如何识别并应对Linux Exploit攻击

识别并应对 Linux Exploit 攻击

一 快速识别要点

• 系统层异常
  • 内核或关键服务频繁崩溃、自动重启，出现与内核/模块相关的 Oops/BUG 信息。
  • 出现可疑的 SUID/GUID 可执行文件（例如 find / -perm -4000 -o -perm -2000 2>/dev/null），或异常隐藏目录与文件（如 /tmp/.l/、隐藏的 “… ” 目录）。
• 账户与登录异常
  • /var/log/secure、journalctl 中出现大量失败登录、异常 SSH 来源 IP、非常规时间登录、su/sudo 滥用记录。
  • /etc/shadow 出现空口令账户，或 /etc/sudoers / sudoers.d/ 被异常修改。
• 进程与网络异常
  • 未知进程占用高 CPU/内存，出现与系统不匹配的 netstat -antupl 连接（例如连接到陌生 IP 的高频短连接）。
  • 出现可疑监听端口、反向 TCP 连接、异常 ICMP 流量；抓包可见异常载荷或与已知漏洞利用特征匹配的流量（如 Metasploit 反向 shell 会话）。
• 文件与完整性异常
  • /tmp、/dev/shm、/var/tmp 下出现可执行脚本/二进制（如 .httpd、sniffer、pscan 等），或系统命令被替换。
  • 关键系统文件哈希变化、新增未知内核模块、启动项异常（cron、systemd、rc.local、/etc/rc*.d/）。

二 处置流程

• 立即隔离与止血
  • 将受疑主机从网络隔离（物理断网或 VLAN 隔离），优先保护未受影响系统；关闭非必要服务与端口，限制横向移动。
• 证据保全与初步取证
  • 保存当前内存与进程快照（如 ps auxf、top -b -n1）、网络连接（ss -tunap、netstat -antupl）、系统日志（/var/log/、journalctl -xe）、定时任务（crontab -l、/etc/cron、systemctl list-timers*）与可疑文件。
  • 使用 tcpdump 抓包留存网络证据，便于后续溯源与取证分析。
• 临时加固
  • 临时禁止外网访问、仅保留管理通道；重置可疑账户口令，强制所有用户下次登录修改密码；撤销可疑 sudo 授权；必要时将 SSH 改为密钥登录并禁止 root 远程登录。
• 清除与恢复
  • 依据取证结果清理恶意文件与启动项、卸载可疑内核模块、恢复被篡改配置；对受影响系统优先选择“重建+补丁”而非就地修复，确保不留后门。
• 验证与复盘
  • 复测关键业务与访问控制；更新 IDS/IPS/EDR 与 WAF 规则；复盘事件根因、改进检测与响应流程。

三 加固与预防

• 系统与软件更新
  • 持续应用安全补丁；RHEL/CentOS 使用 yum/dnf update，Debian/Ubuntu 使用 apt update && apt upgrade；关键服务器可评估 内核热补丁 方案以减少重启窗口。
• 最小化与端口治理
  • 仅安装必要组件，禁用非必要服务与端口；通过 systemctl 与 firewalld/iptables/ufw 实施“默认拒绝、按需放行”策略。
• 身份与访问控制
  • 禁用 root 远程登录，使用 SSH 密钥 认证；实施强口令策略与周期轮换；审计 sudoers 与特权账户使用。
• 强制访问控制与系统审计
  • 启用并保持 SELinux 或 AppArmor 为强制模式，优先“调策略而非关闭”；使用 auditd 监控关键目录（如 /etc）变更并留存审计日志。
• 文件完整性与恶意代码防护
  • 部署 AIDE/Tripwire 做文件完整性基线；使用 rkhunter/chkrootkit/ClamAV/LMD 检测后门与恶意软件；结合 Lynis 做安全基线审计。
• 漏洞与配置评估
  • 定期运行 OpenVAS/Nessus 漏洞扫描；使用 OpenSCAP 对照 CIS 等基准做合规检查；对容器与镜像执行 Trivy 等镜像漏洞扫描。

四 常用工具与命令清单

五 常见利用场景与对策

• 内核本地提权（如 CVE-2016-5195 Dirty COW）
  • 识别：本地用户异常获得 root；系统出现内核异常日志。
  • 处置：立即升级内核并重启；无法立即重启时评估 内核热补丁；排查可疑 SUID 与内核模块。
• 服务漏洞被远程利用（如 Samba usermap_script 远程命令执行）
  • 识别：外网对 SMB 异常访问与反向 shell；Wireshark/IDS 可见典型载荷与回连。
  • 处置：临时封禁 SMB 端口（445/tcp），升级 Samba 至修复版本，审计并清理后门与计划任务。
• 弱口令/暴力破解与 SSH 滥用
  • 识别：/var/log/secure 大量失败登录、非常规时段登录、成功登录后立即执行提权命令。
  • 处置：封禁来源 IP，强制重置口令，启用 密钥登录 并禁用 root 远程登录，限制 MaxAuthTries 与登录源。