SUID文件本身不危险，关键在于识别非系统核心、位置异常、权限宽松或已知可滥用的SUID程序；应优先检查/usr/local/bin、/tmp等高风险路径，并通过属主、行为、白名单和测试运行综合判断风险。
直接用 find 命令搜 SUID 文件本身不危险，但关键在于“识别哪些是不安全的”。SUID 位（即所有者执行位上的 s）意味着普通用户执行该文件时会临时获得文件所有者的权限——如果所有者是 root，那执行它就等于以 root 身份运行。因此，真正需要警惕的是：非系统核心、位置异常、权限宽松、或已知可被滥用的 SUID 可执行文件。
基础查找命令（必须加 sudo）
从根目录搜索所有带 SUID 位的普通文件，并屏蔽权限错误：
sudo find / -type f -perm -4000 2>/dev/null
等价写法（符号模式）：
sudo find / -type f -perm -u=s 2>/dev/null
说明：
– -type f 排除目录和链接，只查可执行文件；
– -perm -4000 表示“包含 SUID 位”，比 /4000（匹配任意含 SUID 的权限组合）更精准；
– 2>/dev/null 过滤“Permission denied”等干扰信息。
聚焦高风险路径，提升排查效率
全盘扫描耗时且结果冗长，建议优先检查以下目录（它们常被植入或误配）：
- /usr/local/bin：第三方软件安装目录，SUID 文件极可能非官方，需重点审查
- /tmp 和 /var/tmp：若发现 SUID 文件，基本可判定为恶意或配置错误（正常系统不应在此设 SUID）
- /home/*/.local/bin：用户私有 bin 目录，普通用户若能写入并设 SUID，存在提权隐患
- /opt：部分商业软件存放处，需核对是否为可信厂商发布
示例命令：
sudo find /usr/local/bin /tmp /var/tmp -type f -perm -4000 2>/dev/null
快速识别可疑文件的实操技巧
光列出文件不够，要立刻判断风险。执行以下步骤逐个验证：
-
看属主和权限：用
ls -l /path/to/file检查。若属主不是 root 或 bin 等系统账户，而是普通用户或未知账户，高度可疑 -
看执行行为：运行
strings /path/to/file | grep -i "sh\|exec\|system\|popen"，若输出含 shell 调用关键字，说明程序可能动态执行命令，易被劫持 -
查是否在白名单中：标准系统中常见的合法 SUID 文件包括
/usr/bin/passwd、/usr/bin/sudo、/usr/bin/ping等。不在该范围内的，尤其名称怪异（如sysupdate、loghelper）或路径非常规的，应标记待查 -
试运行并观察：在隔离环境（如测试机）中，用普通用户执行该文件，看是否报错、是否启动 shell、是否读写敏感路径（如
/etc/shadow）
确认风险后该怎么做
发现可疑 SUID 文件，不要直接删除，先保留证据再处置：
- 记录文件路径、属主、MD5 值：
ls -l /path; md5sum /path - 检查文件来源：
rpm -qf /path（RHEL/CentOS）或dpkg -S /path（Debian/Ubuntu），若无返回，大概率是手动植入 - 移除 SUID 位（临时缓解）：
sudo chmod u-s /path - 彻底删除（确认无业务依赖后）：
sudo rm /path
日常建议：定期执行 SUID 扫描 + 人工审计，加入安全巡检脚本；禁用非必要 SUID，遵循最小权限原则。
