临时目录的失控往往是网站被提权、被植入后门、被拖取源码的第一站。很多运维把精力放在WAF和数据库加固上，却忽略了服务器上 /tmp、/var/tmp、以及PHP、Java、.NET等运行环境自建的临时缓存目录。攻击者一旦通过任意文件上传、文件包含或反序列化漏洞获得写入能力，最先利用的就是这些目录，因为这里通常可写、可执行，且长期无人清理。

临时目录安全管控的核心不是“删除临时文件”这么简单，而是要同时解决三个问题：谁可以写、写入后能不能被执行、目录本身是否被监控。只做其中任何一项，防护都形同虚设。下面直接拆解具体的风险点和可落地的管控方案。

一、临时目录为什么成为攻击链条的关键节点

网站运行过程中，程序会产生大量临时数据：会话文件、缓存片段、上传分片、编译中间文件、日志缓冲等。为了性能，这些目录通常被设置为高权限、高可写，并且位于系统默认路径。攻击者拿到一个低权限的Web进程后，第一件事就是枚举可写目录，临时目录几乎必中。

更危险的是，很多临时目录还带有“可执行”属性。Linux下如果/tmp挂载时没有加noexec，攻击者上传一个ELF木马或脚本后可以直接运行；Windows服务器上，如果IIS应用池对C:\Windows\Temp或.NET临时编译目录有写权限，配合某些反序列化漏洞就能落地程序集并加载。

还有一个常被忽略的点：临时目录中残留的敏感信息。数据库备份、调试日志、用户上传的身份证照片、支付回调的临时文件，都可能因为程序异常退出而留在临时目录里。这些文件没有访问控制，任何能进入该目录的进程或用户都能读取。

二、Linux服务器临时目录加固的具体做法

第一步，检查当前挂载情况。执行 mount | grep tmp 查看/tmp和/var/tmp是否独立分区。如果没有独立分区，建议划分单独分区或至少用tmpfs挂载，并加上限制参数。推荐挂载参数如下：

# /etc/fstab 示例
tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev,size=2G,mode=1777 0 0
tmpfs /var/tmp tmpfs defaults,noexec,nosuid,nodev,size=1G,mode=1777 0 0

noexec禁止在该分区执行二进制文件，nosuid禁止SUID位生效，nodev禁止设备文件解析。这三个参数能阻断绝大多数“上传后直接执行”的攻击路径。mode=1777保留sticky bit，确保只有文件所有者能删除自己的文件，防止恶意用户清空整个目录。

第二步，对PHP等脚本语言的临时目录做单独限制。PHP的upload_tmp_dir和session.save_path如果指向/tmp，即使/tmp加了noexec，PHP仍可通过解释器执行其中的.php文件。因此需要在php.ini中把这两个路径指向独立目录，并且该目录不允许Web服务器直接解析PHP。以Nginx+PHP-FPM为例：

; php.ini
upload_tmp_dir = /var/www/tmp/upload
session.save_path = /var/www/tmp/session

然后在Nginx配置中，对该目录下的PHP文件直接返回403，而不是交给PHP-FPM处理：

location ~* ^/tmp/.*\.(php|php5|phtml)$ {
    deny all;
}

第三步，设置目录权限和属主。临时目录应仅对运行Web服务的用户开放写权限，其他用户一律只读或不可访问。例如Nginx和PHP-FPM以www-data用户运行，那么：

mkdir -p /var/www/tmp/upload /var/www/tmp/session
chown www-data:www-data /var/www/tmp/upload /var/www/tmp/session
chmod 700 /var/www/tmp/upload /var/www/tmp/session

700权限意味着只有www-data用户能进入和写入，其他系统用户无法读取其中的文件。这能防止低权限的系统账户或已被入侵的其他服务进程窃取临时文件中的敏感数据。

三、Windows服务器临时目录的权限收敛

Windows服务器的临时目录主要有三处：C:\Windows\Temp、用户目录下的AppData\Local\Temp、以及.NET运行时使用的临时编译目录。IIS应用池的身份通常是IIS AppPool\应用池名称，该身份默认对系统Temp目录有写权限，这是很大的隐患。

首先，为每个应用池创建独立的临时目录，例如D:\WebTemp\AppPoolName。然后在IIS应用池的高级设置中，将“加载用户配置文件”设为False，避免自动使用系统用户临时目录。接着修改应用池身份的临时目录环境变量，可以通过应用程序的web.config或代码中指定。

其次，对C:\Windows\Temp做权限收紧。右键该目录，进入安全选项卡，移除IIS应用池身份和Users组的写权限，只保留SYSTEM和Administrators的完全控制。如果某些老程序确实需要写系统Temp，可以单独给该程序的应用池身份添加“写入”和“列出文件夹内容”权限，但不要给“修改”和“完全控制”。

