centos exploit如何审计

在 CentOS（或其他 Linux 发行版）上进行 exploit（漏洞利用）审计，通常指两件事之一：

1. 审计系统是否被 exploit 攻击过（入侵检测/取证）
2. 审计某个 exploit 代码或漏洞利用行为（安全分析/代码审计）

下面分别说明，均以 合法授权环境 为前提（如自有服务器、渗透测试授权）。

一、CentOS 系统是否被 exploit 的审计（入侵检测）

1. 系统版本与漏洞核对

cat /etc/centos-release
uname -a
rpm -qa | grep <软件名>

对照：

• CVE 库（https://nvd.nist.gov）
• CentOS errata（https://access.redhat.com/security/updates）

2. 检查异常账户与权限

cat /etc/passwd
cat /etc/shadow
awk -F: '($3==0)' /etc/passwd
last
lastlog

关注：

• UID=0 的非 root 用户
• 近期新增用户

3. 检查可疑进程与服务

ps auxf
top
systemctl list-units --type=service
netstat -antup
ss -antup

重点：

• 未知监听端口
• 异常父子进程关系

4. 检查 cron / 启动项

crontab -l
ls -la /etc/cron*
cat /etc/rc.local
systemctl list-unit-files

5. 检查日志

/var/log/secure
/var/log/messages
/var/log/audit/audit.log
journalctl -xe

使用：

ausearch -m avc

6. 文件篡改与Rootkit检查

rpm -V <包名>
chkrootkit
rkhunter --check

二、Exploit 代码/行为的审计（安全分析）

1. 静态审计（代码层面）

• 查看 exploit 源码：
  • 缓冲区溢出（strcpy、sprintf）
  • 权限提升（setuid、ptrace）
  • 命令注入（system、exec）
• 工具：

objdump -d exploit
strings exploit
gdb exploit

2. 动态审计（运行层面）

• 在隔离环境（VM / Docker）运行

strace -f ./exploit
ltrace ./exploit

观察：

• 系统调用
• 文件/网络访问

3. SELinux / Audit 审计

setenforce 1
ausearch -ts recent

记录 exploit 触发的拒绝行为。

三、合规与建议

• 生产环境 禁止直接运行未知 exploit
• 使用 最小化 CentOS / Stream
• 定期：

yum update

• 启用：
  • firewalld
  • SELinux
  • auditd

如果你是指 “如何审计某个具体 CVE 在 CentOS 上的 exploit” 或 “某次入侵是否由某 exploit 造成”，可以告诉我：

• CentOS 版本
• 软件/服务
• CVE 编号或 exploit 名称

我可以给出更针对性的审计步骤。