// TAG
#系统安全
7 篇
安全研究Linux 系统日志记录体系：从内核到 SIEM 的完整架构
Linux日志系统是一个分层协作的生态系统，包含内核层、系统服务层、应用层、存储层和分析层五个层级。核心组件包括： Syslog协议：定义日志设施（kern,user,mail等）和优先级（emergency到debug）的标准分类方式。 systemd-journald：现代Linux默认的二进制日志收集器，提供结构化日志存储和丰富的元数据，通过journalctl命令查询。 rsyslog：传统日志处理器，负责日志分类、格式化和写入文本文件。 日志存储：包括journald的二进制日志和rsyslog
阅读 →
安全研究Linux进程权限继承研究：从setuid()到exec()与system()的行为差异
本文分析了Linux系统中SUID程序在不同状态下的权限管理机制。进程凭证包含真实用户ID(RUID)、有效用户ID(EUID)、保存的set-user-ID(SUID)和文件系统用户ID(FSUID)四个关键字段。执行SUID程序时，进程可能处于三种状态：状态A（初始SUID状态）、状态B（主动降权）或状态C（固化为root）。文章通过流程图详细展示了这三种状态在fork()、exec()、system()等系统调用中的不同行为，重点阐述了setuid()的语义规则及其对进程权限的影响。
阅读 →
安全研究无人机系统安全攻防技术深度解析
无人机技术的飞速发展使其在航拍、农业植保、电力巡检、应急救援等领域得到广泛应用，但同时也暴露出严峻的安全风险。无人机系统集成了飞控硬件、机载计算机、无线通信链路、传感器等多个模块，其开源化、轻量化的设计特性，导致通信协议脆弱、系统漏洞频发、防护机制缺失等问题突出。本文基于无人机基础架构，从ROS与MAVROS通信安全、WiFi无线链路破解、MAVLink数据嗅探与注入、系统端口侦察、典型漏洞与攻击思路。
阅读 →
安全研究二进制程序动态链接风险与检测脚本实践
本文深入剖析了Linux动态链接机制的安全风险，从环境变量劫持（LD_PRELOAD/LD_LIBRARY_PATH）、系统配置文件（/etc/ld.so.preload）篡改、二进制文件路径配置（RPATH/RUNPATH）漏洞，到库文件权限问题和GOT/PLT运行时攻击面。针对这些风险，文章提出了一套Bash检测脚本方案，可自动检查库文件权限、路径配置和核心库安全性，帮助运维人员快速识别依赖库安全隐患。
阅读 →
安全研究一行规则即可提权？详解 Polkit 安全机制与攻击面
本文深入探讨了Linux系统中Polkit组件的安全风险，重点分析了后门植入方式和历史漏洞。主要内容包括：1）Polkit后门植入的四种方式：伪装守护进程、恶意规则文件注入、环境变量劫持和配置文件篡改；2）详细剖析PwnKit漏洞（CVE-2021-4034）的原理、利用方法和防护措施；3）从红蓝对抗角度，阐述了Polkit后门在权限维持中的价值及相应的检测策略。文章提供了完整的技术细节和实际案例，为系统管理员和网络安全人员防范此类威胁提供了实用指导。
阅读 →
红队渗透AMSI绕过技术入门（初学者食用）
AMSI 绕过技术简介 AMSI（反恶意软件扫描接口）是Windows防护机制，可检测恶意脚本。为执行免杀操作，常见绕过方法包括： 1️⃣ 内存补丁：修改amsi.dll关键函数使其失效 2️⃣ 脚本混淆：通过Base64编码/加密隐藏恶意代码 3️⃣ 降级攻击：使用PowerShell 2.0规避检测 4️⃣ 反射加载：动态替换AMSI组件 5️⃣ 禁用初始化：篡改AMSI环境变量 测试时需在隔离环境验证效果，同时应了解防御措施如启用PS日志、部署EDR等。本文仅供安全研究学习，实际应用需遵守法律规范。
阅读 →
安全研究Linux 防火墙概述：原理、演变与实践应用
Linux防火墙的核心是Netfilter，一个集成在Linux内核中的框架，用于在数据包通过系统时进行拦截和修改。：数据包进入网卡后、路由决策前的处理。：目标为本地进程的数据包。：需要转发的数据包。：本地发出的数据包。：数据包离开网卡前的最后处理。用户通过工具（如iptables、nftables）配置这些钩子上的规则，实现流量过滤、修改或转发。例如，iptables通过命令行操作Netfilter，设置数据包的处理策略。Linux防火墙以其灵活性和高性能成为网络安全的核心组件。
阅读 →