自动更新系统补丁的脚本怎么写

wen 实用脚本 2026-07-11 248

从入门到生产级部署指南

📑 目录导读

为什么需要自动更新脚本？
核心脚本编写原理
Windows系统补丁自动更新脚本实战
Linux系统补丁自动更新脚本实战
安全加固与错误处理机制
常见问题与问答（FAQ）
总结与最佳实践建议

为什么需要自动更新脚本？

在运维工作中,手动修补成百上千台服务器漏洞不仅效率低下，还容易遗漏关键安全更新，根据2024年Verizon数据泄露报告，60%的入侵事件源于已知但未修补的漏洞，自动更新脚本能实现：

自动更新系统补丁的脚本怎么写

零遗漏：定时触发补丁安装，避免人为疏忽
合规要求：满足PCI DSS、ISO 27001等安全标准
减少停机：支持分批重启，控制影响窗口

核心脚本编写原理

自动补丁脚本需要解决三个关键问题：

检测可用更新：调用系统更新API或包管理器
选择性安装：区分安全补丁、关键更新和驱动
回滚保障：失败时自动还原系统状态

Windows系统补丁自动更新脚本实战

1 使用PowerShell调用Windows Update API

# 安装Windows Update模块（需管理员权限）
Install-Module -Name PSWindowsUpdate -Force -Verbose
# 核心更新脚本：只安装安全更新和重要补丁
$Criteria = "IsInstalled=0 and Type='Software' and IsHidden=0"
$Updates = Get-WUList -Criteria $Criteria | Where-Object {$_.Title -match "Security|Critical"}
if ($Updates.Count -gt 0) {
    Write-Output "发现 $($Updates.Count) 个安全更新"
    # 下载并安装，设置自动重启
    Install-WUUpdates -Updates $Updates -AcceptAll -AutoReboot:$true
} else {
    Write-Output "无需更新"
}

2 生产级增强脚本（带日志与回滚）

$LogFile = "C:\UpdateLog\Patch_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"
$ErrorActionPreference = "Stop"
try {
    $Session = New-Object -ComObject Microsoft.Update.Session
    $Searcher = $Session.CreateUpdateSearcher()
    $Result = $Searcher.Search("IsInstalled=0 and (CategoryIDs contains '0FA1201D-4330-4FA8-8AE9-877F6675F52C' or CategoryIDs contains 'E6CF1350-C01B-414D-A61F-263D14D133B4')")
    if ($Result.Updates.Count -gt 0) {
        Add-Content -Path $LogFile -Value "正在安装 $($Result.Updates.Count) 个更新"
        foreach ($Update in $Result.Updates) {
            try {
                Install-WindowsUpdate -KBArticleID $update.Identity.UpdateID -Log $LogFile
                Add-Content -Path $LogFile -Value "成功安装: $($Update.Title)"
            } catch {
                Add-Content -Path $LogFile -Value "失败: $($Update.Title) - $($_.Exception.Message)"
            }
        }
        # 非工作时间重启
        $RestartTime = (Get-Date).AddMinutes(15)
        Register-ScheduledTask -TaskName "Update_Reboot" -Action (New-ScheduledTaskAction -Execute "shutdown" -Argument "/r /t 60 /c '系统安全更新重启'") -Trigger (New-ScheduledTaskTrigger -Once -At $RestartTime) -Force
    }
} catch {
    Add-Content -Path $LogFile -Value "脚本异常: $($_.Exception)"
}

Linux系统补丁自动更新脚本实战

1 Ubuntu/Debian环境（apt包管理器）

#!/bin/bash
# auto_patch_linux.sh
LOG_FILE="/var/log/auto_patch_$(date +%Y%m%d%H%M).log"
# 只安装安全更新
sudo apt update -qq 2>&1 | tee -a $LOG_FILE
SECURITY_UPDATES=$(apt list --upgradable 2>/dev/null | grep security | awk '{print $1}' | head -c -1 | tr '\n' ' ')
if [ -n "$SECURITY_UPDATES" ]; then
    echo "发现安全更新: $SECURITY_UPDATES" | tee -a $LOG_FILE
    # 注意：生产环境建议先测试再安装
    sudo apt install -y $SECURITY_UPDATES --only-upgrade | tee -a $LOG_FILE
    if [ $? -eq 0 ]; then
        echo "补丁安装成功，检查是否需要重启" | tee -a $LOG_FILE
        if [ -f /var/run/reboot-required ]; then
            echo "系统需要重启，将在5分钟后自动重启" | tee -a $LOG_FILE
            sudo shutdown -r +5 "自动安全更新完成，系统重启"
        fi
    else
        echo "部分更新安装失败，请检查日志" | tee -a $LOG_FILE
    fi
else
    echo "无安全更新" | tee -a $LOG_FILE
fi

2 CentOS/RHEL环境（yum/dnf包管理器）

#!/bin/bash
# centos_patch.sh
# 仅安装安全相关的更新
sudo yum update --security -y 2>&1 | tee /var/log/yum_security_$(date +%Y%m%d).log
# 或使用 dnf (RHEL 8+)
sudo dnf update --security -y
# 检查是否重启
needs-restarting -r > /dev/null 2>&1
if [ $? -eq 1 ]; then
    echo "重启必要，执行重启"
    sudo reboot
fi

安全加固与错误处理机制

可靠的自动更新脚本必须包含以下防护措施：

1 白名单机制

只允许安装经过预审的补丁：事先将补丁KB号存入 approved_list.txt

示例：

while read -r kb; do
    if echo "$update" | grep -q "$kb"; then
        install_patch "$update"
    fi
done < approved_list.txt

2 熔断保护

当连续失败3次或占用CPU/内存超过阈值时，暂停更新并告警
错误日志必须包含：时间戳、补丁ID、失败原因、当前系统状态

3 回滚机制

Windows：使用 wusa.exe /uninstall /kb:123456 命令
Linux：保留补丁前系统快照（LVM snapshots或rsync备份）

常见问题与问答（FAQ）

Q1: 自动更新脚本需要多大的权限？

Windows：需要本地管理员权限，建议使用GPO分配或托管服务账户
Linux：需要root或sudo权限，通过 /etc/sudoers 精确控制命令范围

Q2: 如何避免补丁冲突导致蓝屏？

分批次更新：先在测试环境验证，再逐步推广到生产（2% → 10% → 全量）
使用WSUS/SCUP等服务器独立管控补丁审批

Q3: 脚本如何通知运维人员？

集成企业微信/钉钉机器人Webhook：

import requests
url = "https://qyapi.weixin.qq.com/cgi-bin/webhook/send?key=xxx"
payload = {"msgtype": "text", "text": {"content": "补丁安装完成，重启成功"}}
requests.post(url, json=payload)

Q4: 脚本更新期间能保证服务可用吗？