最近在整理网安学习笔记的基础篇翻到Linux系统这一章觉得最值得好好展开。很多刚接触网络安全的朋友问我的第一句话往往是“我该先学什么”我的答案始终是先把Linux系统用熟没有捷径。不是因为它比Windows神秘而是因为网安岗位的日常——查日志、看进程、审权限、写自动化脚本、分析Web服务——几乎全都发生在Linux命令行里。这篇笔记我会从一位“把服务器当练习场”的学习者视角出发把文件权限、用户账户、网络排查、日志审计和一台加固练习机的完整搭建过程都串起来适合零基础入门也适合想系统补一遍Linux安全基础的同学参考。1. 入门第一道坎为什么要从Linux开始1.1 网安圈为什么绕不开Linux生态先说一个很现实的理由互联网上绝大多数服务器跑的就是Linux。无论是网站后端、数据库、消息队列还是容器集群底层操作系统基本都是Linux系。攻击者拿下目标之前要先读懂目标的系统环境防守方排查入侵痕迹时也要在Linux主机上翻日志、看进程、查连接。两边的工作都离不开Linux这一关绕不过去。另一个理由是安全工具生态。大量开源安全工具最初就是在Linux环境下开发、测试、使用的很多工具的文档和示例默认都是Linux命令。你用Windows当然也能跑一部分但遇到依赖特定内核能力、需要和系统日志深度交互的工具时Linux环境下明显更顺手。再加上Shell脚本和Python脚本的批量处理能力日常做资产梳理、日志统计、自动化巡检命令行效率比图形界面高得多。我见过不少人先啃Windows再补Linux结果到了真实环境里连“查看某个端口被哪个进程占用”都要想半天。不是说Windows没用而是网安基础阶段Linux的使用频率实在太高。如果你在面试时说自己熟悉Linux但连ls -l的权限位都读不出来基本第一轮就会被问住。先把Linux系统性过一遍后面学网络、学Web、学渗透、学应急响应都会顺很多。1.2 发行版选择与最小化环境准备Linux发行版很多新手容易挑花眼。我的建议是分阶段来学习期用Debian系或Ubuntu Server做实验时再换安全发行版日常模拟生产环境时考虑红帽系。重点不是“哪个最好”而是“当前阶段哪个最合适”。下面这张表是我常用的选型思路。发行版适合场景特点Ubuntu Server新手入门、日常练习文档多、社区活跃、遇到问题容易搜到答案Debian追求稳定的服务器环境更新保守、包管理清晰、适合做服务类实验Kali / Parrot安全工具集合预装大量安全工具适合取证与靶场练习CentOS Stream/RHEL系模拟企业生产环境与不少企业服务器匹配但桌面体验一般我在自己练习机上用的是Ubuntu Server选它是因为新手最容易上手遇到报错时能搜到大量现成解决方案。安装时建议走“最小化安装”不要装图形桌面。不是因为图形界面不好而是真实服务器往往没有桌面而且最小化安装意味着攻击面更小、需要理解的东西更少。刚开始不习惯命令行很正常多敲两周就没问题了。虚拟机我推荐用一个开源虚拟化软件我用的是VirtualBox镜像文件不大磁盘分配20到40G就够用内存给2G也可以跑得很流畅。网络模式用NAT或桥接都行NAT适合纯练习桥接适合需要和局域网内其他设备互通的场景。装完后第一件事是sudo apt update更新软件源然后顺手装openssh-server方便从宿主机用SSH连过去操作。2. 文件与权限网安视角下的三类权限陷阱2.1 基本权限与属主概念Linux的权限模型可以浓缩成一句话每个文件有属主、属组和其他用户三类角色每类角色可以有读、写、执行三种权限。用ls -l查看时第一列的十个字符就是权限位比如-rwxr-xr--可以拆成“文件类型 属主权限 属组权限 其他用户权限”。需要特别注意文件和目录在权限含义上的差别文件上执行权限表示“能否作为程序运行”目录上执行权限表示“能否进入目录”文件上写权限表示“能否修改内容”目录上写权限表示“能否在目录里创建或删除文件”。很多人在这里栽过跟头——目录只有读权限没有执行权限ls虽然能列出文件名但cd进不去。网安视角下权限配置错误是最常见的高危问题之一。比如网站目录被设置成777意味着任何本地用户都能修改Web文件一旦攻击者拿到低权限账户就能直接改页面内容。合理的做法是Web目录属主给专有账号其他用户只保留读和执行权限。日常管理文件时我习惯先用chown确认属主和属组再用chmod收紧权限两步分开做不容易混乱。2.2 SUID/SGID与粘滞带的排查思路普通权限之外还有三个特殊权限位SUID、SGID和粘滞位。SUIDSet User ID在属主执行权限位显示为s含义是“运行该程序时临时获得文件属主的身份”。这个机制本身是Linux为了某些合法场景设计的比如passwd命令需要以root身份修改密码文件。