排查隐藏网桥本质是查不该存在的无线桥接行为，需验证无线硬件是否存在、检查无线接口与驱动、识别异常网桥设备及绑定端口、抓包确认无线管理帧与桥接流量、溯源创建时间与持久化机制。
排查服务器中的隐藏网桥，本质是查“不该存在却在运行的无线桥接行为”——Linux 服务器默认不启用无线功能，若检测到无线接口、802.11驱动、网桥设备或异常转发规则，极可能被植入恶意网桥用于隐蔽通信或网络监听。重点不是找“网桥名字”，而是发现**物理层/链路层异常介入痕迹**。
确认系统是否本应支持无线
绝大多数云服务器、IDC物理机、容器宿主机无无线网卡硬件。先验证基础事实：
- 运行 lspci | grep -i wireless 或 lsusb | grep -i wlan —— 正常应无输出；若有，说明插了USB无线网卡或PCIe无线模块（需人工核对是否授权）
- 执行 ip link show，检查是否有类似 wlan0、wlp2s0、wlx001122334455 等无线接口名；如有且非运维部署，高度可疑
- 运行 lsmod | grep -E '8188|rtl88|mt76|ath9k|b43' —— 这些是常见无线芯片驱动，服务器环境加载属异常行为
检查网桥设备与非法桥接配置
黑客可能用 brctl 或 ip link add type bridge 创建隐藏网桥，再将无线接口、虚拟接口甚至物理口加入其中，构建监听通道：
- 执行 brctl show 或 ip link show type bridge —— 查看是否存在非预期网桥（如 br-mal、br0xdead、br-listen）
- 对每个网桥，运行 brctl showmacs BRIDGE_NAME 查看学习到的MAC地址表；若出现大量未知终端MAC或频繁变动，提示正在转发外部流量
- 检查桥接端口绑定：运行 ip link show master BRIDGE_NAME，确认哪些接口被桥接；特别警惕 wlan0 + eth0 同时桥接——这是典型无线中继/监听桥接模式
抓包验证无线层与桥接层异常流量
仅看配置不够，必须验证实际数据流是否含无线特征或监听意图：
- 针对疑似无线接口（如 wlan0），运行：
tcpdump -i wlan0 -nn -c 20 type mgt or type ctl
—— 若捕获到 Beacon、Probe Request/Response、Association Request 等管理帧，证明该接口确实在主动扫描或接入AP，绝非闲置 - 针对网桥接口（如 br-mal），运行：
tcpdump -i br-mal -nn -c 20 port 53 or port 80 or port 443
—— 若有非本机发起的DNS查询或HTTP(S)请求，说明该网桥正被用作代理或流量劫持出口 - 检查IP转发是否被开启：
sysctl net.ipv4.ip_forward 和 sysctl net.bridge.bridge-nf-call-iptables；若两者均为 1，且无正当业务需求，则桥接设备具备路由/监听能力
溯源网桥创建者与持久化机制
找到网桥后，要定位是谁建的、怎么活下来的：
- 查看网桥创建时间：
stat /sys/class/net/BRIDGE_NAME 中的 Birth 时间戳，比对系统启动时间（uptime -s）；若网桥创建晚于启动，说明是运行时动态添加 - 搜索启动脚本：
grep -r "brctl\|ip.*bridge" /etc/{init.d,systemd/system,rc*.d} /var/spool/cron/ /tmp/ 2>/dev/null - 检查内核模块加载日志：
dmesg | grep -i "80211\|wireless\|bridge"，看是否有模块注入痕迹或桥接注册信息 - 若使用 systemd，检查是否有伪装服务：
systemctl list-unit-files --type=service | grep -i "wifi\|bridge\|ap"，再用 systemctl cat SERVICE_NAME 查 ExecStart 命令
