禁用不安全的网络引导协议需从固件层和系统服务层双重切断pxe引导能力：先在bios/uefi中禁用网络堆栈、pxe启动项及ipv6 pxe支持；再停止卸载dhcpd、tftp、xinetd等服务并移除相关软件包；最后加固内核参数，禁用icmp重定向、源路由等绕过机制。

禁用不安全的网络引导协议，核心是阻止系统在启动阶段响应 PXE（Pre-boot Execution Environment）请求，尤其防范未经授权的远程引导、恶意镜像加载或中间人式重定向攻击。这不是运行时配置，而是从固件层和系统服务层双重切断 PXE 引导能力。

关闭 BIOS/UEFI 中的网络堆栈与 PXE 启动项
PXE 攻击始于硬件启动阶段，必须先在固件中禁用：

• 开机进入 BIOS/UEFI 设置（通常按 Del、F2 或 F12）
• 找到 “Boot” → “Network Stack Configuration” 或 “LAN Option ROM” 选项，设为 Disabled
• 在 “Boot Order” 中移除 “Network Boot”、“PXE Boot” 或 “IPv4 Network Stack” 条目
• 若支持 UEFI，同时关闭 “IPv6 PXE Support” 和 “Secure Boot Bypass for Network” 类似选项
• 保存退出（F10）。该操作对所有主流厂商（Dell、HP、Lenovo、Supermicro）均适用，且重启后立即生效。

停用并卸载本地 PXE 相关服务
即使固件已关，若系统误配了 PXE 服务组件，仍可能被用于辅助攻击（如 DHCP 服务器被劫持后指向恶意 TFTP）：

• 停止并禁用关键服务：

  sudo systemctl stop dhcpd tftp xinetd httpd nginx
  sudo systemctl disable dhcpd tftp xinetd httpd nginx

• 卸载非必需引导工具包：

  sudo yum remove dhcp-server tftp-server syslinux xinetd -y    # RHEL/CentOS
  sudo apt purge isc-dhcp-server tftpd-hpa syslinux-common -y  # Debian/Ubuntu

• 检查残留监听端口：sudo ss -tuln | grep -E ':67|:69|:80|:443'，确认无 DHCP（67/68）、TFTP（69）或 HTTP（80/443）服务在监听。

加固内核与网络参数防绕过
部分攻击会尝试通过伪造 ICMP 重定向或源路由诱导客户端“回连”恶意 PXE 服务器，需同步封堵：

• 编辑 /etc/sysctl.conf 或新建 /etc/sysctl.d/99-pxe-secure.conf，添加：

  net.ipv4.conf.all.accept_redirects = 0
  net.ipv4.conf.all.send_redirects = 0
  net.ipv4.conf.all.accept_source_route = 0
  net.ipv4.conf.all.rp_filter = 1
  net.ipv4.icmp_echo_ignore_all = 1

• 执行 sudo sysctl -p 加载，并验证：sysctl -a | grep -E 'redirect|source_route|rp_filter|icmp_echo'

验证是否生效

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 物理/虚拟机冷启动后，观察 POST 阶段是否跳过任何 “PXE-E61: Media test failure” 或 “Starting PXE over IPv4…” 提示
• 使用另一台机器执行 sudo nmap -sU -p67,69 ，应返回 closed 而非 open
• 若环境启用 Intel AMT 或 Dell iDRAC，还需登录带外管理界面，关闭 “Network Boot” 和 “WSMAN over LAN” 等远程引导通道

不复杂但容易忽略