但问题在于如果某个普通用户可以执行的二进制文件被错误地设置了SUID攻击者就可能利用它进行提权。网安排查时有一条很实用的命令find / -perm -4000 -type f 2/dev/null作用是查找系统中所有设置了SUID位的文件。正常情况下这类文件数量很少而且绝大多数集中在/usr/bin、/usr/sbin等系统目录。如果你在/tmp、/home或Web目录下发现SUID文件基本可以判定有问题第一时间用chmod u-s去掉SUID位再溯源是谁放上去的。粘滞位相对温和一些它出现在目录的其他用户执行权限位显示为t。典型例子是/tmp目录任何人可以在里面创建文件但只有文件属主或root才能删除自己的文件。如果/tmp缺少粘滞位一个普通用户就能删除其他用户创建的临时文件轻则造成服务异常重则被用作攻击链的一环。可以用ls -ld /tmp确认没有t就要用chmod t /tmp补上。2.3 umask与默认安全基线每次新建文件和目录时系统都会按umask设置一个默认的权限掩码。举个例子umask 022表示新建文件自动去掉属组和其他用户的写权限所以普通文件默认是644如果改成umask 077新建文件默认就是600只有自己可读写。多数桌面发行版默认umask 022日常使用没什么问题。但从安全加固的角度看多用户服务器上更推荐把umask收紧到077尤其是存放脚本、密钥、备份文件的目录。我遇到过不少真实事故服务器上放着含明文口令的脚本权限却是644任何一个普通用户都能读走这比攻击者从外部突破还要危险。还有一点要注意umask不是全局统一的。普通用户可以在.bashrc里覆盖它系统服务则可能在启动脚本里单独指定。排查时要看具体进程的环境不要只看登录shell的配置。3. 用户账户审计从passwd里读出的安全问题3.1 passwd和shadow字段到底告诉你什么/etc/passwd和/etc/shadow是两个最基础的账户文件。前者存储账户基本信息每行七个字段分别是用户名、密码占位符、UID、GID、描述信息、家目录、登录Shell。后者存储加密后的密码哈希和账户有效期信息只有root能读。网安视角下关注点很明确第一检查UID为0的账户——UID 0就是超级用户正常情况下系统里只应该有一个root如果发现第二个UID 0账户说明有人偷偷开了后门。第二查看普通用户的Shell字段系统服务账户通常设为/usr/sbin/nologin或/bin/false如果服务账户变成了/bin/bash也值得警惕。第三检查家目录是否可被其他人访问家目录权限过宽会导致敏感文件泄露。/etc/shadow里也有信号。密码哈希字段以!或*开头表示该账户被锁定无法登录。突然解锁的账户、多次被修改的账户都应该是审计重点。可以用awk -F: $2!{print $1} /etc/shadow快速列出锁定账户也可以用passwd -S 用户名查看单个账户状态。3.2 sudo配置与最小授权sudo是Linux上最常用的提权管理入口。配置都集中在/etc/sudoers官方要求用visudo命令修改原因是它会做语法检查避免你写错文件导致sudo直接瘫痪。新手容易犯的错是图省事直接给用户配ALL(ALL) ALL等于把整台机器的管理权限交了出去。安全习惯是尽量收窄授权范围。比如某个账户只需要重启Web服务就只给对应服务的systemctl权限而不是全部命令。NOPASSWD也要慎用——免除密码意味着只要拿到这个用户的会话就能直接执行sudo命令连最后一道确认都没有。日常可以使用sudo -l查看当前账户有哪些sudo权限做审计时这步不能省。因为使用了sudo的原因默认日志会记录sudo执行记录。在Red Hat系上是/var/log/secure在Debian系上是/var/log/auth.log。审计时搜索包含“sudo”的行可以看到谁在什么时间执行了什么提权命令。权限越小日志越短排查起来越省力。3.3 排查可疑账户的日常清单账户审计不需要多高深关键是养成定期检查的习惯。我给自己整理了一套简单清单用last看最近登录记录用lastlog看每个账户上次登录时间检查/etc/passwd里有没有新增的UID 0账户有没有空密码账户有没有最近天被修改过的账户文件。几个常用的组合命令可以直接抄走。列出所有UID 0的账户awk -F: $30{print $1} /etc/passwd。列出passwd文件和shadow文件最近有没有被改动ls -l /etc/passwd /etc/shadow。检查空密码账户awk -F: ($2){print $1} /etc/shadow。这些命令本身不复杂但组合起来就是一套基础账户审计流程。我自己的经验是把账户审计做成定时任务比想起来再查靠谱得多。