| 查找 | find 权限 4000/2000 |
|---|---|
| 常见正常项 | sudo、passwd、ping、mount |
| 可疑 | 在 /tmp 可执行、属主 root 的陌生文件 |
| 校验 | rpm -qf / dpkg -S 查包归属 |
全盘找 SUID 并核对包归属
全盘找 SUID 并核对包归属
find / -xdev -perm -4000 -type f -exec ls -l {} + 2>/dev/null | head -n 40
rpm -qf /usr/bin/passwd 2>/dev/null; dpkg -S /usr/bin/passwd 2>/dev/null容器与自定义部署会引入额外 SUID 文件：先建基线，再谈异常。