关键不是找所有路径，而是快速定位异常变更点和高危注入入口：重点检查/etc/ld.so.preload是否非空、ld_preload和ld_library_path是否含/tmp等临时路径，再用strace -e trace=open,openat,stat,access抓取运行时真实加载行为，grep .so$|/tmp/|./定位可疑库。
新手排查Linux系统中被非法修改的动态链接库加载路径，关键不是“找所有路径”，而是快速定位**异常变更点**和**高危注入入口**。系统级配置本身不易被篡改，但攻击者常通过环境变量、预加载机制或临时文件绕过常规检查。
重点盯住三个高危位置
这些地方一旦被恶意写入，程序就会加载非预期的.so文件，且普通用户可能毫无察觉：
-
/etc/ld.so.preload：系统全局预加载配置，只有一行文本。用
cat /etc/ld.so.preload查看，非空即高危（正常应为空或根本不存在）。root权限下被写入任意.so路径，所有普通用户进程都会强制加载它。 -
LD_PRELOAD环境变量：检查当前会话及常用启动脚本（
~/.bashrc、/etc/profile、systemd服务文件中的Environment=）。运行env | grep LD_PRELOAD，若返回非空值，再用ls -l确认对应.so文件是否存在、是否在/tmp、/dev/shm、/var/tmp等临时目录——这些是恶意库最爱藏身的地方。 -
LD_LIBRARY_PATH异常增长：执行
echo $LD_LIBRARY_PATH，如果路径里包含陌生目录（如/tmp/lib、/home/attacker/libs），尤其带点号（./）或绝对路径指向用户可写区域，就要立刻验证该目录下是否有可疑.so文件。
用strace抓运行时真实加载行为
ldd显示的路径只是模拟结果，不能反映实际加载过程。真正被加载的库，一定会触发系统调用。对可疑程序运行：
strace -e trace=open,openat,stat,access -f -s 256 ./suspect_app 2>&1 | grep -E "\.so$|/tmp/|/dev/shm/|\.\/"
重点关注输出中是否出现：
-
openat(AT_FDCWD, "/tmp/malware.so", ...)或stat("/var/tmp/evil.so", ...) open("/etc/ld.so.preload", O_RDONLY)-
openat(AT_FDCWD, "./injector.so", ...)（当前目录加载，非常规）
只要看到这些，就说明程序正在加载非标准路径下的动态库，需立即检查来源。
检查系统级配置是否被动过手脚
/etc/ld.so.conf及其包含的.conf文件是持久化配置，但修改后必须运行sudo ldconfig才生效。排查步骤：
- 列出所有生效的配置：
ls /etc/ld.so.conf.d/*.conf 2>/dev/null，看是否有命名可疑的文件（如00-attack.conf、z-malware.conf） - 逐个查看内容：
cat /etc/ld.so.conf.d/*.conf 2>/dev/null，确认每行都是合法目录（如/usr/local/lib64），没有$HOME、~、通配符或明显伪造路径 - 检查缓存是否被污染：
sudo ldconfig -p | grep -E "(tmp|shm|malware|attacker)"，若命中，说明恶意库已被纳入系统缓存
对比正常与异常状态
最简单有效的办法是拿一个已知干净的系统（或同一台机器上刚重装后的快照）做基线对比：
- 对比
cat /etc/ld.so.preload输出 - 对比
env | grep -E "LD_PRELOAD|LD_LIBRARY_PATH"输出 - 对比
ls /etc/ld.so.conf.d/和各.conf文件内容 - 对比
ldconfig -p | wc -l数量（大幅增加可能意味着混入了大量恶意库）
差异项就是最值得深挖的突破口。
