识别并应对 Linux Exploit 攻击

当一台Linux服务器可能遭遇漏洞利用攻击时，时间就是一切。快速、准确地识别异常迹象，是有效响应的第一步。下面这份要点清单，能帮你迅速定位问题。

一 快速识别要点

• 系统层异常
  • 内核或关键服务频繁崩溃、自动重启，系统日志中间出现与内核或模块相关的Oops或BUG信息。
  • 发现可疑的SUID或GUID可执行文件（例如使用 find / -perm -4000 -o -perm -2000 2>/dev/null 命令查找），或者出现异常的隐藏目录与文件（比如 /tmp/.l/、以“.. ”命名的目录等）。
• 账户与登录异常
  • 检查 /var/log/secure 或使用 journalctl，如果发现大量失败登录记录、异常的SSH来源IP、在非常规时间段的登录，或者su/sudo命令被滥用，这些都是危险信号。
  • /etc/shadow 文件中间出现空口令账户，或者 /etc/sudoers 及 /etc/sudoers.d/ 目录下的文件被异常修改。
• 进程与网络异常
  • 有未知进程持续占用高CPU或内存资源。使用 netstat -antupl 或 ss 命令查看网络连接时，发现与正常业务不匹配的连接，例如频繁连接到陌生IP的短连接。
  • 系统上开放了可疑的监听端口，存在反向TCP连接或异常的ICMP流量。通过抓包分析，可能看到异常的载荷内容，甚至能匹配到已知漏洞利用工具（如Metasploit）的特征流量。
• 文件与完整性异常
  • 在 /tmp、/dev/shm、/var/tmp 等临时目录下，出现了可执行脚本或二进制文件（名字可能类似 .httpd、sniffer、pscan 等），或者发现系统命令（如 ps、netstat）被替换。
  • 关键系统文件的哈希值发生变化，系统中新增了未知的内核模块，或者启动项（如cron任务、systemd服务、/etc/rc.local、/etc/rc*.d/ 下的脚本）出现异常条目。

二 处置流程

一旦确认异常，就需要按照清晰的流程进行处置，目标是控制影响、消除威胁并恢复安全。

• 立即隔离与止血
  • 首要任务是将受疑主机从网络隔离，可以通过物理断网或VLAN隔离实现，优先保护未受影响的系统。同时，关闭非必要的服务与端口，限制攻击者在内部的横向移动能力。
• 证据保全与初步取证
  • 在采取清理动作前，务必保存证据。这包括：保存当前内存与进程快照（例如 ps auxf、top -b -n1）、网络连接状态（ss -tunap、netstat -antupl）、系统日志（/var/log/ 目录、journalctl -xe）、定时任务（crontab -l、/etc/cron.*、systemctl list-timers）以及所有可疑文件。
  • 使用 tcpdump 进行抓包，留存网络层面的证据，这对后续的溯源和深度取证分析至关重要。
• 临时加固
  • 在调查期间进行临时加固：禁止非必要的外网访问，仅保留受控的管理通道；重置所有可疑账户的口令，并强制所有用户在下次登录时修改密码；撤销可疑的sudo授权；必要时，将SSH认证方式改为密钥登录，并禁止root账户直接远程登录。
• 清除与恢复
  • 根据取证结果，清理已确认的恶意文件与启动项、卸载可疑内核模块、恢复被篡改的系统配置。对于已确认被入侵的系统，优先选择“备份数据、彻底重建、打全补丁”的方案，而非简单的就地修复，以确保彻底清除后门，不留隐患。
• 验证与复盘
  • 恢复后，需要对关键业务功能和访问控制策略进行复测验证。更新IDS/IPS/EDR和WAF的检测规则。最后，对整个事件进行复盘，分析根本原因，并改进现有的安全检测与响应流程。

三 加固与预防

亡羊补牢，为时未晚。通过系统性的加固，可以有效降低未来被利用的风险。

• 系统与软件更新
  • 持续应用安全补丁是底线。RHEL/CentOS系列使用 yum/dnf update，Debian/Ubuntu系列使用 apt update && apt upgrade。对于关键业务服务器，可以评估内核热补丁方案，以减少因修复漏洞而导致的重启窗口。
• 最小化与端口治理
  • 遵循最小安装原则，仅安装必要组件，禁用所有非必需的服务与端口。通过systemctl管理服务，并利用firewalld、iptables或ufw等工具实施“默认拒绝，按需放行”的防火墙策略。
• 身份与访问控制
  • 禁用root账户的远程登录功能，强制使用SSH密钥进行认证。实施强口令策略并定期轮换密码。定期审计 /etc/sudoers 文件及特权账户的使用情况。
• 强制访问控制与系统审计
  • 启用SELinux或AppArmor，并保持其为强制模式。记住一个原则：优先调整安全策略以适应业务，而不是直接关闭它。使用auditd审计框架，监控如 /etc 等关键目录的变更，并确保审计日志得到妥善保存。
• 文件完整性与恶意代码防护
  • 部署AIDE或Tripwire等工具，建立文件完整性基线并定期比对。使用rkhunter、chkrootkit、ClamA V或Linux Malware Detect (LMD) 来检测后门与恶意软件。可以结合Lynis进行全面的安全基线审计。
• 漏洞与配置评估
  • 定期运行OpenVAS或Nessus进行漏洞扫描。使用OpenSCAP工具对照CIS等安全基准进行合规性检查。对于容器环境，使用Trivy等工具对镜像进行漏洞扫描。

四 常用工具与命令清单

五 常见利用场景与对策

了解攻击者常用的几种“套路”，能让我们更有针对性地进行防御和响应。

• 内核本地提权（如CVE-2016-5195 Dirty COW）
  • 如何识别：发现本地用户异常获得了root权限；系统日志中间出现内核异常报错信息。
  • 如何处置：立即升级内核版本并重启系统。若无法立即重启，应评估并应用内核热补丁。同时，排查系统中是否存在可疑的SUID文件或未知内核模块。
• 服务漏洞被远程利用（如Samba usermap_script远程命令执行）
  • 如何识别：发现外网对SMB服务端口的异常访问，并伴随反向shell连接；通过Wireshark或IDS可看到典型的漏洞利用载荷和回连流量。
  • 如何处置：立即临时封禁SMB端口（445/tcp），将Samba服务升级到已修复的版本。彻底审计系统，清理可能植入的后门程序和计划任务。
• 弱口令/暴力破解与SSH滥用
  • 如何识别：/var/log/secure 日志中间出现大量失败登录尝试、在非常规时段（如深夜）的成功登录记录，或者登录成功后立即执行提权命令。
  • 如何处置：通过防火墙封禁攻击来源IP。强制重置所有用户口令，启用SSH密钥登录并禁用root远程登录。在SSH配置中限制最大认证尝试次数（MaxAuthTries）和允许登录的源IP范围。