Linux Exploit攻击案例分析精选
案例一 本地提权双漏洞链 CVE-2025-6018 CVE-2025-6019
- 漏洞组件与权限链：在部分 openSUSE Leap 15 / SUSE Linux Enterprise 15 上，PAM 配置错误将 SSH/TTY 会话误判为本地控制台，直接获得 polkit 的 allow_active 权限；随后借助 udisks2 + libblockdev 的 org.freedesktop.udisks2.modify-device 动作（默认策略常为 allow_active），通过循环挂载恶意镜像触发 libblockdev 边界检查缺陷，完成从普通用户到 root 的提权。该链已在 Ubuntu、Debian、Fedora、openSUSE 等主流发行版复现，且无需物理接触或内核漏洞。利用门槛低、影响面广，属于典型的“本地到 root”快速提权路径。
- 攻击流程与检测要点：已获低权 Shell 的攻击者先触发 CVE-2025-6018 拿到 allow_active，再通过 D-Bus 调用 udisks2 执行 loop-mount；此时 polkit 按默认策略放行，恶意镜像被解析后触发 libblockdev 缺陷写入任意文件并获取 setuid-root Shell。网络侧常见为 D-Bus/systemd 会话总线 的异常调用与挂载活动；主机侧可见可疑的 loop 设备、临时镜像文件、/usr/bin/sudo 或 /bin/su 的异常调用、以及 polkit 授权日志激增。
- 处置与修复：优先升级 libblockdev/udisks2 与受影响的 PAM 配置；将 polkit 策略 org.freedesktop.udisks2.modify-device 调整为需要管理员认证；对关键主机实施最小权限与 sudo 审计，临时禁用或限制 udisks2 的 D-Bus 接口访问（如通过 polkit 规则或系统服务策略）。
案例二 内核 nftables 双重释放本地提权 CVE-2024-26809
- 漏洞要点：Linux 内核 nftables 子系统的 nft_pipapo_destroy() 存在 double-free 缺陷，影响 5.15.54 及以上与 6.1-rc1 及以上版本。攻击者可借 kmalloc-256 等对象缓存进行堆布局与重叠对象构造，泄露内核地址并劫持函数指针，进而通过 ROP 实现内核代码执行与 root 提权。社区已出现公开 PoC，表明该漏洞具备实际可利用性。
- 攻击流程与检测要点：攻击者通常先创建并反复操作 nftables 集合/映射，诱导内核在销毁阶段对同一内存区域执行两次释放，触发堆损坏与对象重用；随后利用释放-重用链泄露地址、伪造对象并最终获得 root Shell。主机侧可重点排查异常的内核日志（如 slab 损坏、nftables 断言失败）、可疑的 nft 规则频繁变更、以及出现与 nft_pipapo 相关的崩溃或 OOPS；网络侧通常无明显外连特征，属于本地提权为主。
- 处置与修复：尽快升级至包含修复的内核版本；在未修复前，最小化 nftables 使用与变更权限，限制能够加载/修改 nftables 规则的管理员与系统账户；对关键系统启用 KASLR/堆栈保护/完整性校验 等加固，减少内存破坏类漏洞的可利用性。
案例三 Samba “usermap_script” 远程代码执行
- 漏洞要点：Samba 历史漏洞 usermap_script 允许通过构造恶意用户名在 SMB 会话中注入命令，导致远程代码执行。该漏洞在攻防演练与教学靶机（如 Metasploitable）中极为常见，常被用于演示从远程到系统的初步入侵路径。
- 攻击流程与检测要点：攻击者以 Nmap 扫描发现开放的 445/TCP，使用 Metasploit 模块 exploit/multi/samba/usermap_script 发起攻击，并设置 reverse/bind shell Payload；成功后可获取目标系统 Shell。网络侧可在 SMB 握手与登录阶段观察到异常用户名（含命令注入片段）、可疑的 TCP 445 会话与反向连接行为；主机侧可见异常进程、临时脚本与新增网络监听。
- 处置与修复：升级 Samba 至包含修复的版本，禁用或限制不必要的 SMB 服务与匿名访问；在边界与主机侧启用 IDS/IPS（如匹配异常 SMB 用户名与载荷特征），并对 445/TCP 实施白名单与访问控制。
案例四 内核 SCSI iSCSI 堆溢出本地提权 CVE-2021-27365
- 漏洞要点：Linux 内核 SCSI 子系统 iSCSI 存在 堆缓冲区溢出，影响 5.11.4、5.10.21、5.4.103、4.19.179、4.14.224、4.9.260、4.4.260 之前版本。攻击者通过设置 ISCSI string 属性 为超页大小并读取触发溢出，结合信息泄露实现 本地提权至 root。该漏洞影响广泛，包含 CentOS 等发行版。
- 攻击流程与检测要点：本地低权用户通过 /sys/class/iscsi_transport/ 等接口设置异常长度的 iSCSI 属性触发溢出，利用泄露的内存布局信息绕过防护并获得 root。主机侧可重点审计对 iscsi 相关 sysfs/proc 接口的异常写入、可疑的内核崩溃日志（如 slab/slub corruption）、以及非授权用户的提权行为。
- 处置与修复：及时升级至修复内核版本；如无业务依赖，考虑临时禁用或限制 iSCSI 服务与接口访问；对关键系统加强 内核日志 与 完整性监控，缩短从异常到响应的时间窗口。