首页/安全/应急响应速查/检查进程环境变量中的劫持与凭据
本包目录(168 条)

检查进程环境变量中的劫持与凭据

/proc/PID/environ 保存启动瞬间的环境变量:LD_PRELOAD 劫持、异常代理、甚至明文凭据都常在这里露出。

应急响应速查安全更新于 2026-10-12
查看tr 转换 NUL 分隔后输出
可疑项LD_PRELOAD、LD_LIBRARY_PATH
顺带代理变量、内网地址、明文口令
权限root 或同用户可读

列出环境变量并筛选

列出环境变量并筛选
tr '\0' '\n' < /proc/1234/environ | sort
tr '\0' '\n' < /proc/1234/environ | grep -iE 'ld_preload|ld_library_path|proxy'
environ 反映启动瞬间的值:进程内 setenv 之后的修改它不会体现。

易错点

  • 直接 cat 查看:NUL 分隔会糊成一行,必须先 tr 转换
  • 把环境变量当实时状态:它不反映运行期修改

数据来源与参考

  • man 5 proc(/proc/pid/environ)
  • MITRE ATT&CK T1574.006 动态链接器劫持

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