| 命令 | getcap -r / |
|---|---|
| 常见基线 | ping 的 cap_net_raw、部分服务的绑定低端口能力 |
清点
清点
getcap -r / 2>/dev/null
find / -xdev -type f -exec getcap {} + 2>/dev/null | head能力位可以用 setcap 移除，但处置前先记录原始状态作为证据。
文件能力位（capabilities）排查
capabilities 把 root 权限拆分到具体能力，设置了 cap_setuid、cap_dac_read_search 等能力的程序可绕过常规权限模型，需单独核查。
易错点
- 能力在文件复制时可能丢失，打包证据要用能保留 xattr 的方式
- 与 SUID 列表合并看，才能覆盖全部权限异常面
数据来源与参考
- man 8 getcap（libcap）
- capabilities(7) 手册页