如何识别Ubuntu系统中的Exploit

识别Ubuntu系统中的Exploit

一 基线信息收集与可疑迹象

• 收集系统与内核标识：执行uname -a、cat /etc/os-release或lsb_release -a，记录内核版本、发行版与补丁级别，为后续匹配已知漏洞提供依据。
• 快速排查常见本地提权入口：
  • 枚举SUID/SGID可执行文件：find / -type f ( -perm -4000 -o -perm -2000 ) -ls 2>/dev/null
  • 检查sudo权限与版本：sudo -l；若系统启用sudo，关注是否存在已知提权漏洞或可被滥用的配置
  • 查看cron与系统服务：grep -R “CRON” /etc 2>/dev/null；systemctl list-timers --all
  • 网络与进程异常：ss -tulpen | grep -E ‘(:22|:80|:443)’; ps -eo pid,ppid,cmd,%mem,%cpu --sort=-%cpu | head
    这些基础信息既用于“是否可能被利用”的判断，也为后续工具化匹配提供输入。

二 内核漏洞快速筛查 Linux Exploit Suggester

• 安装与运行（Ubuntu/Debian）：sudo apt update && sudo apt install -y perl git
  git clone https://gitcode.com/gh_mirrors/li/Linux_Exploit_Suggester
  cd Linux_Exploit_Suggester
  perl Linux_Exploit_Suggester.pl
• 指定内核版本：perl Linux_Exploit_Suggester.pl -k 4.4.0-116-generic
• 输出解读：关注“问题名称、CVE编号、来源链接”。例如可能提示**CVE-2016-5195（Dirty Cow）**等。
• 重要限制：该工具基于版本号匹配，无法确认是否已打补丁；需结合系统更新与内核头文件进一步验证，例如：
  • 查看已安装内核包：dpkg -l | grep linux-image
  • 检查补丁痕迹：grep -r “CVE-2016-5195” /usr/src/linux-headers-$(uname -r)/
• 若结果为空或版本较新，先升级工具数据库（git pull），或使用在线脚本版本进行交叉验证。

三 本地提权与内核利用的定向验证

• 使用Exploit-DB的本地副本工具searchsploit定位可用exp：
  • 基本检索：searchsploit linux 4.4.0-116
  • 结合发行版与内核缩小范围：searchsploit linux local 4.4.0-116 ubuntu
• 典型流程：在受控环境编译并验证exp的行为特征（仅限合法授权测试），观察是否出现uid=0或root shell等提权迹象；例如存在针对**Ubuntu 16.04.4（内核 4.4.0-116）**的本地提权代码条目。
• 常见本地提权路径与迹象（示例）：
  • Dirty Pipe（CVE-2022-0847）：影响5.8–5.17内核，常见表现为可写只读文件、覆盖敏感文件后权限提升
  • LXD/LXC容器挂载根目录：id显示加入lxd组，可导入镜像并挂载宿主根分区，进而访问全部文件
• 安全提示：仅在合规授权的渗透测试或应急处置中执行上述验证，避免在生产环境引入风险。

四 Rootkit与持久化后门排查

• 使用chkrootkit与rkhunter检测常见rootkit、后门与隐藏进程/端口：
  • 安装：sudo apt-get install chkrootkit rkhunter
  • 更新rkhunter数据：sudo rkhunter --update
  • 执行检查：sudo chkrootkit；sudo rkhunter -c（结果日志见/var/log/rkhunter.log）
• 对抗被篡改系统命令：
  • 使用chkrootkit的**-p**参数指定可信命令路径（如只读介质中的/bin、/sbin、/usr/bin）
  • 或以只读方式挂载可疑根分区，用**-r**参数离线检查：sudo chkrootkit -r /mnt/hdisk
• 辅助工具unhide可发现隐藏进程与端口：unhide proc; unhide tcp

五 面向运维的漏洞管理与加固

• 采用Vuls进行持续漏洞扫描与风险管理：
  • 支持Ubuntu/Debian等多发行版，提供快速扫描/快速根扫描/深度扫描与本地/远程/服务器多种模式
  • 可识别“已更新但未重启的进程”，支持中间件与库的CPE识别，适合纳入定时任务做常态化巡检与报告
• 加固要点（简要）：
  • 及时应用内核与关键组件安全更新（apt upgrade），重启受影响服务/系统
  • 清理不必要的SUID/SGID与可疑cron任务，最小化sudo授权
  • 结合主机加固基线（登录审计、最小权限、完整性校验）与网络侧防护（仅开放必要端口、WAF/IDS）形成纵深防御
• 合规声明：本文所述检测与验证方法仅用于授权的安全评估与应急处置，请勿用于未授权环境或非法目的。