| 用途 | 盘点提权风险面 |
|---|---|
| 语法 | find / -perm -4000 / -2000 |
| 产出 | 清单 + 基线 diff |
全盘扫描
全盘扫描
sudo find / -xdev -type f -perm -4000 -ls 2>/dev/null | tee /var/log/suid-audit-$(date +\%F).txt
sudo find / -xdev -type f -perm -2000 -ls 2>/dev/null | tee -a /var/log/suid-audit-$(date +\%F).txt
# 与昨日基线比对
sudo diff <(awk '{print $11}' /var/log/suid-audit-$(date -d yesterday +\%F).txt | sort) \
<(awk '{print $11}' /var/log/suid-audit-$(date +\%F).txt | sort)-xdev 不跨文件系统，避免扫描挂载的备份盘与 NFS；两次扫描比对是最实用的入侵检测土办法。