ubuntu exploit如何防范权限提升

Ubuntu 防范本地权限提升的实用清单

一 基线防护与系统更新

• 保持系统与软件为最新安全版本，优先修补内核、sudo、udisks2、libblockdev 等关键组件；Ubuntu/Debian 执行：sudo apt update && sudo apt full-upgrade -y && sudo reboot。
• 禁止直接以 root 登录，创建普通用户并加入 sudo，通过 visudo 实施精细化授权（仅允许必要命令）。
• 加固 SSH：禁用密码登录与 root 远程登录，使用密钥登录；必要时限制监听地址族（如仅 IPv4）。
• 启用 UFW 防火墙，仅放行 SSH/HTTP/HTTPS 等必要端口：sudo ufw allow ssh && sudo ufw allow http && sudo ufw allow https && sudo ufw enable。
• 建立变更与回滚机制（如配置基线、变更单、快照/备份），确保补丁可验证、可回退。

二 重点漏洞与缓解措施

三 本地提权常见入口的排查与加固

• 清理不必要的 SUID/SGID：find / -perm -4000 -o -perm -2000 2>/dev/null | grep -Ev '/snap|/proc'，仅保留明确必需的程序，定期复核。
• 消除 PATH 污染 与危险内嵌脚本：在 sudoers 中使用绝对路径调用外部命令；审查自研/第三方脚本是否依赖相对路径或不受控环境。
• 加固 cron/cron.hourly 等定时任务：仅允许 root 拥有写权限；避免以相对路径执行脚本；使用 systemd 服务替代含复杂逻辑的 cron。
• 限制 sudo 权限：通过 visudo 实施白名单与命令白名单，避免授予 NOPASSWD 除非业务必需；定期审计 /var/log/auth.log。
• 文件系统与权限：保护关键文件（/etc/shadow、/etc/sudoers、/etc/nsswitch.conf）的权限与完整性；对关键目录设置最小权限与完整性校验（如 AIDE）。

四 持续监测与验证

• 完整性监控：部署 AIDE 建立基线并定期校验（sudo aideinit && sudo aidecheck），对关键系统文件变更进行告警。
• 行为监控：使用 Falco 检测异常提权与可疑进程行为（如异常 setuid/setgid、敏感文件访问）；结合 OSSEC/Wazuh 对 /etc/shadow 等敏感文件的访问进行审计。
• 漏洞巡检：定期运行 LinPEAS、Linux Exploit Suggester 等自检工具，结合资产台账与内核/软件版本进行风险验证与修复闭环。
• 变更验证：每次补丁或配置调整后，回归验证关键业务与登录/提权路径，确保功能正常且无新增暴露面。