办公室的享目共享盘里躺着一个名为“部门资料”的文件夹。上周三下午，录存我亲眼看着同事老张往里拖了一个excel，可写文件名就叫“工资明细-千万别看”。权限五分钟后，享目全公司都知道了他的录存年终奖数额。这事不怪老张手滑，可写怪的权限是那个共享目录的权限设置——它允许所有人写入。

Samba共享目录的享目可写权限，是录存Linux服务器运维里最容易被忽视的漏洞之一。很多管理员图省事，可写直接把writable = yes甩给整个共享根目录，权限觉得内网安全，享目或者“反正都是录存自己人”。可“自己人”的可写范围比你想象的大得多。上次给一家贸易公司做安全审计，发现他们的Samba共享里有个“销售报价”文件夹，不仅全员可写，还开着guest访问。销售助理离职前往里塞了个带宏病毒的Excel，第二天整个销售部的电脑都开始弹窗。

更阴险的场景是勒索病毒。它不挑系统，只要发现一个可写的SMB共享，就加密里面的文件，然后留txt勒索信。你以为Samba装在Linux上就高枕无忧？病毒才不管你是SMB还是CIFS协议，只要端口445开着，可写权限开着，它就是一路畅通。有个真实的案例：某制造业工厂的MES系统数据备份目录，通过Samba映射给产线终端用于临时存取。管理员图方便，把整个备份目录设为可写。结果一台产线电脑中毒，勒索病毒顺着共享把过去三年的生产记录全加密了。最后花了十几万找数据恢复公司，只找回七成。

别急着说“我们公司没这么倒霉”。你打开终端跑一句showmount -e 服务器IP，或者用smbclient枚举一下共享列表，看看哪些目录是drwxrwxrwx。我打赌，至少有一个共享目录的权限是777或者带“写”的。很多管理员把Samba当Windows共享用，却忘了Linux文件系统权限和Samba配置是两层皮。你光在smb.conf里写read only = no，但底层目录权限是755，那普通用户还是写不进去——可一旦你为了省事把目录权限改成777，Samba那边又开着writable，那这扇门就彻底敞开了。

正确的做法其实不复杂。把共享目录拆细，按部门或业务建子目录，每个子目录单独设权限。比如“财务”目录只让财务组可写，其他组只读；“临时交换”目录单独设一个，定期清理，而且禁止放可执行文件。Samba配置里用valid users和write list精确控制，别再用force user = root这种一刀切。底层目录权限保持755或750，Samba那边再配合create mask = 0644、directory mask = 0755，这样即使Samba配置写错，文件系统权限还能兜底。

另外，把guest ok = no设成默认，别图方便开匿名访问。审计日志也别关，log level = 2就够用，定期翻翻有没有异常写入。你不需要天天盯着，但至少每周花两分钟扫一眼最近修改的文件。老张那个工资表，如果共享目录只对财务组可写，他根本拖不进去——就算拖了，系统也会弹“拒绝访问”。

共享目录的可写权限，本质上是对人性的假设。你假设同事不会误操作，假设离职员工不会报复，假设病毒不会恰好扫到445端口。可现实是，所有假设都会在某个周五下午被打破。把权限收紧，不是不信任同事，而是给所有人留个退路。毕竟，谁也不想下周一的晨会上，讨论的是“为什么共享盘里多了个叫‘别点我.exe’的文件”。

(责任编辑：综合)