>

用 getcap 审计文件 capabilities

列出所有被授予内核 capabilities 的可执行文件，缩小被提权利用的面。

Linux文件 capabilities权限安全中风险
运行 sudo getcap -r /usr 2>/dev/null，递归列出 /usr 下所有带 capabilities 的可执行文件。

01命令

命令
$ sudo getcap -r /usr 2>/dev/null

02作用说明

文件 capabilities 让个别程序（ping、tcpdump、Wireshark 的 dumpcap）无需以 root 运行或设置 setuid 就能执行特权操作。每个授予的 capability 都是永久的权限例外，所以定期用 getcap -r 审计是系统加固的常规动作。正常情况下应该只有少数系统程序，以及你用 setcap 主动授权的程序。

03风险

风险中风险
使用条件libcap package (getcap/setcap)

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

  • capabilities(7) — man7.org
    man7.org · community · 2026-09-17
    依据: capabilities(7) explains file capability sets and the xattr mechanism used by getcap/setcap, e.g. cap_net_raw
  • getcap(8) — Debian manpage
    Debian · community · 2026-09-17
    依据: Debian manpage documents getcap with -r recursive search of directories for files with file capabilities

最后验证: 2026-09-19 · 分类: 安全与隐私

06相关方案

用 ssh-keygen 生成 SSH 密钥对（Ed25519）
Linux终端开发安全

在 ~/.ssh 中生成现代的 Ed25519 公私钥对，用于免密码登录服务器和使用 Git 托管平台。

低风险 ✓ 2026-09-17
用 chmod 修改文件权限
Linux文件终端安全

用符号模式或八进制模式为属主、属组或其他用户添加/移除读、写、执行权限。

中风险 ✓ 2026-09-17
用 ufw 放行防火墙端口
Linux网络安全

添加一条 UFW 规则，允许某个 TCP 或 UDP 端口的入站流量，例如 22 端口的 SSH。

高风险 ✓ 2026-09-17