【linux命令劫持排查】在Linux系统中，命令劫持是一种常见的安全威胁，攻击者可能通过修改系统命令的路径或替换可执行文件，使得用户在执行命令时实际运行的是恶意程序。为了保障系统的安全性，定期进行命令劫持排查是非常必要的。
一、常见命令劫持方式
| 类型 | 描述 | 案例 |
| 路径劫持 | 攻击者将恶意脚本或程序放在`PATH`环境变量的前面，导致系统优先执行恶意命令 | 将`/tmp/malicious_ls`加入`PATH`，覆盖系统`ls`命令 |
| 文件替换 | 替换系统标准命令文件（如`/bin/ls`）为恶意版本 | 修改`/bin/ls`为恶意脚本 |
| 链接劫持 | 创建符号链接，指向恶意程序，当用户执行原命令时实际运行的是恶意程序 | 创建`/bin/ls -> /tmp/malicious_script.sh` |
二、排查步骤总结
1. 检查环境变量 `PATH`
- 查看当前用户的`PATH`设置，确认是否包含可疑目录。
- 命令示例：`echo $PATH`
2. 检查关键命令的哈希值
- 使用`sha256sum`对系统命令进行哈希校验，对比原始版本。
- 命令示例：`sha256sum /bin/ls`
3. 查找异常命令文件
- 使用`find`命令查找权限异常的文件。
- 命令示例：`find / -perm -u+s -type f 2>/dev/null`
4. 检查系统日志
- 查看`/var/log/auth.log`或`/var/log/secure`中的登录和命令执行记录。
- 使用`grep`搜索可疑行为。
- 命令示例：`grep 'command' /var/log/auth.log`
5. 使用进程监控工具
- 使用`ltrace`或`strace`跟踪命令执行过程，查看是否有异常调用。
- 命令示例：`strace -f ls`
6. 检查`/etc/ld.so.preload`文件
- 该文件用于加载共享库，若被篡改可能导致命令劫持。
- 命令示例：`cat /etc/ld.so.preload`
7. 检查`/etc/aliases`和`/etc/mail/aliases`
- 这些文件可能被用来重定向邮件命令，间接实现命令劫持。
三、修复建议
| 问题 | 修复方法 |
| 异常`PATH` | 修改`PATH`变量，移除可疑路径 |
| 命令文件被替换 | 恢复原始命令文件，删除恶意文件 |
| 权限异常 | 使用`chmod`修正文件权限 |
| 日志异常 | 清理日志并加强审计配置 |
| 共享库劫持 | 删除或修改`/etc/ld.so.preload`内容 |
四、预防措施
- 定期更新系统和软件，修补已知漏洞。
- 限制用户权限，避免使用root账户执行非必要命令。
- 使用SELinux或AppArmor等安全模块增强系统防护。
- 启用审计功能，记录关键命令执行情况。
- 对关键命令进行完整性校验，如使用Tripwire等工具。
通过以上排查与修复手段，可以有效识别和防范Linux系统中的命令劫持行为，提升系统的整体安全性。
