如何通过对系统关键运行时环境变量实施安全加固措施

关键运行时环境变量（如PATH、JAVA_HOME、LD_LIBRARY_PATH）一旦被恶意篡改，可导致命令劫持、权限提升、敏感信息泄露甚至远程代码执行；加固需从源头阻断注入路径、收紧执行边界、分离敏感数据，并严格管控全局Profile文件权限与加载逻辑。

关键运行时环境变量（如 PATH、JAVA_HOME、LD_LIBRARY_PATH 等）一旦被恶意篡改，可导致命令劫持、权限提升、敏感信息泄露甚至远程代码执行。加固不是简单设 readonly，而是从源头阻断注入路径、收紧执行边界、分离敏感数据。

严格管控全局Profile文件权限与加载逻辑

/etc/profile、/etc/profile.d/*.sh 和 /etc/bash.bashrc 是登录 shell 加载环境变量的主路径，但默认不校验子文件安全性：

• 将所有全局 profile 文件属主设为 root:root，权限统一为 644：chown root:root /etc/profile /etc/bash.bashrc && chmod 644 /etc/profile /etc/bash.bashrc
• /etc/profile.d/ 目录权限设为 755，其下每个 .sh 脚本必须是 644 且属主为 root；运行 find /etc/profile.d -type f ! -perm 644 -o ! -user root -o ! -group root 定期扫描异常
• 在 /etc/profile 开头插入校验段：检查 /etc/profile.d/ 中是否存在非 root 属主或非 644 权限文件，发现即 exit 1，防止静默加载恶意脚本

PATH 变量必须显式定义并拒绝危险路径

PATH 中出现空字段（如开头或结尾的冒号）、.、/tmp、/var/tmp 或用户可写目录，极易被用于二进制劫持：

• 在 /etc/profile 或专用脚本（如 /etc/profile.d/security-path.sh）中强制覆盖 PATH：export PATH="/usr/local/bin:/usr/bin:/bin:/usr/local/sbin:/usr/sbin:/sbin"
• 添加运行时校验逻辑：case ":$PATH:" in *":.:"*|*":/tmp:"*|*":/var/tmp:"*) echo "Unsafe PATH" >&2; exit 1;; esac
• 禁止通过 ~/.bashrc 或 ~/.profile 覆盖 PATH —— 在 /etc/profile 末尾加 export PATH="..." 后紧跟 readonly PATH，虽不继承只读属性，但配合不可写路径才真正生效

敏感变量禁止明文导出，改用受控注入机制

数据库密码、API密钥、内部服务地址等绝不能以 export SECRET=xxx 形式出现在全局配置中：

• 全局文件中删除所有含 export.*_PASSWORD、export.*_KEY、export.*_TOKEN 的行
• 如需注入，使用 root-only 可读的外部文件（如 /etc/secenv），并在 source 前校验：[ -r /etc/secenv ] && [ "$(stat -c '%U:%G' /etc/secenv)" = "root:root" ] && [ "$(stat -c '%a' /etc/secenv)" = "600" ] && source /etc/secenv
• Java 类应用推荐通过 systemd 环境文件（EnvironmentFile=/etc/sysconfig/java-env）管理 JAVA_HOME 和 CLASSPATH，避免污染用户级环境

建立运行时审计与自动化验证机制

静态配置易被绕过，需结合运行时行为检测和定期基线比对：

• 用 bash -ilc 'echo $PATH' 模拟真实登录 shell，避免交互缓存干扰；再逐段检查：for d in $(echo $PATH | tr ':' 'n'); do ls -ld "$d" 2>/dev/null | grep -E '^-.*[w-]{2}..[w-]'; done
• 搜索可疑定义：grep -r 'export.*=' /etc/profile* /etc/profile.d/ 2>/dev/null | grep -vE '(PATH|HOME|LANG|USER)'
• 部署轻量检查脚本（如 /usr/local/bin/check-profile），纳入 cron 每日执行，并将异常结果发至运维告警通道