单纯靠配置内核参数无法直接阻止SUID程序被利用；有效防护需限制SUID生效条件，如对/tmp等分区使用nosuid挂载选项、禁用SUID脚本执行、用Capabilities替代SUID，并辅以ASLR等纵深防御参数。
单纯靠配置内核参数无法直接阻止SUID程序被利用——SUID是Linux权限模型的底层机制，内核本身不提供“禁用SUID执行”的开关。真正有效的防护思路是：**限制SUID行为生效的条件，或让高危SUID程序根本无法按攻击者预期运行**。
禁用可执行文件的SUID位（最直接有效）
内核通过 fs.suid_dumpable 和 kernel.exec-shield 等参数影响进程行为，但它们不禁止SUID；真正起作用的是挂载选项和编译时特性。关键做法是：
- 对用户可写分区（如 /tmp、/var/tmp）使用 nosuid 挂载选项。例如在 /etc/fstab 中添加：
/dev/sda2 /tmp ext4 defaults,nosuid,noexec 0 2 - 重启或执行 mount -o remount,nosuid /tmp 生效。此后放在 /tmp 下的任何SUID文件（如攻击者上传的 /tmp/bash）执行时都会忽略SUID位，euid保持为普通用户ID。
- 该方式由VFS层拦截，无需修改内核源码，且对所有SUID二进制立即生效。
关闭内核对SUID脚本的支持（消除常见误用）
Linux默认禁止SUID Shell脚本执行（因安全风险），但部分旧内核或定制系统可能开启。确认并加固：
- 检查当前行为：sysctl kernel.suid_dumpable —— 此参数控制coredump行为，与SUID执行无关；真正相关的是内核编译配置。
- 确保内核未启用 CONFIG_BINFMT_SCRIPT 的SUID支持（现代发行版默认关闭）。可通过 zcat /proc/config.gz | grep BINFMT_SCRIPT 或查看 /boot/config-$(uname -r) 验证。
- 即使脚本有SUID位，内核也会直接拒绝执行，并报错 Permission denied —— 这是默认安全行为，无需额外配置。
配合Capabilities替代SUID（长期治理方向）
内核自2.2起支持Capabilities，它比SUID更精细。例如让 ping 只获得 cap_net_raw，而非整个root权限：
- 移除SUID位：chmod u-s /bin/ping
- 赋予最小能力：setcap cap_net_raw+ep /bin/ping
- 验证：getcap /bin/ping 应输出 /bin/ping = cap_net_raw+ep
- 此时普通用户可执行ping，但无法通过它启动shell或读取/etc/shadow——因为缺少其他能力。
辅助性内核参数（仅增强纵深防御）
这些参数不阻止SUID本身，但能增加利用难度：
- kernel.randomize_va_space=2：启用ASLR，让ret2libc等利用更困难。
- vm.mmap_min_addr=65536：防止低地址mmap攻击，间接提升SUID程序自身稳定性。
- fs.protected_regular=2：阻止非特权用户覆盖属主为root的常规文件（防替换SUID二进制）。
