应优先排查配置文件修改、运行时劫持及系统日志时间线：检查用户/系统级shell初始化文件（如~/.bashrc、/etc/profile.d/*.sh）、ld_preload与/etc/ld.so.preload、可疑进程环境及最近7天文件修改记录，结合auth.log和history定位篡改源头。
排查服务器中被非法修改的 LD_LIBRARY_PATH 环境变量，核心是定位“谁在什么时候、以什么方式改写了它”，而不是只看当前值。因为该变量极易被恶意脚本、后门进程或入侵者临时注入，仅检查当前 shell 输出（如 echo $LD_LIBRARY_PATH）可能漏掉关键痕迹。
查当前值与生效范围
先确认变量是否异常膨胀、包含可疑路径（如 /tmp、/dev/shm、随机命名目录、非标准绝对路径）：
- 在不同上下文中分别检查：
echo $LD_LIBRARY_PATH（当前交互式 shell）env | grep LD_LIBRARY_PATH（当前进程完整环境）sudo -i bash -c 'echo $LD_LIBRARY_PATH'（模拟 root 登录 shell） - 对比多个用户（尤其是高权限账户）的环境，例如：
sudo -u www-data bash -c 'echo $LD_LIBRARY_PATH'sudo -u nobody bash -c 'echo $LD_LIBRARY_PATH'
查持久化配置文件
非法写入常通过修改启动配置实现，需系统性扫描以下位置：
-
用户级配置：检查各用户主目录下的 shell 初始化文件
~/.bashrc、~/.bash_profile、~/.profile、~/.zshrc（若用 zsh）
搜索命令：grep -l "LD_LIBRARY_PATH=" ~/.bash* ~/.profile 2>/dev/null -
系统级配置：
/etc/profile、/etc/bash.bashrc、/etc/environment
特别注意/etc/profile.d/下新增的 .sh 文件（攻击者常在此植入）：ls -lt /etc/profile.d/*.sh | head -10+grep -l "LD_LIBRARY_PATH" /etc/profile.d/*.sh -
服务级配置：systemd 服务、crontab、supervisord 配置中硬编码的
Environment=或export行
查运行时劫持行为
有些后门不改配置文件，而是通过动态加载机制注入，需重点排查：
-
LD_PRELOAD 检查：
env | grep LD_PRELOADcat /etc/ld.so.preload 2>/dev/null—— 若存在非空内容，极可能是恶意库入口点 -
可疑进程的环境：
找出异常进程（如 CPU 占用高、名称伪装、父进程异常），再读其环境：ps auxf | grep -E "(minerd|xmrig|kthreadd|\.so$)"
对可疑 PID，执行：cat /proc/<pid>/environ | tr '\0' '\n' | grep LD_</pid> -
共享库预加载痕迹：
检查是否有进程正在加载非常规路径的 .so：lsof -nP -p <pid> | grep "\.so"</pid>或全局搜索：for pid in /proc/[0-9]*; do cat $pid/environ 2>/dev/null | tr '\0' '\n' | grep -q "LD_LIBRARY_PATH" && echo "$pid"; done
查时间线与日志佐证
结合系统日志缩小篡改窗口：
- 查看最近修改的配置文件：
find /etc /root /home -name "*.bash*" -o -name "profile" -o -name "environment" -type f -mtime -7 -ls 2>/dev/null - 检查登录与命令执行记录：
last -a（近期登录）grep "Accepted" /var/log/auth.log* 2>/dev/null | tail -20（SSH 成功登录）history | grep -i "export.*LD_LIBRARY_PATH"（若历史未被清空） - 审计关键目录写入（如已启用 auditd）：
aureport -m -ts recent | grep -i "ld\.so\|profile\|bashrc"
