【linux命令劫持排查】在日常的Linux系统运维中，命令劫持是一种常见的安全威胁。攻击者可能通过修改系统命令的路径或替换可执行文件来实现对系统的控制。因此，及时发现并排查命令劫持行为是保障系统安全的重要环节。
以下是对Linux命令劫持排查方法的总结，并结合实际场景列出常见命令及其风险分析。
一、命令劫持排查方法总结
1. 检查环境变量（PATH）
检查用户的`PATH`环境变量是否被篡改，确保系统命令路径未被恶意添加。
2. 查看命令的完整路径
使用`which`或`type`命令确认命令的实际路径，防止使用了非标准路径下的可执行文件。
3. 检查文件权限和所有权
对关键系统命令进行权限检查，如`/bin/ls`、`/usr/bin/cat`等，确保其只读且由root用户拥有。
4. 使用文件完整性校验工具
如`tripwire`、`AIDE`等工具可以检测系统文件是否被篡改。
5. 日志分析
查看`/var/log/auth.log`、`/var/log/secure`等日志文件，寻找异常登录或命令执行记录。
6. 检查进程树和PID信息
使用`ps aux`、`lsof`等命令分析当前运行的进程，发现可疑进程。
7. 使用静态分析工具
如`strace`、`ltrace`跟踪命令调用过程，判断是否被劫持。
二、常见命令及风险分析表
| 命令名称 | 默认路径 | 风险等级 | 检查方法 | 常见攻击方式 |
| ls | /bin/ls | 中 | which ls, type ls | 替换为恶意脚本 |
| cat | /bin/cat | 中 | find / -name "cat" -type f | 被替换为后门程序 |
| ps | /bin/ps | 高 | ltrace ps | 被注入恶意代码 |
| ssh | /usr/bin/ssh | 高 | strace ssh | 被劫持为钓鱼工具 |
| sudo | /usr/bin/sudo | 高 | file /usr/bin/sudo | 被替换为提权工具 |
| grep | /bin/grep | 中 | find / -name "grep" -type f | 被注入日志嗅探器 |
| curl | /bin/curl | 中 | which curl | 被劫持为数据外泄工具 |
三、排查建议
- 定期使用`find`命令扫描系统中是否存在多个同名命令。
- 对关键系统命令进行哈希校验，如`sha256sum`。
- 避免将自定义脚本或第三方工具放在`PATH`的前面。
- 使用SELinux或AppArmor等安全模块增强系统防护。
- 启用系统审计功能（auditd），记录关键命令的执行日志。
通过以上方法和手段，可以有效识别和防范Linux系统中的命令劫持行为，提升系统的整体安全性。
