常用命令异常极可能是被篡改，需先用绝对路径校验、stat查时间戳、rpm-Vf/debsums核对完整性，再批量扫描高频命令与可疑小文件，最后通过重装包或离线ISO恢复，并用AIDE监控、chattr锁定加固。
发现常用命令行为异常（比如 ls 不显示隐藏文件、ps 漏掉进程、netstat 报错或无输出），极可能是命令二进制被替换或劫持。不能直接重装或删除，必须先确认篡改范围和程度，再基于可信源恢复。
先交叉验证是否真被篡改
攻击者常污染 $PATH 或替换高频命令，但往往忽略冷门工具或静态可执行文件。别急着修，先用以下方式交叉判断：
- 用绝对路径调用未被污染的校验工具：如
/usr/bin/sha256sum /bin/ls（避开 PATH 污染）； - 查文件元数据：运行
stat /bin/ls，重点关注mtime（修改时间）和ctime（状态变更时间）——若出现在非运维时段（如凌晨2:17），且无对应日志记录，高度可疑； - 用包管理器核对：RHEL/CentOS 执行
rpm -Vf /bin/ls，Debian/Ubuntu 执行debsums -s /bin/ls；输出含 S（大小变）、5（sha256 校验失败）、T（时间戳异常）即确认被改； - 对比官方哈希：从同版本 ISO 镜像中提取原始
/bin/ls，本地计算sha256sum并比对。
快速定位批量被改命令
单个命令异常往往是冰山一角，需扫描系统核心入口点：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 批量检查高频命令完整性：
for i in ls ps top netstat ifconfig curl wget; do rpm -Vf /usr/bin/$i 2>/dev/null || echo "$i: not rpm-managed"; done（RPM 系统）； - 扫描可疑小体积可执行文件：
find /bin /usr/bin -type f -perm /111 -size -500k -exec sha256sum {} \; | sort | uniq -w64 -D，重复哈希值多说明多个命令被同一后门二进制覆盖； - 检查
$PATH中高危目录：echo $PATH | tr ':' '\n' | grep -E "(local|home|opt)"，重点审查/usr/local/bin、~/bin是否存在恶意软链接或伪装成vmlinux1的二进制。
安全恢复被篡改的命令
修复必须脱离当前可疑环境，禁用网络、不下载、不编译，只用可信源：
- 优先重装原厂软件包：
RPM 系统运行yum reinstall coreutils procps-ng net-tools（覆盖ls、ps、netstat）；
DEB 系统运行apt install --reinstall coreutils procps net-tools； - 离线介质恢复（当包管理器本身不可信时）：
挂载原始 ISO，用rpm2cpio或dpkg-deb解包，提取干净二进制，例如：mount -o loop CentOS-7-x86_64-DVD.iso /mnt && rpm2cpio /mnt/Packages/coreutils-*.rpm | cpio -idmv，再拷贝./bin/ls覆盖； - 若
cp、chown、sha256sum等基础工具也被改，先用 Python 或busybox（若存在）恢复它们，再重建信任链。
加固并建立长效监控
修复只是止损，防止二次入侵才是关键：
- 立即部署 AIDE：
apt install aide -y && aide --init && mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz，然后加入定时任务每日执行aide --check并邮件告警； - 锁定关键二进制属性（修复后）：
chattr +i /bin/ls /bin/ps /usr/bin/sha256sum（注意：确保chattr本身未被篡改）； - 清理启动项与计划任务：
检查crontab -e、/etc/cron.d/、/etc/init.d/、/etc/systemd/system/中是否有异常脚本或服务； - 审计账户与登录日志：
lastlog查近期登录，grep 'Failed\|Accepted' /var/log/auth.log找暴力破解痕迹，删掉不明用户及 SSH 公钥。
