账号与后门排查23 条

Linux capabilities 提权点排查

文件 capabilities 让普通程序获得部分 root 能力（如 cap_setuid 直接切换身份）：比 SUID 更隐蔽，用 getcap 全盘检查。

查看	getcap -r /（需 root）
高危能力	cap_setuid、cap_setgid、cap_sys_admin
正常	ping 的 cap_net_raw 等
关系	与 SUID 并列的提权面

列出全部文件能力

getcap -r / 2>/dev/null | head -n 40
getcap -r / 2>/dev/null | grep -vE '^/(usr/)?(s?bin|lib)' | head -n 20

cap_setuid 与 cap_setgid 组合等价于本地 root：出现在业务文件上必须解释清楚。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