find命令无法直接识别权限被修改，但可通过-ctime筛选最近状态变更的文件（含权限改动），再结合-perm等条件过滤可疑权限，如world-writable普通文件或SUID/SGID位异常，并建议限定高风险路径和递归深度以保障生产环境安全。

Linux 中没有直接记录“权限被修改”的审计日志（除非启用了 auditd），所以 find 本身无法直接识别“最近被修改过权限”的文件——它只能根据时间戳（如修改时间 -mtime、状态变更时间 -ctime）和当前权限（-perm）做组合筛选。而权限变更会触发 inode 的状态变更（change time），即 ctime，这是最可靠的依据。

用 -ctime 找出最近状态变更的文件（含权限改动）

ctime 在文件权限、所有者、所属组或内容任一发生变化时都会更新，因此它是追踪权限误改的关键指标。例如，查找过去 3 天内状态发生过变更的文件：

• find / -xdev -ctime -3 2>/dev/null —— 扫描根目录下 ctime 小于 3 天（即 72 小时内）的所有文件/目录（-xdev 避免跨挂载点）
• 加 -ls 可查看详细信息：find / -xdev -ctime -3 -ls 2>/dev/null | head -20
• 若只想看权限明显异常的（如 world-writable 普通文件），可叠加过滤：find / -xdev -ctime -3 -type f -perm -o+w 2>/dev/null

结合 -perm 筛选可疑权限模式

仅靠时间不够，需进一步判断权限是否合理。常见风险权限包括：

• 普通文件具有执行权限：-perm /a+x
• 世界可写且非目录（易被篡改）：-type f -perm -o+w
• SUID/SGID 位被意外设置：-perm -4000（SUID）或 -perm -2000（SGID）
• 目录 world-writable 但无 sticky bit：-type d -perm -o+w ! -perm -1000

缩小范围，避免全盘扫描影响系统

生产环境慎用 find /。建议聚焦高风险路径：

• /etc（配置文件权限至关重要）：find /etc -xdev -ctime -2 -ls 2>/dev/null
• /usr/local/bin、/opt（第三方软件常被植入恶意脚本）
• /var/www、/home/*/public_html（Web 目录易遭权限滥用）
• 用 -maxdepth 3 限制递归深度，提升响应速度

补充：真正溯源需依赖 auditd 或历史命令

find 只能发现“结果”，不能还原“谁、何时、为何改”。若需审计源头：

• 检查 audit 日志（如果启用）：ausearch -m chmod -ts recent | aureport -f -i
• 查用户操作记录：history（当前用户）、lastcomm（若启用 acct）、/var/log/auth.log（sudo 使用记录）
• 确认是否为预期变更（如软件升级、配置管理工具运行）