【linux命令劫持排查】在Linux系统中，命令劫持是一种常见的安全威胁，攻击者通过替换系统命令或修改环境变量，使用户执行非预期的程序，从而实现恶意目的。为了有效识别和应对此类问题，需对系统进行深入排查。
一、命令劫持常见方式
| 类型 | 描述 | 常见手段 |
| 环境变量劫持 | 修改`PATH`变量，使系统优先调用攻击者提供的命令 | 修改`.bashrc`、`.profile`等文件 |
| 命令别名劫持 | 使用`alias`设置别名，覆盖原命令 | 修改`/etc/bash.bashrc`或用户配置文件 |
| 文件覆盖劫持 | 替换系统命令文件（如`ls`、`cp`） | 通过权限漏洞写入系统目录 |
| 软链接劫持 | 创建软链接指向恶意程序 | 利用符号链接绕过权限检查 |
二、排查步骤总结
1. 检查环境变量
- 查看当前用户的`PATH`变量：
```bash
echo $PATH
```
- 检查系统全局配置文件：
```bash
cat /etc/profile
cat /etc/environment
```
2. 检查别名设置
- 查看当前会话中的别名：
```bash
alias
```
- 检查用户和系统配置文件：
```bash
cat ~/.bashrc
cat /etc/bash.bashrc
```
3. 验证命令完整性
- 检查命令的绝对路径是否被篡改：
```bash
which ls
type ls
```
- 对比命令的哈希值与原始版本：
```bash
sha256sum /bin/ls
```
4. 检查文件权限
- 查看命令文件的权限：
```bash
ls -l /bin/ls
```
- 检查是否有异常可写权限：
```bash
find /bin -perm -u=w
```
5. 查看历史记录
- 检查用户历史命令：
```bash
history
```
- 检查系统日志（如`/var/log/auth.log`）中是否有异常登录或命令执行记录。
6. 使用系统工具辅助检测
- 使用`ltrace`或`strace`追踪命令调用：
```bash
ltrace ls
strace ls
```
- 使用`tripwire`或`aide`等工具监控文件变化。
三、修复建议
| 问题 | 解决方法 |
| `PATH`被篡改 | 删除或修正`PATH`配置，确保系统命令优先加载 |
| 别名被修改 | 删除或重命名恶意别名，避免使用不可信的别名 |
| 命令文件被替换 | 从官方源重新安装命令，恢复原始文件 |
| 权限异常 | 使用`chmod`修正文件权限，防止随意写入 |
| 日志异常 | 审核日志，确认是否存在未授权访问或异常操作 |
四、预防措施
- 定期更新系统和软件包，减少漏洞风险。
- 避免使用root权限执行非必要命令。
- 限制用户对关键系统目录的写入权限。
- 启用SELinux或AppArmor等安全模块，增强系统防护能力。
- 对重要命令进行哈希校验，防止被篡改。
通过以上方法，可以有效识别和防范Linux系统中的命令劫持行为，保障系统的安全性与稳定性。