* 文件能力枚举：`getcap` 列出带文件能力的可执行文件，比 SUID 清单更隐蔽。命中特定能力位只是前提，需结合该能力允许的具体动作。 * 缺陷成链铁律：单个能力不等于 root。例如 `CAP_NET_RAW` 只允许原始套接字收发，`CAP_SETUID` 只允许切换 UID，必须与可执行的具体操作、可达资源串成完整链路并造成业务伤害才计入。 * 容器语境：`CAP_SYS_ADMIN` 等宽泛能力在容器内若叠加挂载、设备访问条件，才可能构成逃逸条件。单独列能力位不下结论。 * 防守边界：最小化授予能力、定期 `getcap` 审计、避免把宽泛能力位交给非必要程序。 利用边界：能力位是权限切片，普通进程不自行获得能力。本章不提供自动提权脚本。仅限本人自研隔离靶场或书面授权环境，公共资产不碰。 # 第 30 章 sys/ptrace.h —— 进程追踪 > B 级库・标准四段