关键是要查找其他用户（others）有写权限（o位为2、3、6、7）的普通文件，聚焦/var/www、/tmp、/var/tmp、/var/log等高风险路径，使用find -perm -o=w配合-xdev -type f 2>/dev/null精准定位，再人工验证加固。

要真正发现线上环境里能被任意用户写入的文件，关键不是找“权限恰好是002”的文件——那种文件现实中几乎不存在，连 ls 都列不出来。你应该找的是“其他用户（others）至少有写权限”的所有普通文件，也就是权限中第三位（o位）为2、3、6或7的文件，比如644、666、777、602等。

聚焦高风险路径，避免全盘扫描拖慢系统

线上环境资源紧张，不建议直接从 / 开始扫。优先检查这些真实易被利用的目录：

• /var/www 及其子目录（Web上传区、配置文件、模板）
• /tmp 和 /var/tmp（临时文件、动态库注入点）
• /var/log 下非 root 拥有的日志文件（如被低权限服务轮转写入）
• /home/*/public_html（共享主机类环境中的用户级 Web 目录）
• /srv/www（部分发行版或定制部署使用的 Web 根）

用对 -perm 参数，才能命中真实风险

必须用带减号前缀的 -perm -o=w 或等价的 -perm -002，它们含义一致：只要 other 位设置了写权限，就匹配。

示例命令（生产可用）：

• 查 Web 目录下其他人可写的配置文件：find /var/www -type f \( -name "*.conf" -o -name "*.ini" -o -name ".env" \) -perm -o=w 2>/dev/null
• 查临时目录中可写的 shell 脚本：find /tmp /var/tmp -type f -name "*.sh" -perm -o=w 2>/dev/null
• 查所有可写的 .so 文件（防范 LD_PRELOAD 注入）：find /tmp /var/tmp /var/www -type f -name "*.so*" -perm -o=w 2>/dev/null

加限制项让结果更干净、更安全

线上扫描务必加过滤，减少误报和干扰：

• -xdev：不跨挂载点，跳过 /proc、/sys、/dev 等虚拟文件系统
• 2>/dev/null：屏蔽 “Permission denied” 类报错，只留有效路径
• -type f：严格限定为普通文件，排除目录、链接、设备节点
• | head -15：首次运行先看前15条，确认模式合理再全量执行

发现后别急着删，先验证再加固

每个结果都要人工确认是否真有风险：

• 用 ls -l 看属主、属组和完整权限
• 用 stat 查看时间戳变化，判断是否近期被异常修改
• 用 file 确认文件类型（比如是不是真 ELF 共享库、是不是空文件或日志）
• 若确需保留，优先改权限：chmod o-w 文件名；次选改属主：chown www-data: 文件名

不复杂但容易忽略