如何深入排查并修复Linux系统中被篡改的常用系统命令的根源？

本文共计1044个文字，预计阅读时间需要5分钟。

发现常用命令行异常（如ls不显示隐藏文件、ps漏掉进程、netstat报错或无输出），极可能是命令二进制被替换或持有关键数据。无法直接重装或删除，需先确认篡改范围和频率，再基于可信源恢复。

先交叉验证是否真被篡改

攻击者常污染 $PATH 或替换高频命令，但往往忽略冷门工具或静态可执行文件。别急着修，先用以下方式交叉判断：

• 用绝对路径调用未被污染的校验工具：如 /usr/bin/sha256sum /bin/ls（避开 PATH 污染）；
• 查文件元数据：运行 stat /bin/ls，重点关注 mtime（修改时间）和 ctime（状态变更时间）——若出现在非运维时段（如凌晨2:17），且无对应日志记录，高度可疑；
• 用包管理器核对：RHEL/CentOS 执行 rpm -Vf /bin/ls，Debian/Ubuntu 执行 debsums -s /bin/ls；输出含 S（大小变）、5（sha256 校验失败）、T（时间戳异常）即确认被改；
• 对比官方哈希：从同版本 ISO 镜像中提取原始 /bin/ls，本地计算 sha256sum 并比对。

快速定位批量被改命令

单个命令异常往往是冰山一角，需扫描系统核心入口点：

• 批量检查高频命令完整性：
  for i in ls ps top netstat ifconfig curl wget; do rpm -Vf /usr/bin/$i 2>/dev/null || echo "$i: not rpm-managed"; done（RPM 系统）；
• 扫描可疑小体积可执行文件：
  find /bin /usr/bin -type f -perm /111 -size -500k -exec sha256sum {} \; | sort | uniq -w64 -D，重复哈希值多说明多个命令被同一后门二进制覆盖；
• 检查 $PATH 中高危目录：
  echo $PATH | tr ':' '\n' | grep -E "(local|home|opt)"，重点审查 /usr/local/bin、~/bin 是否存在恶意软链接或伪装成 vmlinux1 的二进制。

安全恢复被篡改的命令

修复必须脱离当前可疑环境，禁用网络、不下载、不编译，只用可信源：

• 优先重装原厂软件包：
  RPM 系统运行 yum reinstall coreutils procps-ng net-tools（覆盖 ls、ps、netstat）；
  DEB 系统运行 apt install --reinstall coreutils procps net-tools；
• 离线介质恢复（当包管理器本身不可信时）：
  挂载原始 ISO，用 rpm2cpio 或 dpkg-deb 解包，提取干净二进制，例如：
  mount -o loop CentOS-7-x86_64-DVD.iso /mnt && rpm2cpio /mnt/Packages/coreutils-*.rpm | cpio -idmv，再拷贝 ./bin/ls 覆盖；
• 若 cp、chown、sha256sum 等基础工具也被改，先用 Python 或 busybox（若存在）恢复它们，再重建信任链。

加固并建立长效监控

修复只是止损，防止二次入侵才是关键：

• 立即部署 AIDE：
  apt install aide -y && aide --init && mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz，然后加入定时任务每日执行 aide --check 并邮件告警；
• 锁定关键二进制属性（修复后）：
  chattr +i /bin/ls /bin/ps /usr/bin/sha256sum（注意：确保 chattr 本身未被篡改）；
• 清理启动项与计划任务：
  检查 crontab -e、/etc/cron.d/、/etc/init.d/、/etc/systemd/system/ 中是否有异常脚本或服务；
• 审计账户与登录日志：
  lastlog 查近期登录，grep 'Failed\|Accepted' /var/log/auth.log 找暴力破解痕迹，删掉不明用户及 SSH 公钥。