Linux 系统权限配置的逆向工程：解析恶意脚本行为

Linux系统权限配置本身不是程序，不能“逆向”，但攻击者常通过篡改权限（如滥用SUID、放宽脚本执行权限、劫持启动项）为恶意脚本铺路；所谓“权限配置的逆向工程”，实质是从恶意行为出发，反向追踪其依赖的SUID/SGID漏洞、noexec缺失挂载点及过度宽松的定时任务等配置弱点，并结合进程行为与审计日志还原完整攻击链条。

Linux系统权限配置本身不是程序，不能“逆向”，但攻击者常通过篡改权限（如滥用SUID、放宽脚本执行权限、劫持启动项）为恶意脚本铺路。所谓“权限配置的逆向工程”，实质是回溯分析：从已发现的恶意行为出发，反向追踪其依赖的权限漏洞和配置弱点。

识别恶意脚本依赖的危险权限

恶意脚本往往不直接提权，而是利用已有权限缺陷扩大控制面。重点排查三类配置：

• SUID/SGID可执行文件：特别是非root所有、位于/tmp或/home下的二进制，可能被用于提权链起点。用find / -perm -4000 -type f 2>/dev/null快速定位。
• noexec缺失的挂载点：/tmp、/var/tmp若未以noexec挂载，脚本可直接在此处生成并执行，绕过常规路径限制。
• 过度宽松的定时任务与启动项：检查/etc/crontab、/var/spool/cron/及/etc/rc.local中是否混入可疑命令，尤其含wget、curl、base64 -d等调用。

从进程行为反推权限滥用痕迹

运行中的恶意脚本会暴露其权限依赖方式：

• 用ps auxf或systemctl status观察异常进程的UID/GID与其父进程不一致，提示可能通过SUID程序派生。
• 用lsof -p PID查看进程打开的文件——若普通用户进程正写入/etc/crontab或/etc/systemd/system/，说明已突破写权限限制。
• 用cat /proc/PID/status | grep CapEff检查是否获得非预期能力（如cap_sys_admin），这往往是内核模块或SUID二进制触发的结果。

审计日志中还原权限突破路径

关键日志能串联起“配置漏洞→脚本执行→持久化”的完整链条：

• auditd日志：搜索execve调用中解释器路径为/tmp/xxx.sh或/dev/shm/，再向上追溯该脚本由哪个SUID程序启动。
• auth.log：查找sudo或su异常记录，尤其关注非交互式调用（如echo "pass" | sudo -S ...），可能指向凭证硬编码或PAM配置被篡改。
• secure日志：匹配systemd-logind或sshd中同一IP短时间内多次失败后成功登录，结合lastlog确认是否新建了隐蔽用户。

验证与修复配置层面的根源

找到线索后，需验证并收紧底层权限配置：

• 对/tmp等目录重新挂载：mount -o remount,noexec,nosuid,nodev /tmp，并写入/etc/fstab固化。
• 清理非必要SUID文件：chmod u-s /path/to/suspicious_binary，除非明确知晓其用途且无法替代。
• 禁用shell脚本的直接执行：在/etc/ssh/sshd_config中设置ForceCommand限制用户仅能运行白名单命令，或使用rbash受限shell。