脚本跑完后把结果追加到固定文件每周扫一眼增量变化哪个账户新增、哪个账户解锁、哪个文件被改动一眼就能看出来。攻击者即便能隐藏进程也往往顾不上掩盖所有日志痕迹账户层面的异常常常是发现入侵的第一条线索。4. 网络基础与端口暴露面排查4.1 用ss和ip看清监听与连接排查网络状态netstat已经是过去式我建议直接学ss。ss -tulnp可以列出所有TCP监听端口、UDP监听端口并显示对应的进程名和PID。重点看Local Address列里0.0.0.0和*开头的条目这代表端口对所有网卡开放外部可以访问。如果一台服务器同时监听了大量业务之外的端口就要逐条确认来源和用途。ip命令替代了老旧的ifconfig。ip addr看网卡和IP地址ip route看路由表排查网络连通性时配合ping和traceroute使用。我常用的小技巧是先用ip addr确认服务器实际使用的网卡再用ss -tulnp逐项核对服务监听是否绑定了正确网卡。网安角度最重要的概念是区分“端口在监听”和“防火墙放行”。监听只代表本机服务起来了能不能从外面访问还要看防火墙策略。很多时候服务本身没漏洞但运维为了调试方便把端口暴露到公网结果被扫描器盯上。每次新服务上线我都习惯同时做两件事确认服务监听在需要的网卡上确认防火墙只放行必要的端口。4.2 防火墙策略的最小化配置Linux防火墙的主流方案有两套Red Hat系多用的firewalld和Debian系常见的ufw。底层的框架都是netfilter但配置习惯不同。我自己的练习机用的是ufw配置逻辑很直观默认拒绝入站只放行明确需要的端口。最小化防火墙策略的核心就一条默认拒绝按需放行。先设置默认策略为拒绝入站允许出站再为业务端口添加放行规则。以SSH为例ufw allow 22/tcp可以放行22端口。如果你和我一样喜欢把SSH改到其他端口规则也要同步调整否则就会出现“服务在监听但外面连不上”的尴尬局面。firewalld的操作逻辑类似管理方式是先把流量划分到zone再对zone配置放行规则。systemctl status firewalld可以检查状态firewall-cmd --list-all可以查看当前加载的规则。无论哪种方案我都建议在新机器上第一时间启用防火墙即使没有公网IP也能挡住局域网内其他主机的试探扫描。4.3 SSH远程管理加固的常规操作SSH是运维的必经通道也是爆破攻击的第一目标。默认的22端口每天都会收到大量来自扫描器的登录尝试这是常态。我常用的加固三板斧改成非默认端口、禁止root直接登录、改用密钥认证。改端口在/etc/ssh/sshd_config里修改Port字段比如改成22222。改完后要重启sshd服务同时确认防火墙放行了新端口。禁止root登录则是把PermitRootLogin设为no日常管理用一个普通用户加sudo来完成。密钥认证比密码认证安全得多因为私钥文件不出本地配合ssh-copy-id使用非常方便。再进一步还可以考虑在sshd上启用MaxAuthTries限制登录尝试次数、AllowUsers限定可以登录的账户名。这些都属于配置项加起来也不需要太多时间但能把一台机器的远程管理入口从“谁都能试”变成“几乎只有你能进”。做这些改动前一定要先确认自己的登录方式可用否则一旦配置错误就可能把自己锁在机器外面。5. 日志审计被很多人忽略的安全必修课5.1 日志都放在哪里Linux日志体系主要分两块systemd的journald负责收集服务日志传统的rsyslog负责把各类系统日志写入/var/log目录。常见的有/var/log/syslog或/var/log/messages记录整体系统信息、/var/log/auth.log或/var/log/secure记录认证和sudo信息、/var/log/cron记录定时任务执行情况、/var/log/kern.log记录内核信息。日常查看日志我最常用journalctl。journalctl -u 服务名看单个服务日志journalctl --since 1 hour ago看最近一小时的日志journalctl -f实时跟踪输出。如果想导出分析再用grep配合时间关键词过滤。syslog里的日志文件则是把同一类事件集中在一起习惯不同但思路一样——先定位时间范围再缩小到服务最后看内容细节。网安视角下日志文件本身就是重要资产。攻击者在拿到权限后通常会清理登录记录和认证日志来掩盖行踪所以日志文件的时间戳、属主、权限如果出现异常变动本身就是一条可疑信号。5.2 日志里的入侵迹象长什么样日志审计的核心是知道“正常长什么样”这样才能一眼看出异常。以SSH爆破为例通常在auth.log或secure里会看到大量连续的Failed password记录来源IP整齐地试探用户名。可以用grep Failed password /var/log/auth.log | awk {print $(NF-3)} | sort | uniq -c | sort -nr来统计失败次数排名前列的来源IP。除了爆破痕迹还要留意Accepted password中出现的异常来源IP——如果某个IP只在凌晨三点成功登录过一次账户又是平时不活跃的账户这就是需要深挖的信号。last和lastb分别显示成功登录和失败登录记录快速看一遍就能掌握最近的登录情况。日志排查最忌讳“大海捞针式看日志”。我的办法是先做聚合统计再看异常时间窗口内的原始日志。统计能定位异常集中在哪里原始日志能还原攻击者的完整操作路径。两者配合才算一次完整的日志审计。5.3 日志被清空的应对思路遇到日志被清空的情况先不要慌。攻击者清掉/var/log/auth.log只能掩盖一部分痕迹Shell历史、临时文件、进程列表、系统服务的启动时间都可能留下残留信息。history查看当前用户的命令历史是个突破口同时查看/root/.bash_history和/home/*/.bash_history的修改时间基本能判断是否有异常操作。Linux的logrotate机制会按策略自动轮转日志比如/var/log/auth.log可能保留auth.log.1、auth.log.2.gz等历史文件。攻击者如果没有清干净这些归档文件里面就可能保留着被删日志发生之前的关键记录。这也是为什么日常巡检不能只盯当前日志文件归档和轮转文件同样值得关注。更稳妥的做法是把日志实时转发到远程日志服务器。即使本机日志被清理远端还保存着完整副本。这个方案在练习机上也可以模拟在日志服务器上开启rsyslog接收端口在目标机上配置远程IP:端口发送日志几分钟就能验证效果。对于想走安全方向的人来说这套思路越早建立越好。6. 实操收尾搭建一台“安全加固版”练习机并验证6.1 实验设计与加固步骤清单理论说再多不如亲手搭一台机器。我的建议是拿一台全新虚拟机从默认安装开始做一遍完整加固加固前后分别记录端口和日志状态这样能直观看到变化。下面是我自己练习机上用过的一套加固步骤。最小化安装Ubuntu Server创建一个普通用户并加入sudo组修改/etc/ssh/sshd_configSSH端口改为非默认值PermitRootLogin设为no配置防火墙默认拒绝入站只放行SSH新端口上传本机公钥并开启密钥登录验证将umask调整为077收紧新建文件默认权限用find / -perm -4000 -type f 2/dev/null检查SUID文件核对后移除多余SUID关闭不需要的系统服务比如没有实际用途的打印服务和蓝牙相关服务每完成一步就同步验证一次。比如改完SSH端口后马上用新端口重新连接配置完防火墙后从宿主机测试端口连通性。不要等全部改完再统一验证那样一旦断连很难定位是哪一步出了问题。6.2 加固过程踩过的坑与验证方法我在练习机上踩过的第一个坑就是改完SSH端口忘记同步防火墙结果直接和服务端失联。因为虚拟机里无法用图形界面只能通过宿主机里的虚拟机管理终端进入系统把防火墙规则补上才算恢复。从这里学到的教训是凡是动网络相关的加固项先把防火墙规则配好再改服务配置。第二个坑和SUID有关。当时为了追求“干净”我一次性删除了一批自认为没用的SUID位结果系统里某些命令开始报错。原因是部分命令的正常运行依赖SUID带来的临时提权比如某些系统维护工具。从那以后我的检查策略改成“先备份再逐条核对最后再移除”不确定用途的优先保留或查阅文档而不是一刀切。第三个坑是umask设得太严导致服务异常。某个Web服务需要读取配置文件但新建文件权限是600进程运行账号不是文件属主直接没权限。这类问题排查起来比较隐蔽表面看是服务起不来实际是权限不合。最终解决办法是只对特定目录设置安全口径的访问控制而不是全局一刀切。验证时可以做一个简单对照加固前用ss -tulnp记录所有监听端口加固后再次执行对比哪些端口消失了加固前尝试用root密码登录SSH加固后确认被拒绝加固前登录时记录登录提示加固后观察提示是否变化。这套对照虽然朴素但能帮你确认每一项加固措施真的生效了而不是停留在配置文件里。写到这里我想起自己当初在练习机上反复折腾的经历。当时最痛苦的不是命令记不住而是不知道某个配置到底意味着什么。后来换成“每个操作都要能解释清楚目的”的学法一切才开始顺起来。比如学习权限时要追问为什么需要SUID学习防火墙时要追问为什么默认拒绝更安全学习日志时要追问为什么攻击者会优先清理日志。带着这种追问去敲命令Linux基础才算真正扎根。要是你也在学习网安基础不妨从一台最小化安装的Linux虚拟机开始按上面这套思路从头加固一遍我相信你的收获会比单纯背命令大得多。