怎么检测Debian exploit

“检测 Debian 系统是否被 exploit（漏洞利用/入侵）”通常分为漏洞检测、入侵痕迹检测和持续监控三部分。下面按实用顺序给你一套可落地的方法。

一、先确认系统有没有“可被 exploit 的漏洞”

1. 更新并查看安全补丁

sudo apt update
sudo apt upgrade

查看安全更新：

apt list --upgradable | grep security

2. 使用官方漏洞数据库

• Debian 安全公告：https://www.debian.org/security/
• 搜索 CVE：https://security-tracker.debian.org/

例如：

apt show <包名>

3. 使用漏洞扫描工具

• lynis（推荐）

sudo apt install lynis
sudo lynis audit system

• debsecan（Debian 专用）

sudo apt install debsecan
debsecan

二、检测系统是否“已经被 exploit / 入侵”

1. 检查异常进程

top
ps auxf

重点看：

• 不知名进程
• 高 CPU / 网络占用
• 父进程异常（如 apache 起 shell）

2. 检查网络连接

ss -antup
netstat -antup

看是否有：

• 对外陌生 IP 的连接
• 非常用端口监听

3. 检查用户与权限

cat /etc/passwd
cat /etc/shadow
last
lastlog

重点：

• 新增可疑用户
• UID 0 的非 root 用户
• 异常登录时间

4. 检查 cron / 启动项

crontab -l
ls -la /etc/cron*
systemctl list-unit-files

看是否有：

• 陌生定时任务
• 伪装成系统服务的恶意脚本

5. 检查文件完整性（非常重要）

sudo apt install aide
sudo aideinit
sudo aide --check

或简单对比：

dpkg -V

6. 检查日志

journalctl -xe
/var/log/auth.log
/var/log/syslog

关注：

• 暴力破解
• 提权成功
• 异常重启

三、常见 Debian exploit 场景（重点排查）

• Dirty COW (CVE-2016-5195)
• Polkit pwnkit (CVE-2021-4034)
• sudo 提权 (CVE-2021-3156)
• OpenSSH / Exim / NGINX 历史 RCE

可用：

uname -a

对照 CVE 影响版本。

四、如果怀疑已被 exploit，怎么办？

1. 断网
2. 备份证据（日志、内存）
3. 不要只删文件，建议重装系统
4. 恢复 from known-good backup
5. 修复漏洞后再上线

五、长期防护建议

• 开启自动安全更新

sudo apt install unattended-upgrades

• 使用防火墙（ufw / nftables）
• 最小化安装
• 定期 lynis + aide 扫描

如果你愿意，可以告诉我：

• Debian 版本（cat /etc/debian_version）
• 是否服务器 / 云主机
• 具体怀疑哪种 exploit

我可以给你更针对性的检测命令。