Linux权限基线对比工具通过识别SUID/SGID异常、文件权限偏离、启动项变更等线索辅助后门研判，需基于生产环境建基线、自动化比对、聚焦高风险模式并多维度验证。
Linux系统权限基线对比工具本身不直接“发现后门”，而是通过识别偏离正常权限配置的异常项（如非预期的SUID二进制、异常属主、可疑文件权限、未授权的启动项等），为人工研判后门提供高价值线索。关键在于建立可信基线、精准比对、结合上下文分析。
一、先建立可信权限基线
基线质量决定检测效果。不要依赖“默认安装”或网上模板，而应基于实际生产环境构建：
- 在全新部署、最小化安装、完成必要配置（如用户、服务、安全加固）后的纯净系统上采集基线
- 使用getfacl -R /bin /usr/bin /sbin /usr/sbin /etc /var/log /etc/init.d /etc/systemd/system导出关键路径的完整ACL和权限快照
- 用find /bin /usr/bin /sbin /usr/sbin -perm -4000 -o -perm -2000 2>/dev/null | xargs ls -l单独记录所有SUID/SGID程序及其属主和校验和（sha256sum）
- 保存ls -la /etc/cron*、systemctl list-unit-files --state=enabled、ls -la /etc/rc*.d等启动项清单
二、定期采集当前状态并自动化比对
避免手工逐行核对。推荐轻量级组合方案：
- 用diff命令直接比对两次getfacl输出：diff baseline.acl current.acl | grep -E "^[]"
- 用rpm -Va（RHEL/CentOS）或dpkg --verify（Debian/Ubuntu）检查系统包文件完整性，重点关注S（大小变更）、M（权限/属主变更）、5（SHA256校验失败）标记
- 编写简单脚本，扫描/tmp、/dev/shm、/var/tmp中权限为777且属主非root的可执行文件（常见内存马、临时后门藏匿点）
三、聚焦高风险权限异常模式
以下差异需立即人工介入，不是所有变更都危险，但这些类型后门出现概率极高：
- SUID root shell（如 /tmp/bash -p）或伪装成常用工具（/usr/local/bin/ls）：检查find / -perm -4000 -uid 0 2>/dev/null结果中不在基线列表里的项
- /etc/passwd 或 /etc/shadow 权限放宽（如变为644）或出现未知UID 0账户：用stat /etc/passwd /etc/shadow确认权限，并awk -F: '$3==0 {print}' /etc/passwd核查root权限账户
- crontab 或 systemd timer 指向非常规路径的脚本（如 /var/run/.cache.sh）且权限可写：检查crontab -l、systemctl list-timers --all及对应unit文件内容
- 隐藏进程关联的文件（如 /proc/[pid]/exe 指向 /dev/shm/.xxx）且该文件属主为普通用户、权限755：结合ps auxf与lsof +D /dev/shm交叉验证
四、确认后门需多维度交叉验证
权限异常只是起点。必须结合行为、网络、日志进一步确认：
- 对可疑二进制运行strings、ltrace、strace -e trace=connect,socket,openat观察其调用行为
- 检查netstat -tulpn或ss -tulpn是否有异常监听端口，尤其非标准端口上的root进程
- 查看journalctl -u suspicious-service --no-pager -n 100或tail -n 50 /var/log/auth.log中是否存在暴力破解、提权、异常登录时间
- 用ausearch -m avc -ts recent（SELinux启用时）看是否绕过策略的访问尝试
不复杂但容易忽略的是：基线必须随系统升级、软件部署、安全补丁同步更新；一次比对发现异常，要回溯变更时间点，查操作日志（/var/log/secure、/var/log/yum.log）确认是否为合法运维动作。工具只放大信号，判断仍靠人。