第三，针对.NET的临时编译目录。ASP.NET在运行时会生成动态编译文件，默认位于C:\Windows\Microsoft.NET\Framework64\版本号\Temporary ASP.NET Files。攻击者如果能写入该目录，就能替换编译后的程序集。建议在应用程序的web.config中指定自定义临时目录：

该目录同样只授予应用池身份最小权限，并且要定期清理。编译缓存文件长期不清理会导致磁盘占用膨胀，也增加了被植入文件后难以排查的风险。

四、临时目录的监控与自动清理机制

权限加固只能防止写入和执行的滥用，但无法阻止程序正常产生的临时文件堆积。长期不清理的临时目录不仅占用磁盘，还会成为攻击者藏匿后门的隐蔽角落。因此必须建立监控和清理机制。

Linux下可以用systemd-tmpfiles或cron定时清理。以systemd-tmpfiles为例，创建配置文件：

# /etc/tmpfiles.d/webapp-tmp.conf
d /var/www/tmp/upload 700 www-data www-data 1d
d /var/www/tmp/session 700 www-data www-data 1d

上述配置表示每天清理一次，删除超过1天未修改的文件。对于会话文件，清理周期要根据业务会话有效期调整，避免用户频繁掉线。

监控方面，推荐使用auditd或inotify对临时目录进行写入事件记录。重点监控以下行为：临时目录中出现.php、.jsp、.exe、.dll、.so等可执行文件；文件大小异常增长；短时间内大量文件创建。auditd规则示例：

-w /var/www/tmp/upload -p wa -k web_tmp_write
-w /var/www/tmp/session -p wa -k web_tmp_session

一旦有写入，日志会记录进程名、用户、时间戳和文件名。配合集中日志平台，可以快速发现异常上传或后门落地行为。

Windows下可以使用任务计划程序配合PowerShell脚本定期清理。脚本示例：

$path = "D:\WebTemp\AppPoolName"
$days = 3
Get-ChildItem -Path $path -Recurse -Force | Where-Object {
    $_.LastWriteTime -lt (Get-Date).AddDays(-$days)
} | Remove-Item -Force -Recurse -ErrorAction SilentlyContinue

将该脚本设置为每天凌晨执行，同时开启NTFS审计策略，对临时目录的“写入”和“删除”操作记录到安全日志。这样既能自动清理，又能保留操作痕迹。

五、应用层临时文件处理的开发规范

服务器层面的管控之外，应用代码本身对临时文件的处理方式也直接决定安全水位。开发阶段就应遵循几个原则：临时文件使用后立即删除；文件命名使用随机字符串而非用户可控参数；禁止将用户上传的文件直接保存在可预测路径；敏感数据写入临时文件时必须加密。

很多文件包含漏洞的根源，就是程序将用户上传的文件放在可预测的临时路径，然后通过参数拼接包含该文件。如果上传目录不可执行、不可解析脚本，即使文件落地也无法触发代码执行。这就是为什么临时目录要和应用代码目录物理隔离，并且不配置脚本解析能力。

另外，对于需要跨请求保留的临时数据，应优先使用内存缓存或数据库，而不是文件系统。文件系统临时目录的可控性远低于内存和数据库，一旦文件落地，就存在被读取、被篡改、被包含的风险。

六、应急响应中临时目录的排查要点

当网站被入侵后，临时目录是必须重点排查的位置。排查顺序建议如下：先看最近24小时内创建或修改的文件，再按文件类型筛选可执行文件，最后检查文件内容中是否包含WebShell特征。

Linux下常用命令：

find /tmp /var/tmp /var/www/tmp -type f -mtime -1 -ls
find /tmp /var/tmp /var/www/tmp -type f \( -name "*.php" -o -name "*.jsp" -o -name "*.pl" -o -name "*.sh" -o -name "*.elf" \) -ls

Windows下可以在PowerShell中执行：

Get-ChildItem C:\Windows\Temp, D:\WebTemp -Recurse -Force -ErrorAction SilentlyContinue |
    Where-Object { $_.LastWriteTime -gt (Get-Date).AddHours(-24) } |
    Select-Object FullName, Length, LastWriteTime

排查时不要只看文件名，攻击者常把后门命名为看似正常的文件，比如cache_1.tmp、session_abc123。要结合文件内容中的特征码来判断，例如PHP文件中的eval、base64_decode、system等函数，或者二进制文件中的MZ头、ELF头。

临时目录安全管控是一项系统工程，涉及系统配置、应用配置、代码规范和监控响应。单独做任何一项都容易被绕过，只有把“写权限最小化、执行能力剥离、生命周期管理、异常行为监控”四层同时落地，才能真正压缩攻击者的利用空间。对于已经上线的业务，建议先做一次临时目录权限审计，再逐步推进自动清理和监控，避免一次性改动过大导致业务异常。