【linux命令劫持排查】在Linux系统中，命令劫持是一种常见的安全威胁，攻击者通过替换或篡改系统命令（如`ls`、`ps`等）来执行恶意代码。这种攻击方式隐蔽性强，容易被忽视，因此排查工作尤为重要。
一、命令劫持的常见形式
| 类型 | 描述 |
| 软链接劫持 | 攻击者创建一个与系统命令同名的软链接，指向恶意脚本或程序。 |
| 环境变量污染 | 修改`PATH`环境变量，使系统优先加载攻击者控制的命令。 |
| 文件覆盖 | 直接替换系统命令文件（如`/bin/ls`），使其执行恶意代码。 |
| 共享库劫持 | 替换动态链接库（如`ld-linux.so`），影响多个命令的行为。 |
二、排查步骤总结
| 步骤 | 操作说明 |
| 1 | 检查环境变量 使用`echo $PATH`查看当前路径顺序，确认是否包含非标准目录。 |
| 2 | 查找可疑命令 使用`which |
| 3 | 验证文件权限和属性 使用`ls -l /bin/ |
| 4 | 检查文件哈希值 使用`sha256sum /bin/ |
| 5 | 分析进程调用链 使用`strace -f |
| 6 | 检查系统日志 查看`/var/log/auth.log`或`/var/log/secure`，寻找异常登录或命令执行记录。 |
| 7 | 扫描已知恶意文件 使用工具如`rkhunter`或`chkrootkit`进行系统检测。 |
| 8 | 恢复原始命令 若确认为劫持，应从备份恢复原始命令文件，并修改相关权限。 |
三、预防建议
- 定期更新系统：确保所有软件包为最新版本，减少漏洞利用机会。
- 限制`PATH`环境变量：避免将当前目录加入`PATH`，防止误执行恶意脚本。
- 设置只读权限：对关键命令文件设置`chmod a-w`，防止未经授权的修改。
- 启用审计功能：使用`auditd`监控重要文件的访问和修改行为。
- 使用SELinux或AppArmor：增强系统的访问控制能力，限制命令执行权限。
四、总结
Linux命令劫持是一种隐蔽但危害极大的攻击手段，排查时需要结合系统日志、文件属性、环境变量等多个维度进行分析。一旦发现异常，应及时隔离并修复，防止进一步扩散。日常维护中应加强系统安全策略，提高整体防御能力。