**1. 干什么** 信息搜集是在当前凭证允许范围内遍历目录树，对可 stat、可 open 的文件执行元信息查询与内容读取，内核不识别搜集意图，只对每次调用逐次校验。 **2. 谁在调** * 用户态主体：WebShell 与 fscan、trufflehog、gitleaks 等工具。 * C 库封装层：`opendir`/`readdir`/`stat`/`fopen`/`fread`。 * 内核态主体：`getdents64`、`newfstatat`、`openat`、`read`逐次校验并返回。 **3. 做什么业务** 典型动作为：`stat`查询`/etc/passwd`、`/etc/shadow`的权限与属主。`opendir`/`readdir`遍历`/home`、`/var/www`。`open`/`read`读取配置中的凭证。`stat`识别 SUID 位程序。读取`/proc/self/environ`、`/proc/<pid>/cmdline`查看环境与命令行。工具统一循环：拼路径→`stat`试探存在→可读则`open`/`read`→正