主机排查更新 2026-11-08
Linux 授权环境排查命令清单
授权靶场与自有主机上的只读排查命令：看清内核、身份、特权文件与网络暴露面。不含任何提权利用与痕迹处理。
这页的命令全部是只读排查动作，用在你自己机器或书面授权的靶场里。它回答「这台机器现在长什么样」，不回答「怎么打进去」。
| 排查目的 | 只读命令 | 系统里发生了什么 / 防守侧 | 最容易用错的地方 |
|---|---|---|---|
| 看系统底子 | uname -a 读内核版本与编译信息，cat /etc/os-release 读发行版标识，id 输出当前 UID/GID 与所属组。 | 单条命令频次极低、几乎无告警；有价值的是同一会话里连续出现「身份 + 内核 + 网络」三类探测的组合行为。 | 内核版本低不等于有可用提权漏洞——发行版回移补丁会让版本号看起来旧、实际已修。 |
| 找特权文件 | find / -perm -u=s -type f 2>/dev/null 遍历文件系统，列出带 SUID 位的可执行文件：运行时以文件所有者身份执行。 | 全盘遍历产生大量 stat 调用与磁盘 IO；EDR 与审计日志对「find 打全盘 + 权限位过滤」有专门规则。 | SUID 只说明「能以属主身份运行」，离可利用还差三步：是否接受外部输入、是否有参数或环境变量缺陷、是否保留特权。别把清单当结论。 |
| 看网络暴露面 | ss -tulnp（或 netstat -tulnp）列出监听套接字、协议、进程与 PID，确认这台机器对外开了哪些口。 | 监听变化可与基线比对；新增端口通常比单次命令更值得告警。 | -p 需要权限才能看到进程名；容器内看到的监听列表不等于宿主机暴露面。 |
| 看登录与权限面 | last -n 20 读登录记录，who 看当前会话，sudo -l 看当前用户可用的 sudo 权限。 | sudo -l 属于权限探测行为，受控环境通常会被记录；异常时段的登录记录比命令本身更关键。 | sudo -l 展示的是策略允许面，不代表存在可用的提权路径。 |
看系统底子
- 只读命令
uname -a读内核版本与编译信息，cat /etc/os-release读发行版标识，id输出当前 UID/GID 与所属组。- 系统里发生了什么 / 防守侧
- 单条命令频次极低、几乎无告警；有价值的是同一会话里连续出现「身份 + 内核 + 网络」三类探测的组合行为。
- 最容易用错的地方
- 内核版本低不等于有可用提权漏洞——发行版回移补丁会让版本号看起来旧、实际已修。
找特权文件
- 只读命令
find / -perm -u=s -type f 2>/dev/null遍历文件系统，列出带 SUID 位的可执行文件：运行时以文件所有者身份执行。- 系统里发生了什么 / 防守侧
- 全盘遍历产生大量 stat 调用与磁盘 IO；EDR 与审计日志对「find 打全盘 + 权限位过滤」有专门规则。
- 最容易用错的地方
- SUID 只说明「能以属主身份运行」，离可利用还差三步：是否接受外部输入、是否有参数或环境变量缺陷、是否保留特权。别把清单当结论。
看网络暴露面
- 只读命令
ss -tulnp（或netstat -tulnp）列出监听套接字、协议、进程与 PID，确认这台机器对外开了哪些口。- 系统里发生了什么 / 防守侧
- 监听变化可与基线比对；新增端口通常比单次命令更值得告警。
- 最容易用错的地方
-p需要权限才能看到进程名；容器内看到的监听列表不等于宿主机暴露面。
看登录与权限面
- 只读命令
last -n 20读登录记录，who看当前会话，sudo -l看当前用户可用的 sudo 权限。- 系统里发生了什么 / 防守侧
sudo -l属于权限探测行为，受控环境通常会被记录；异常时段的登录记录比命令本身更关键。- 最容易用错的地方
sudo -l展示的是策略允许面，不代表存在可用的提权路径。
红线与边界
- ·本页不含反弹 shell、SUID 利用、内核利用与历史清理类命令。这些属于攻击实现，不在公开站提供。
- ·所有命令默认在自有资产或书面授权环境执行；生产机器上的全盘 find 会拖慢 IO，先确认业务窗口。
继续往下读