先用ls -l确认find/vim/bash执行位是否含s（如-rwsr-xr-x），再用find命令批量检查常用路径，发现SUID后用chmod u-s清除，切勿误用数字模式；bash带SUID基本是后门，需立即清除。
怎么确认 find/vim/bash 是否真被设了 SUID
别凭感觉删，先验证。很多系统默认就不带 SUID，误删反而导致 passwd 或 sudo 失效。用 ls -l 看执行位是否含 s：
ls -l /usr/bin/find /usr/bin/vim /bin/bash
输出中若出现 -rwsr-xr-x（注意第三位是 s 而非 x），才说明被加了 SUID；若是 -rwxr-xr-x，就不用动。
批量检查更省事：
find /usr/bin /bin /usr/local/bin -type f \( -name "find" -o -name "vim" -o -name "bash" \) -perm -4000 2>/dev/null
这个命令只扫常用路径，跳过挂载点和权限报错，结果为空 = 安全；有输出 = 需处理。
取消 SUID 的正确 chmod 写法
用 chmod u-s，不是 chmod 755 或 chmod 644 —— 后者会意外去掉执行权限，直接让命令跑不起来。
chmod u-s /usr/bin/findchmod u-s /usr/bin/vimchmod u-s /bin/bash
执行后立刻 ls -l 确认：s 变回 x，且其他权限位没变。如果发现 vim 权限变成 -rw-r--r--，说明你误用了数字模式，得立刻 chmod u+x 补回执行位。
注意：bash 在多数发行版里根本不能也不该设 SUID（glibc 会主动拒绝执行），所以如果 ls -l /bin/bash 显示带 s，基本是人为硬加的后门，必须清除。
为什么不能只靠 find 扫描就删光所有 SUID 文件
因为有些 SUID 是业务刚需，比如 /usr/bin/passwd 必须能改自己密码，/usr/bin/sudo 必须提权执行命令。盲目执行 find / -perm -4000 -type f -exec chmod u-s {} \; 会导致系统功能瘫痪。
真正该做的三件事：
- 先用
find / -perm -4000 -type f 2>/dev/null > /tmp/suid_list.txt导出清单 - 人工过一遍：看属主是不是 root、文件名是否在可信白名单里（如
passwd、sudo、su） - 对
find、vim、nmap、cp、awk这类工具，只要不是你明确配置过且审计过用途的，一律chmod u-s
特别警惕 /usr/bin/find 带 SUID —— 它的 -exec 参数可直接起 root shell，比 vim !sh 更隐蔽、更难防御。
删完之后怎么验证没留后门
清除只是第一步，得确认攻击者没偷偷再加回去。建议做两件事：
- 用
stat /usr/bin/find查看Change time（ctime），如果时间戳比你操作时间还新，说明有人改过 - 把清理后的 SUID 清单存档：
find /usr/bin /bin -perm -4000 -type f 2>/dev/null | sort > /etc/suid-whitelist-$(date +%F)，后续对比就能发现异常新增
最易被忽略的一点：SUID 文件可能不在标准路径。比如攻击者把带 SUID 的 find 拷到 /tmp/.x 或 /dev/shm/xx 下，常规扫描会漏掉。临时目录和内存文件系统要单独扫一次：
find /tmp /dev/shm -type f -perm -4000 2>/dev/null
