mask::rwx
# other::r-x

# Рекурсивный аудит ACL в каталоге
getfacl -R /shared/ 2>/dev/null | grep -v "^#\|^$" | sort | uniq -d
# Показывает дублирующиеся ACL-записи

# Найти все файлы с нестандартными ACL
find /var/www -exec getfacl {} \; 2>/dev/null | grep "^user:[^:]*:" | sort | uniq

Комплексный скрипт аудита прав доступа:

#!/bin/bash
# /usr/local/bin/permissions-audit.sh
# Аудит прав доступа Linux

REPORT="/tmp/permissions-audit-$(date +%Y%m%d).txt"
EXCLUDE="-not -path '/proc/*' -not -path '/sys/*' -not -path '/dev/*'"

echo "=== PERMISSIONS AUDIT: $(date) ===" > "$REPORT"
echo "Host: $(hostname)" >> "$REPORT"

echo -e "\n[1] SUID files:" >> "$REPORT"
find / $EXCLUDE -type f -perm -4000 -ls 2>/dev/null >> "$REPORT"

echo -e "\n[2] SGID files:" >> "$REPORT"
find / $EXCLUDE -type f -perm -2000 -ls 2>/dev/null >> "$REPORT"

echo -e "\n[3] World-writable files:" >> "$REPORT"
find / $EXCLUDE -type f -perm -o+w -ls 2>/dev/null | \
  grep -v '/tmp\|/var/tmp' >> "$REPORT"

echo -e "\n[4] World-writable dirs (no sticky):" >> "$REPORT"
find / $EXCLUDE -type d -perm -o+w ! -perm -1000 2>/dev/null >> "$REPORT"

echo -e "\n[5] Files without owner:" >> "$REPORT"
find / $EXCLUDE -nouser -ls 2>/dev/null >> "$REPORT"

echo -e "\n[6] Dangerous permissions in /etc:" >> "$REPORT"
find /etc -type f -perm -o+w -ls 2>/dev/null >> "$REPORT"
find /etc -type f -perm -o+r -name "*.key" -o -name "*.pem" 2>/dev/null >> "$REPORT"

echo -e "\n[7] SSH key permissions:" >> "$REPORT"
find /root/.ssh /home -name "*.pub" -o -name "authorized_keys" \
  -o -name "id_*" 2>/dev/null | xargs -I{} stat -c "%a %U %G %n" {} >> "$REPORT"

echo "=== AUDIT COMPLETE ===" >> "$REPORT"
cat "$REPORT"

Запуск через cron еженедельно и отправка на почту — стандартная практика на серверах клиентов, где требуется compliance.

Стандартный набор команд для приведения веб-сервера в порядок:

# Правильные права для веб-сервера
chown -R www-data:www-data /var/www/site.ru
find /var/www/site.ru -type d -exec chmod 755 {} \;
find /var/www/site.ru -type f -exec chmod 644 {} \;

# Каталог загрузок — запись для www-data
chmod 755 /var/www/site.ru/uploads/
chown www-data:www-data /var/www/site.ru/uploads/

# Конфигурационные файлы — только чтение для владельца
chmod 600 /var/www/site.ru/.env
chmod 600 /var/www/site.ru/config/database.php

# SSH-ключи
chmod 700 /root/.ssh
chmod 600 /root/.ssh/id_rsa
chmod 644 /root/.ssh/id_rsa.pub
chmod 600 /root/.ssh/authorized_keys

# Убрать SUID с ненужного файла
chmod u-s /path/to/suspicious/file

# Добавить sticky bit на /tmp
chmod +t /tmp
chmod 1777 /tmp