Linux 服务器分级防御策略：从 DoS 到 Root 权限沦陷的应对指南

前言

随着 Linux 在企业级应用中的普及，大量网络服务器采用 Linux 操作系统。服务器安全性能备受关注。本文依据攻击深度将针对 Linux 服务器的攻击划分为四个等级，并针对每个等级提出相应的防御与应对方案。

攻击定义与分级原则

攻击是指旨在妨碍、损害、削弱、破坏 Linux 服务器安全的未授权行为，范围从服务拒绝延伸至完全控制服务器。本文从攻击深度角度出发，将攻击分为四级：

• 一级：服务拒绝攻击（DoS）
• 二级：本地用户获取非授权文件读写权限
• 三级：远程用户获得特权文件读写权限
• 四级：远程用户获取 Root 权限（完全控制）

攻击级别一：服务拒绝攻击（DoS）

特点与危害

DoS 攻击工具泛滥，针对协议层缺陷，短期难以根治，是传播最广、最难防范的攻击方式。常见形式包括分布式拒绝服务（DDoS）、反射式 DDoS、DNS 放大攻击、FTP 攻击等。多数 DoS 导致相对低级危险，甚至系统重启也仅是暂时性问题，通常不直接威胁数据安全，但持续时间长、极难缠绕。

防御措施

目前无绝对方法制止 DoS，但可采取以下措施降低风险：

• 强化主机防护，避免被利用为肉鸡
• 安装验证软件与过滤功能，校验报文源地址真实性
• 关闭不必要的服务
• 限制同时打开的 SYN 半连接数量
• 缩短 SYN 半连接超时时间
• 及时更新系统补丁

攻击级别二：本地用户越权访问文件

攻击场景

本地用户指在本地网络任一机器拥有账号、在某驱动器有目录的用户。若本地用户获取非授权文件的读写权限，危害程度取决于被访问文件的关键性。任何本地用户随意访问临时目录（/tmp）均具潜在风险，可能铺设通向更高级攻击的路径。

主要手段与防御

攻击者常通过社会工程学诱骗合法用户泄露机密或执行任务（如冒充管理员索要密码）。本地攻击多从远程登录开始。最佳防御策略：

• 将所有 Shell 账号集中放置于单独机器，仅在分配有 Shell 访问权限的服务器上接受注册，便于日志、访问控制管理
• 隔离存放用户 CGI 的系统，置于特定网络段，由路由器或交换机封装，拓扑结构确保硬件地址欺骗无法跨段

攻击级别三：远程用户获取特权文件读写权限

成因与手段

因 Linux 服务器配置存在弱点，导致远程用户无需有效账号即可在服务器上执行有限命令。密码攻击是主流手段，包括字典攻击、混合攻击、暴力破解。用户常忽略密码复杂度，密码策略难以落地。一旦攻击者获取密码，即可获得用户特权。

最佳防卫：严格控制特权访问

• 密码必须遵循大小写字母、数字、特殊字符（如 #、%、$）混合规则
• 示例：将 "countbak" 强化为 "countbak#$"
• 定期轮换密码，禁用弱口令

攻击级别四：远程用户获取 Root 权限（致命攻击）

攻击形式

此级别意味着攻击者拥有服务器完全控制权，可随时关闭甚至摧毁网络。主要手段包括 TCP/IP 会话劫持、被动窃听、数据包拦截。这些手段隐蔽性强，不像 DoS 那样显眼。成功的 TCP/IP 劫持可让攻击者中断双方通信，实施中间人攻击；被动窃听可收集账号密码等敏感信息；数据包拦截可篡改或重定向数据流。

针对嗅探器的防御

1. 安全拓扑结构：嗅探器仅能捕获当前网段数据。网络分段越细，嗅探器可收集信息越少。
2. 会话加密：即使数据被嗅探，因无法识别也无利用价值。这是最有效的防嗅探手段。

若怀疑网络被接入嗅探器，可使用时域反射仪（TDR）检测未授权设备，但成本较高，中小企业可优先采用上述两种低成本方案。

特别提示：超二级攻击的反击措施

当攻击达到三、四级别，攻击者往往会不断提权渗透。此时应采取以下反击步骤：

1. 首要备份企业关键数据。
2. 全局改密，通知用户向管理员获取新口令。
3. 隔离网段，将攻击范围限制在最小区域。
4. 允许攻击行为持续（在可控前提下），勿急于驱逐攻击者，为取证争取时间。
5. 全方位取证：收集系统日志、应用日志、AAA/RADIUS 日志、网络设备日志、防火墙日志、HIDS/NIDS 事件、磁盘镜像、隐藏文件等。取证遵循“两人原则”、拍照留存、记录所有操作步骤，制作双份备份（一份评估、一份法律验证）。
6. 溯源分析，尝试不同网络路径识别攻击源头。
7. 法律追责：保留证据需时间，须忍受攻击冲击，配合权威安全公司取证、定位攻击者地址、提交日志。证据保存需符合法律链要求。
8. 漏洞修复与自测：堵住漏洞后开展自我渗透测试验证修复效果。

结语

网络安全已非单纯技术问题，而是社会问题。企业应提升安全重视度，不能仅依赖技术工具而陷入被动；必须结合法律、社会力量打击网络犯罪。我国已有明确司法解释，遗憾的是多数企业仍重技术轻法治，这也是本文的写作初衷。

附录：DoS 简介

DoS（Denial of Service）即拒绝服务，非微软 DOS 系统。攻击者通过伪造超出服务器处理能力的请求消耗资源，导致正常用户请求无响应，实现攻击目的。