| 命令 | find -perm -4000（SUID）、-perm -2000（SGID） |
|---|---|
| 范围 | -xdev 避免跨挂载点 |
清点
清点
find / -xdev -perm -4000 -type f 2>/dev/null | sort
find / -xdev -perm -2000 -type f 2>/dev/null | sort | head -20先落地一次标准清单作为基线，后续差异比单次结果更有意义。
SUID/SGID 文件排查
SUID 位让普通用户以文件属主权限执行程序，新增的 SUID 文件常被用于本地提权，排查时与系统基线清单对比。
易错点
- 发行版自带 SUID 程序（如 su、passwd）属正常，逐项对照基线
- 挂载 NFS 或容器目录会影响结果，先明确扫描范围
数据来源与参考
- man 1 find（GNU findutils）
- man 1 chmod（权限位说明）