服务器安全体检需重点排查SUID/SGID普通可执行文件：用find定位，file验证ELF类型，聚焦非标路径、非root属主及异常属组，并人工复核权限、属主、属组和白名单状态。
权限管理中，通过查找含特殊权限位的程序做服务器安全体检，核心是定位那些可能被滥用提权的可执行文件。SUID 和 SGID 是关键风险点，Sticky 位对单个二进制文件无实际提权意义，可忽略。
重点查 SUID/SGID 的普通可执行文件
只扫描普通文件（-type f），排除目录和符号链接，避免误报：
- 找所有 SUID 文件：find / -type f -perm -4000 -ls 2>/dev/null
- 找所有 SGID 文件：find / -type f -perm -2000 -ls 2>/dev/null
- 同时查两者：find / -type f \( -perm -4000 -o -perm -2000 \) -ls 2>/dev/null
确认是否为真实 ELF 可执行文件
仅看权限不够——脚本设 SUID 多数无效，必须验证文件类型：
- 结合 file 命令筛选 ELF 可执行体：find / -type f -perm -4000 -exec file {} \; 2>/dev/null | grep -i 'ELF.*executable'
- 一行输出路径（更简洁）：find / -type f -perm -4000 -exec sh -c 'file "$1" | grep -q "ELF.*executable" && echo "$1"' _ {} \; 2>/dev/null
聚焦高危路径与可疑属主
不是所有 SUID 文件都危险，但以下情况需立即人工核查：
- 出现在非标准路径：/usr/local/bin、/opt、/home/*/.local/bin 等
- 属主不是 root（如属主为普通用户或 nobody）
- 属组为非系统组（如 staff、users、wheel 以外的自定义组）
- 示例命令（查 /usr 下非 root 属主的 SUID ELF）：find /usr -type f -perm -4000 ! -user root -exec file {} \; 2>/dev/null | grep -i 'ELF.*executable'
交叉验证比单次扫描更可靠
每条结果都应人工复核，不能只信 find 输出：
- 用 ls -l 路径 看完整权限、属主、属组和时间戳
- 用 file 路径 再确认是否为真实可执行二进制
- 检查该文件是否在发行版白名单内（如 /usr/bin/sudo、/usr/bin/passwd 是合法 SUID）
- 若路径陌生、属主异常、修改时间近期，优先隔离并逆向分析
