| 位置 | /etc/skel/ |
|---|---|
| 正常内容 | 默认 dotfiles 模板 |
| 可疑 | 含脚本执行、下载命令、密钥目录 |
| 影响 | 所有后续新建用户 |
检查模板目录与内容
检查模板目录与内容
ls -la /etc/skel/
grep -rEn 'curl|wget|/dev/tcp|base64|sh -c' /etc/skel/ 2>/dev/null | head -n 20
ls -la /etc/skel/.ssh 2>/dev/null发现注入模板：先记录内容与时间，再评估已有多少账号继承了它。
检查 /etc/skel 模板注入
/etc/skel 是新用户家目录的模板：往里放 .bashrc 或 .ssh 目录，日后每个新建账号都会带上攻击者的钩子。
易错点
- 只看现有家目录：skel 是模板，影响的是以后新建账号
- 删掉文件不查已建账号：已继承的洞还在
数据来源与参考
- useradd(8) 手册：SKEL 与 /etc/default/useradd
- MITRE ATT&CK T1546 事件触发执行