Linux目录安全核心在于识别创建者、使用者、权限合理性及内容可信度，需重点排查/tmp、/home//.、/opt等路径，结合find命令筛选非root属主、新建或含可执行脚本的可疑目录，并经ls -ld、stat、lsof三步验证后分级清理与加固。
重点排查路径和特征
以下位置常被用于隐藏恶意或配置不当的目录，需人工+命令联合核查：
- /tmp 和 /var/tmp：检查非root属主、创建时间异常（如最近24小时）、含可执行文件的子目录
- /home/*/.local/share/、/home/*/.cache/：部分恶意工具会伪装成正常缓存，实际存放payload或C2通信模块
- /opt/ 和 /usr/local/：非包管理器安装的软件常在此落脚，若目录属主为普通用户且含setuid二进制，风险极高
- /etc/.hidden/、/root/.config/autostart/：非标准路径下的隐藏目录，可能绕过常规巡检
- 启动项关联路径：/etc/init.d/、/etc/systemd/system/、/etc/rc.local 中引用但实际不存在的目录，或指向可疑绝对路径
用find快速定位可疑目录
不用逐个ls，靠权限+属主+时间组合筛选：
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
- 查所有者不是root且权限宽松的目录：find / -type d ! -user root -perm -o+w 2>/dev/null | grep -E "^/(home|tmp|var)"
- 查7天内新建的非系统目录：find /home /tmp /var/tmp -type d -mtime -7 ! -name ".*" -ls 2>/dev/null
- 查含可疑入口点的目录（如含python/shell脚本且可执行）：find /home /tmp -type d -exec sh -c 'test "$(find "$1" -maxdepth 1 -type f \( -name "*.py" -o -name "*.sh" \) -perm /u+x 2>/dev/null | head -n1)" && echo "$1"' _ {} \;
确认后再清理，避免误删
发现可疑目录不能直接rm -rf，先做三步验证：
- 用ls -ld 目录名看属主、组、权限；用stat 目录名查创建/修改时间及inode变更
- 用lsof +D 目录名确认是否有进程正在使用；用ps aux | grep $(basename 目录名)查关联进程名
- 检查目录内是否有明显用途标识：比如README、.git、version.txt，或硬编码IP/域名/密钥片段（可用grep -r -i "api\|key\|pass\|http" 目录名 2>/dev/null | head -5快速扫一遍）
清理与加固建议
确认无业务用途后，按风险等级处理：
- 普通临时目录：用rm -rf 目录名删除，无需覆盖（除非含敏感数据）
- 含脚本或二进制的目录：先chmod 000 目录名禁用访问，观察24小时无告警再删除
- 属于已删用户但残留的/home目录：用userdel -r 用户名确保连带清理，再检查/home下孤儿目录
- 加固措施：对/tmp启用noexec,nosuid挂载选项；限制普通用户在/var/tmp外创建目录（通过umask或SELinux策略）
