| 环境 | echo $LD_PRELOAD |
|---|---|
| 文件 | /etc/ld.so.preload |
检查
检查
echo "$LD_PRELOAD"
ls -l /etc/ld.so.preload 2>/dev/null && cat /etc/ld.so.preload该文件存在即影响全局，确认内容与来源前不要删除，先记录哈希与 mtime。
LD_PRELOAD 与 ld.so.preload 检查
LD_PRELOAD 与全局文件 /etc/ld.so.preload 会让指定动态库注入每个新进程，常用于劫持认证与隐藏文件，是重点检查对象。
易错点
- 只有带 setuid 的程序会被系统忽略 LD_PRELOAD，普通进程不受保护
- 文件内容为空但文件存在也可能是残留，需结合 mtime 判断
数据来源与参考
- man 8 ld.so（动态链接器）