Debian系统中易受exploit攻击的高价值文件及风险说明
存储系统所有用户账户的基础信息（用户名、UID/GID、家目录、Shell类型），虽不直接包含密码，但泄露后可辅助攻击者识别高权限账户（如root）或存在弱口令的账户，为后续暴力破解或权限提升提供目标。若文件权限设置不当（如全局可写），攻击者可篡改用户信息，进一步渗透系统。
存储用户的加密密码哈希（仅root可读），是攻击者的核心目标之一。若漏洞（如路径遍历、配置错误）导致该文件被读取，攻击者可通过彩虹表或暴力破解工具还原明文密码，直接获取系统最高权限。例如，Debian系统中若Web应用存在文件读取漏洞，攻击者常尝试读取此文件。
记录用户组信息及组成员列表，包含高权限组（如sudo、docker、adm）的成员信息。泄露后可识别具有系统管理权限的用户，辅助攻击者通过横向移动（如利用sudo权限执行命令）扩大攻击范围。
~/.ssh/authorized_keys：存储允许通过公钥认证登录的SSH密钥，若密钥未妥善保护（如权限为777），攻击者可添加自己的公钥，无需密码直接登录系统。/etc/ssh/sshd_config：SSH服务配置文件，若配置错误（如允许root远程登录、弱密码认证），会增加暴力破解或未授权访问的风险。Debian系统中SSH服务是远程攻击的常见入口。存储数据库的连接信息（用户名、密码、主机地址、端口），若文件权限不当（如全局可读），攻击者可直接获取数据库凭证，访问或篡改数据库中的敏感数据（如用户信息、业务数据）。例如，Debian系统中MySQL/MariaDB的配置文件常位于/etc/mysql/目录下。
/proc/self/environ：记录当前进程的环境变量（如PATH、SECRET_KEY、DATABASE_URL），可能包含应用程序的硬编码敏感信息（如API密钥、数据库密码）。攻击者可通过读取此文件获取关键凭证，进一步攻击系统。/var/log/auth.log：记录SSH登录、sudo使用等认证事件，包含异常登录尝试（如多次失败、来自陌生IP的连接），攻击者可通过分析日志定位管理员账户或薄弱环节，实施针对性攻击。/var/log/syslog、/var/log/kern.log：记录系统通用日志和内核事件，泄露系统运行状态（如加载的内核模块、设备信息），攻击者可通过日志识别系统漏洞（如未打补丁的内核模块）或异常行为（如进程注入）。/var/log/dmesg：记录内核环缓冲区信息，包含硬件和驱动程序的异常事件，攻击者可通过日志发现系统底层漏洞（如驱动程序漏洞）。Tomcat的默认日志文件，记录应用运行信息（如启动错误、请求响应）。若日志文件权限不当（如tomcat用户可写），攻击者可通过符号链接（symlink）将日志文件指向敏感系统文件（如/etc/shadow），在Tomcat重启时读取文件内容。例如，Debian系统中Tomcat的日志文件常位于/var/log/tomcat*/目录下，曾存在CVE-2016-1240等本地提权漏洞。
这些目录用于存储临时文件和共享内存，权限通常较宽松（如/tmp对所有用户可写）。攻击者可将恶意脚本（如反弹Shell）上传至/tmp目录，或利用/dev/shm的高速特性进行内存攻击（如缓存投毒）。此外，应用程序（如Redis）默认将数据存储在/tmp目录下，若未配置密码，攻击者可直接访问敏感数据。
/proc/kallsyms：存储内核函数的地址映射，泄露后可帮助攻击者绕过ASLR（地址空间布局随机化）防护，提高漏洞利用的成功率（如ROP攻击）。/dev/mem：允许直接访问物理内存，攻击者可通过读取该文件提取加密密钥、密码等敏感信息（需root权限）。这些文件是高级内核攻击的目标，Debian系统中需严格控制访问权限。Suid（Set User ID）和SGid（Set Group ID）程序允许普通用户以程序所有者（如root）的权限执行。若这些程序存在漏洞（如缓冲区溢出），攻击者可通过执行恶意操作提升权限。Debian系统中常见的Suid程序包括find、vim、bash等，需定期检查是否存在未授权的Suid程序。
存储通过APT工具下载的软件包（.deb文件），若目录权限不当（如全局可写），攻击者可替换软件包为恶意版本，在系统安装或更新时执行任意代码。例如，攻击者可通过篡改/var/cache/apt/archives/中的软件包，植入后门程序。
