当前位置：网站首页 > 技术文章 > 正文

Linux 中最容易被黑客动手脚的关键目录

ahcoder 2025-05-28 14:42 3 浏览

在 Linux 系统中，黑客攻击后常会针对关键目录和文件进行修改以实现持久化、提权或隐藏恶意活动。本文介绍下黑客最常修改的目录及其手法。

一、/etc 目录

关键文件有：

/etc/passwd 和 /etc/shadow：添加特权用户或修改密码。

/etc/hosts：劫持域名解析（用于指向指向恶意 IP）。

/etc/crontab 或 /etc/cron.*：添加定时任务。

/etc/ld.so.preload：注入恶意动态链接库（劫持进程执行）。※这是 Linux 系统中动态链接器（如 ld.so 或 ld-linux.so）的配置文件，用于指定系统范围内预加载的共享库。

隐蔽手段：

使用 touch -r 将恶意文件的时间戳修改为与系统文件一致。

在 /etc/passwd 中创建 UID 0 的隐藏用户。

利用 cron 实现持久化，定期执行恶意脚本。

二、/bin、/sbin、/usr/bin 等二进制目录

关键文件有：

各种系统命令（如 ls、ps、netstat、sshd）可能被替换为恶意版本。

隐蔽手段：

Rootkit，通过劫持 ls、ps 等命令隐藏恶意进程或文件

替换 ssh、telnet 等工具以记录用户输入的密码。

预编译的恶意二进制文件覆盖原文件。

利用动态链接库劫持修改程序行为。

三、/tmp 和 /dev/shm

这两个目录存放临时文件或共享内存，权限宽松，常用于存储攻击工具或恶意脚本。

隐蔽手段：

使用随机字符串命名文件伪装成系统文件。

内存驻留在 /dev/shm 中，运行无文件恶意程序，重启后消失。

利用 wget 或 curl 下载远程脚本并执行（如挖矿木马）。

四、用户主目录（如 /home/[user]）

关键文件有：

.bashrc、.profile：添加恶意命令实现登录时触发。

.ssh/authorized_keys：注入公钥以获取 SSH 无密码访问权限。

.viminfo、.bash_history：篡改或删除操作历史。

隐蔽手段：

以 . 开头的配置文件。

使用 chattr + i 防止文件被修改或删除。

通过弱口令或 SSH 密钥泄露植入后门。

五、/var 目录

关键文件有：

/var/log：删除或篡改日志文件，掩盖攻击痕迹。

/var/www/html：在Web根目录植入Webshell（如php后门）。

隐蔽手段：

删除特定日志条目。

将恶意代码嵌入图片文件中（如著名的图片马）。

六、/lib 和 /lib64

关键文件有：

系统动态链接库（如 libc.so），劫持后可实现全局代码注入。

隐蔽手段：

替换系统库文件并配合 ld.so.preload 加载恶意代码。

重定向库文件路径到恶意版本。

七、/proc 文件系统

通过 /proc/[pid]/ 操控进程内存。

隐蔽手段：

修改进程名或PID以躲避检测。

加载恶意内核模块，隐藏进程、端口等。

关键目录防御建议

1、使用 AIDE、Tripwire 或 auditd 检测关键文件完整性变化。

2、限制 /etc、/bin 等关键目录的写权限，禁用不必要的SUID/SGID。

3、将日志发送到远程服务器（避免本地篡改）。随后我会更新一篇实时备份日志的文章。

4、修补系统和应用漏洞，减少攻击面。

攻击者通常会结合多种手法掩盖行踪，防御需从监控、权限控制和纵深防护多维度入手。

linux域名

上一篇：群晖Docker应用(一)——公网动态域名解析神器DDNS-GO
下一篇：linux服务器性能调优经典技巧汇总

Linux 中最容易被黑客动手脚的关键目录

相关推荐

为什么有人认为Linux不如macOS?

linux系统实用篇-8、系统配置与优化

Linux中如何启用root用户

如何远程执行Linux命令和脚本?大技霸来教你

6款Linux常用远程连接工具，你最中意哪一款?

Windows如何远程linux(桌面版)

如何使用 Linux find 命令查找文件?

执手的Linux运维小知识:sshpass工具简化ssh密码输入

Rackspace的所有平台将支持Ubuntu Linux

这次答应我，一举拿下 I/O 多路复用