Linux权限维持（二）：文件权限后门—SUID/SGID提权后门与排查

2.4 为什么要有 -p 这个设计？

因为 bash 的作者不想让 SUID bash 成为后门。

他们专门加了这个“安全锁”：即使你给 bash 加了 SUID，默认还是会拒绝提权。你必须主动用 -p 说“我就是要提权”，才给你权限。

目的：

• 让管理员用 SUID bash 做自动化脚本时不会意外提权

• 让攻击者必须多一步操作

3. 综合排查与应急响应

3.1 查找 SUID/SGID 文件

# 查找所有 SUID 文件
find / -perm /4000 -type f 2>/dev/null

# 查找所有 SGID 文件
find / -perm /2000 -type f 2>/dev/null

# 查找 SUID 或 SGID 文件（一条命令）
find / -perm /6000 -type f 2>/dev/null

# 查找最近 7 天内新增的 SUID 文件
find / -perm /4000 -type f -mtime -7 2>/dev/null

# 查找临时目录中的 SUID 文件
find /tmp /var/tmp /dev/shm -perm /4000 -type f 2>/dev/null

# 查找用户家目录中的 SUID 文件
find /home -perm /4000 -type f 2>/dev/null

3.2 分析可疑的 SUID 文件

# 检查文件的修改时间（对比系统安装时间） 
stat /tmp/.system_update


 # 查看文件内容（如果是脚本） 
cat /tmp/.system_update 


# 用 strings 提取字符串，判断是否可疑
strings /tmp/.system_update | grep -E "bash|sh|root|uid"

3.3 常见可疑路径

3.4 清除 SUID 后门

# 移除 SUID 权限 
chmod u-s /tmp/.system_update 


# 删除文件
rm -f /tmp/.system_update

3.4 文件完整性验证（RHEL 8）

使用 RPM 验证系统文件完整性： 

# 验证所有 RPM 包安装的文件 
rpm -Va 

# 重点关注 SUID 相关的变更 
rpm -Va | grep -E '^..S|^M' 


# 验证特定命令
rpm -V coreutils | grep bash

输出解读：

3.5 日志取证

# 查找 SUID 文件的创建/修改记录
ausearch -f /tmp/.system_update 2>/dev/null 



# 查找普通用户执行提权命令的记录
 grep -E "bash -p|sh -p" /var/log/secure

4. 防御与加固建议

4.1 定期扫描

# 每周扫描并记录 SUID 文件变化
find / -perm /4000 -type f 2>/dev/null > /var/log/suid_list_$(date +%Y%m%d).log



 # 对比差异 
diff /var/log/suid_list_20250101.log /var/log/suid_list_20250108.log

4.2 监控配置（auditd）

# 监控 /tmp 目录下新增可执行文件
 auditctl -w /tmp -p wa -k tmp_exec 

# 监控 SUID 权限变更 
auditctl -a always,exit -F perm=x -F suid=1 -k suid_change

4.3 最小化原则

• 定期清理 /tmp 目录

• 使用 noexec 挂载 /tmp 分区（限制执行权限）

• 限制普通用户对 /tmp 的写入权限

• # /etc/fstab 中添加
  tmpfs /tmp tmpfs defaults,noexec,nosuid 0 0

5. 总结

核心原则：

• 正常系统中，/tmp、/var/tmp、用户家目录不应出现 SUID 文件

• 定期执行 find / -perm /4000 检查异常

• 使用 rpm -Va 验证系统文件完整性

命令一句话总结：

-p = “我是老板！” 声明，告诉 bash：我要提权，给我 root。