Auditd可有效监控LD_PRELOAD劫持行为，关键在于捕获环境变量修改、/etc/ld.so.preload篡改及可疑动态库加载三类操作链，虽不能直接检测函数覆盖，但能精准记录攻击部署全过程。
Auditd 可以有效监控 LD_PRELOAD 劫持行为，关键在于捕获环境变量修改、动态库加载和敏感系统调用三个层面的动作。它不能直接“看到”函数被覆盖，但能精准记录攻击者为实施劫持所必须执行的操作链。
监控 LD_PRELOAD 环境变量的设置与传播
Auditd 本身不解析进程环境变量，但可通过跟踪 shell 内建命令（如 export、unset）和 execve 系统调用来间接发现异常配置：
- 在 /etc/audit/rules.d/ld_preload.rules 中添加规则，记录所有对 export/unset 的调用：
-a always,exit -F arch=b64 -S execve -F path=/bin/bash -F path=/bin/sh -F path=/usr/bin/bash -F path=/usr/bin/sh -k ld_preload_env - 配合 -F exe=/bin/bash 或具体 shell 路径，缩小范围，避免日志爆炸
- 重点检查 audit 日志中 execve 的 argv[] 字段是否包含类似 export LD_PRELOAD=... 或 LD_PRELOAD=... ./app 的字符串（需开启 auditctl -e 2 并确保内核支持 argv 记录）
监控 /etc/ld.so.preload 文件的篡改行为
这是比环境变量更隐蔽、影响范围更广的劫持方式，auditd 对文件写入的监控非常可靠：
- 添加文件监控规则：
-w /etc/ld.so.preload -p wa -k ld_so_preload - 该规则会记录任何对这个文件的写（write）、属性修改（attribute change）操作，包括 echo、cp、sed 等所有修改手段
- 配合 ausearch -m write -f /etc/ld.so.preload -i 可快速定位篡改时间、用户 UID、进程 PID 和完整命令行
监控可疑的动态库加载与执行行为
攻击者注入的恶意 .so 文件通常位于临时目录或非标准路径，其加载过程会触发特定系统调用：
- 监控 openat/open 系统调用，过滤出加载 .so 文件的行为：
-a always,exit -F arch=b64 -S open,openat -F path=/tmp/ -F perm=w -k ld_preload_so
-a always,exit -F arch=b64 -S open,openat -F path=/dev/shm/ -F perm=w -k ld_preload_so - 监控 dlopen 等运行时加载行为较难，但可结合 execve 记录所有以 .so 为参数的程序启动，例如：
-a always,exit -F arch=b64 -S execve -F path=/usr/bin/ldd -k ld_preload_ldd（用于排查可疑库依赖） - 对已知高危命令（如 whoami、ps、netstat）做 execve 监控，再关联其子进程的 openat 行为，可构建攻击链证据
日志分析与告警建议
单纯记录不够，需建立可操作的响应逻辑：
- 使用 aureport -k ld_preload_env --start recent 快速筛查最近的环境变量操作
- 将 audit 日志接入 SIEM（如 Wazuh、Elastic Stack），设置规则：当同一 PID 在 5 秒内先后触发 ld_so_preload 和 ld_preload_so 事件时，立即告警
- 定期用 ausearch -m avc -i | grep -i "preloading\|ld_preload" 检查 SELinux 是否已拦截过相关尝试（若启用）
- 注意：auditd 无法监控已通过 LD_PRELOAD 加载并静默运行的恶意代码，它只捕获“部署阶段”的动作，因此必须与进程行为分析（如 eBPF 工具）配合使用
