Linux exploit攻击有哪些常见手段

Linux exploit常见手段与防护要点

一 远程攻击面与初始入侵

• 弱口令与默认凭证：对SSH等服务的在线爆破（如工具：hydra、nmap脚本），或获取口令文件后进行离线破解（如工具：John the Ripper、hashcat）。
• 服务与配置漏洞：利用网络服务缺陷或未加固配置获取远程代码执行或越权访问，例如历史漏洞Samba usermap_script可获取shell；NFS导出范围过大且权限过高时，可将SSH公钥写入目标root/.ssh/authorized_keys形成后门。
• 命令注入与远程命令执行：通过应用层缺陷执行系统命令，实现进一步入侵与横向移动。

二 本地提权与权限维持

• 内核漏洞提权：利用内核缺陷提升至root，如CVE-2016-5195（Dirty COW）；此类利用可能导致系统不稳定，通常作为最后手段。
• SUID/SGID 与文件权限滥用：查找并滥用具有SUID的程序或可写系统文件（如**/etc/shadow、/etc/passwd**），或通过sudo配置不当执行特权命令。
• Capabilities 滥用：不当分配的Linux capabilities可被低权限进程用于提权。
• 进程与服务配置不当：以root身份运行的脚本/服务存在可写脚本或可被子进程继承的敏感环境，易被劫持。
• MySQL UDF 提权：当MySQL root无密码或以高权限运行时，可加载恶意UDF执行系统命令，进而创建SUID二进制或获取root shell。
• 持久化与隐蔽：部署后门/rootkit、创建隐藏账户、设置SSH 公钥、端口转发与SOCKS 代理、清理痕迹等。

三 典型内存破坏与绕过技术

• 缓冲区溢出：向缓冲区写入超量数据覆盖返回地址或控制数据结构，劫持执行流。
• Return-to-libc：在栈溢出场景下直接跳转到libc中的函数（如system）以绕过NX。
• ROP（Return-Oriented Programming）：串联内存中的gadget链实现任意代码执行，常用于绕过DEP/NX等保护。

四 内网横向与隐蔽通道

• 端口转发与代理：利用SSH 隧道、端口转发、SOCKS 代理在受限网络中扩展控制面与访问范围。
• 隐蔽信道与隧道：通过DNS、ICMP等协议外泄数据或维持通信，规避传统检测。

五 防护要点（简要）

• 及时更新与补丁管理：优先修补内核与关键服务，减少已知漏洞利用面。
• 最小权限与配置基线：清理不必要的SUID/SGID、收紧sudoers、限制Capabilities、分离root与业务权限。
• 加固网络服务：禁用或限制NFS/Samba等高风险服务的外网暴露与宽松导出，严格访问控制。
• 凭据安全：杜绝默认口令，强制强密码/口令轮换，限制SSH 公钥分发与写入，监控异常登录。
• 入侵检测与审计：集中审计auth.log、syslog，部署EDR/IDS/IPS与文件完整性监控，关注可疑进程与网络连接。
• 合法合规：任何漏洞测试与利用仅可在取得明确授权的资产与时段内进行，避免触犯法律与合规风险。