| 系统级 | /etc/profile、/etc/profile.d/*、/etc/bash.bashrc |
|---|---|
| 用户级 | ~/.bashrc、~/.profile、~/.bash_profile |
| 特征 | curl/wget/base64 与 /dev/tcp 组合 |
| 注意 | zsh 用户还要看 .zshrc |
扫描登录脚本注入
扫描登录脚本注入
grep -rEn 'curl|wget|base64|/dev/tcp|python -c' /etc/profile /etc/profile.d/ /etc/bash.bashrc /root/.bashrc /root/.profile 2>/dev/null | head -n 40
ls -lt /etc/profile.d/ | head改这些文件影响所有新会话：先记录原文与时间，再清理并验证新登录正常。