LD_PRELOAD 劫持.

一种 Linux 持久化与库劫持技术,利用 LD_PRELOAD 环境变量或 /etc/ld.so.preload 文件向动态链接进程注入攻击者代码。 它属于网络安全的 攻击与威胁 分类。

一种 Linux 持久化与库劫持技术,利用 LD_PRELOAD 环境变量或 /etc/ld.so.preload 文件向动态链接进程注入攻击者代码。

LD_PRELOAD 劫持(MITRE ATT&CK T1574.006)滥用 Linux 与多数类 Unix 系统的 GNU 动态链接器。攻击者通过为某进程或用户 shell 设置 LD_PRELOAD,或将路径写入 /etc/ld.so.preload(系统级),强制 ld.so 在所有其他库之前加载指定共享对象。恶意 .so 可挂钩 readdir、open、accept、write 等 libc 符号,以隐藏文件和进程、窃取凭据或维持用户态 rootkit。该手法对非 setuid 二进制有效,被 HiddenWasp、Symbiote 等 Linux 恶意软件广泛使用。防御措施:用 AIDE、auditd 监控 /etc/ld.so.preload、限制为仅 root 可写、检测异常 LD_PRELOAD,并用静态链接工具核对 libc 行为。

针对 LD_PRELOAD 劫持 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: ld.so.preload 滥用, 共享库劫持。