禁用不安全的网络引导协议需从固件层和系统服务层双重切断PXE引导能力：先在BIOS/UEFI中禁用网络堆栈、PXE启动项及IPv6 PXE支持；再停止卸载dhcpd、tftp、xinetd等服务并移除相关软件包；最后加固内核参数，禁用ICMP重定向、源路由等绕过机制。
禁用不安全的网络引导协议，核心是阻止系统在启动阶段响应 PXE（Pre-boot Execution Environment）请求，尤其防范未经授权的远程引导、恶意镜像加载或中间人式重定向攻击。这不是运行时配置，而是从固件层和系统服务层双重切断 PXE 引导能力。
关闭 BIOS/UEFI 中的网络堆栈与 PXE 启动项
PXE 攻击始于硬件启动阶段，必须先在固件中禁用：
- 开机进入 BIOS/UEFI 设置（通常按 Del、F2 或 F12）
- 找到 “Boot” → “Network Stack Configuration” 或 “LAN Option ROM” 选项，设为 Disabled
- 在 “Boot Order” 中移除 “Network Boot”、“PXE Boot” 或 “IPv4 Network Stack” 条目
- 若支持 UEFI，同时关闭 “IPv6 PXE Support” 和 “Secure Boot Bypass for Network” 类似选项
- 保存退出（F10）。该操作对所有主流厂商（Dell、HP、Lenovo、Supermicro）均适用，且重启后立即生效。
停用并卸载本地 PXE 相关服务
即使固件已关，若系统误配了 PXE 服务组件，仍可能被用于辅助攻击（如 DHCP 服务器被劫持后指向恶意 TFTP）：
- 停止并禁用关键服务：
sudo systemctl stop dhcpd tftp xinetd httpd nginx sudo systemctl disable dhcpd tftp xinetd httpd nginx
- 卸载非必需引导工具包：
sudo yum remove dhcp-server tftp-server syslinux xinetd -y # RHEL/CentOS sudo apt purge isc-dhcp-server tftpd-hpa syslinux-common -y # Debian/Ubuntu
- 检查残留监听端口：
sudo ss -tuln | grep -E ':67|:69|:80|:443'，确认无 DHCP（67/68）、TFTP（69）或 HTTP（80/443）服务在监听。
加固内核与网络参数防绕过
部分攻击会尝试通过伪造 ICMP 重定向或源路由诱导客户端“回连”恶意 PXE 服务器，需同步封堵：
- 编辑
/etc/sysctl.conf或新建/etc/sysctl.d/99-pxe-secure.conf，添加：net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.conf.all.accept_source_route = 0 net.ipv4.conf.all.rp_filter = 1 net.ipv4.icmp_echo_ignore_all = 1
- 执行
sudo sysctl -p加载，并验证：sysctl -a | grep -E 'redirect|source_route|rp_filter|icmp_echo'
验证是否生效
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 物理/虚拟机冷启动后，观察 POST 阶段是否跳过任何 “PXE-E61: Media test failure” 或 “Starting PXE over IPv4…” 提示
- 使用另一台机器执行
sudo nmap -sU -p67,69 <目标IP>，应返回closed而非open - 若环境启用 Intel AMT 或 Dell iDRAC，还需登录带外管理界面，关闭 “Network Boot” 和 “WSMAN over LAN” 等远程引导通道
不复杂但容易忽略
