应优先排查用户态和内核模块后门，仅当出现后门反复复活、启动早期异常行为或efi/mbr内容异常时，才需深入检测固件或mbr；初阶方法包括efibootmgr检查启动项、dd+sha256sum比对mbr、扫描efi分区可疑文件，并严格禁止未经备份的写入操作。
排查固件（如UEFI）或MBR中的持久化后门，对新手来说门槛较高——这类后门不依赖操作系统运行，而是扎根于启动链底层，常规Linux命令完全不可见。但不必从零逆向硬件，可按“先验证、再检测、后隔离”的路径逐步推进。
确认是否真有必要查固件/MBR
绝大多数服务器后门仍落在用户态（进程、服务、定时任务）或内核模块层面。只有当出现以下情况时，才需怀疑启动层入侵：
- 反复清除后门后，数小时内又自动复活，且所有已知持久化入口（systemd服务、crontab、rc.local、bashrc）均无异常
- 系统在未加载任何用户进程前（如刚进GRUB菜单、单用户模式下）就已有网络连接或CPU占用
- 使用可信介质（如Live USB）启动并挂载原系统盘后，发现/boot/efi分区中有未知签名的.efi文件，或MBR扇区内容与官方镜像哈希不一致
安全可行的初阶检测方法
无需拆机或专用硬件，用Linux自带工具即可完成基础筛查：
-
检查UEFI启动项：运行
efibootmgr -v，关注非标准厂商条目（如名称含 update、drv、loader 或拼写异常），并核对Path是否指向/EFI/Microsoft/Boot/bootmgfw.efi等合法路径 -
比对MBR原始数据：用Live系统启动，执行
dd if=/dev/sda of=mbr_backup.bin bs=512 count=1备份当前MBR；再与同型号服务器正常安装时的MBR哈希（或官方文档所列参考值）对比，命令：sha256sum mbr_backup.bin -
扫描EFI系统分区：挂载
/boot/efi后，检查/EFI/*/下是否存在非标准子目录（如 EFI/evil/），以及其中是否有可疑 .efi 文件（特别留意无数字签名、文件名含随机字符串的）
避免误操作的关键提醒
固件级排查极易导致系统无法启动，新手务必遵守：
- 所有读取类操作（如
efibootmgr、dd if=...）可在原系统中执行；写入类操作（如efibootmgr -B删除启动项、dd of=...覆盖MBR）必须在Live环境且确认备份完整后进行 - 不要尝试用
strings /dev/sda | grep -i "http"这类方式扫描全盘——MBR仅512字节，UEFI固件存储在独立区域，盲目扫描既低效又可能干扰磁盘 - 若发现可疑UEFI应用，不要直接删除，先用
sbverify --cert /boot/efi/EFI/fedora/secureboot.cer evil.efi验证其签名状态；无有效签名+非主流发行版路径，才高度可疑
真正落进固件或MBR的后门极为罕见，远不如查漏一个被篡改的 pam_unix.so 或静默运行的 libprocesshider 模块来得实际。把常规排查做扎实，再考虑启动链深度检测，才是稳妥路线。
