排查硬链接后门的关键是比对核心配置文件（如/etc/passwd、/etc/shadow、/bin/bash等）的inode号，建立合法基线后用find -xdev -inum扫描全盘，若同一inode出现在/tmp、/dev/shm等异常路径即高度可疑。
直接用 stat -c "%i" /path/to/file 可以获取单个文件的 inode 号，但排查硬链接后门的关键不在“怎么查”，而在于“查哪些文件、怎么比对、如何识别异常”。核心配置文件（如 /etc/passwd、/etc/shadow、/etc/group、/etc/sudoers、/bin/bash 等）一旦被创建硬链接到隐蔽路径，攻击者就可能绕过常规权限检查或日志监控。
明确要监控的核心配置文件列表
不是所有配置文件都值得盯 inode，优先锁定以下几类：
- /etc/passwd、/etc/shadow、/etc/group：身份认证基础，被篡改或镜像即高危
- /etc/sudoers 及 /etc/sudoers.d/ 下所有文件：提权控制中枢
-
/bin/bash、/bin/sh、/usr/bin/sudo：关键 shell 和特权程序（注意：需确认实际路径，用
readlink -f /bin/sh验证） - /etc/ssh/sshd_config：SSH 服务策略入口
用 stat -c "%i" 获取 inode 并建立基线
在系统可信状态下（例如刚重装或已确认干净），执行：
stat -c "%n %i" /etc/passwd /etc/shadow /bin/bash /usr/bin/sudo
输出类似：
/etc/passwd 123456/etc/shadow 123457
/bin/bash 123458
/usr/bin/sudo 123459
把这些 inode 号记为“已知合法值”，存入安全位置（如离线文档或只读介质）。注意：不要仅依赖文件名匹配，因为攻击者可创建同名文件但不同 inode —— 关键是确认原始文件的 inode 是否被复用。
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
扫描全盘查找相同 inode 的硬链接
拿到某个文件的 inode（如 123456），用 find 扫描整个文件系统（排除 /proc /sys /dev 等虚拟文件系统）：
find / -xdev -inum 123456 2>/dev/null
-xdev 防止跨文件系统（如 /home 单独分区时不会误入）；2>/dev/null 屏蔽无权限报错。若返回多于一行路径（比如除了 /etc/passwd 还有 /tmp/.hidden_link），说明存在硬链接 —— 这本身不违法，但出现在异常路径就是强可疑信号。
常见后门手法包括：
- 在
/tmp、/dev/shm、/var/tmp下创建同 inode 的链接，用于持久化或绕过审计 - 在
/lib或/usr/lib中伪造系统库链接，劫持动态加载 - 利用
debugfs直接写入 ext4 日志（高级手法，需 root 权限，此时 find 可能漏检）
结合 ls -i 和 file 系统属性交叉验证
仅看 inode 不够，还要确认链接是否“干净”：
- 用
ls -li查看链接数（第三列）：/etc/passwd正常应为 2（自身 + /etc/passwd- 备份？），若显示 3+ 且找不到第二个合理路径，需警惕 - 用
lsattr检查是否被设为不可修改（chattr +i）—— 后门常锁死原始文件防止覆盖 - 用
file或readelf -h核对二进制文件（如 /bin/bash）的 ELF 头和符号表，确认未被注入
硬链接共享数据块和 inode，但不共享扩展属性（xattr）或 ACL —— 若发现同一 inode 的两个路径 ACL 差异极大，可能是伪造链接或文件系统异常。
