先检查路由表是否可信，再查非法流量镜像：运行ip route show和ip rule show识别可疑via网关、blackhole策略及未定义策略路由；用tc qdisc/filter、iptables -t mangle -vnL和ss -tulnp定位TEE镜像规则与非常规监听端口；通过lsof、ps、readlink /proc/PID/ns/net和docker ps反查进程归属；发现异常后临时清空规则、禁用IPForward并限制net_admin权限。

新手排查服务器中被非法篡改的IP路由策略和敏感流量镜像出站端口风险，核心是“先看路由表是否可信，再查谁在偷偷转发或复制流量”。异常路由规则和镜像端口本身不等于攻击，但它们常被用于横向渗透、数据外泄或隐蔽C2通信。重点不是找“最隐蔽”的配置，而是识别与业务逻辑明显冲突的路径和端口行为。

一、快速检查IP路由表是否被恶意修改

路由策略一旦被篡改（如添加黑产网段静态路由、伪造默认网关、注入伪装策略），可能让本该内网通信的流量被劫持到外部监听节点。

• 运行ip route show，重点关注是否有非运维预期的via网关（尤其指向陌生IP或容器网桥IP，如10.244.0.1、172.18.0.1）
• 检查是否存在可疑的blackhole、unreachable或prohibit策略——这些常被用来屏蔽安全工具探测或丢弃审计流量
• 比对ip rule show：多策略路由（policy routing）若出现非标准from/to匹配（如from 192.168.100.0/24 table 100但无对应ip route show table 100定义），极可能是后门路由规则
• 临时备份当前全量路由状态：ip route save > /tmp/route_backup.txt && ip rule save > /tmp/rule_backup.txt

二、定位非法启用的流量镜像（port mirroring）或重定向端口

镜像本身是运维手段，但若被非授权启用（如用tc、iptables TEE或ebpf tc mirror将出站流量复制到监听端口），就构成高危风险——它绕过防火墙日志，静默外泄原始数据包。

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 查tc镜像规则：tc qdisc show + tc filter show，留意action mirred egress mirror dev xxx类输出，特别是目标设备为veth*、lo或未纳管网卡
• 查iptables/nftables的TEE或MIRROR扩展：iptables -t mangle -vnL | grep -i 'tee\|mirror'；nftables则查nft list ruleset | grep -A3 'meta l4proto tcp.*tee\|mirror'
• 检查是否有进程监听非常规镜像端口（如8081、9999、50000+）且绑定0.0.0.0：ss -tulnp | awk '$5 ~ /:([8-9][0-9]{3}|[5-9][0-9]{4})$/ {print $0}'
• 特别注意lo上监听+外连组合：例如某进程监听127.0.0.1:8081，又通过curl http://x.x.x.x:8081主动上传数据——这是典型镜像接收端特征

三、交叉验证：从端口/路由反推进程与归属环境

单看规则不够，必须确认“谁配的、谁在用”。虚拟化和容器环境尤其容易隐藏真实控制者。

• 对可疑镜像目标端口（如:8081），用lsof -i :8081或ss -tulpn | grep ':8081'查PID，再用ps -p PID -o pid,ppid,comm,euid,args看启动上下文
• 若PID属于容器，用readlink /proc/PID/ns/net获取网络命名空间inode，再执行sudo ls -l /proc/*/ns/net 2>/dev/null | grep <inode></inode>定位宿主机PID，最后用docker ps -q --filter "id=$(cat /proc/<pid>/cgroup | grep docker | head -1 | cut -d'/' -f3)"</pid>反查容器
• 检查systemd服务是否启用了IPForward=yes或IPMasquerade=yes且无明确用途（常见于被滥用的systemd-networkd网桥服务）
• 运行find /etc/systemd/network/ -name "*.network" -exec grep -l "IPForward\|IPMasquerade" {} \;快速扫描配置源头

四、阻断与加固建议

发现异常后，优先切断路径，再修复配置。避免直接删规则导致业务中断，推荐渐进式处置。

• 临时清空可疑镜像规则：tc qdisc del dev eth0 root 2>/dev/null（按实际网卡名替换）；iptables中删除TEE规则需精确匹配链和序号
• 禁用非必要路由功能：echo 0 > /proc/sys/net/ipv4/ip_forward，并注释掉/etc/sysctl.conf中相关行
• 限制镜像能力：在内核参数中禁用CONFIG_NET_CLS_ACT或CONFIG_NETFILTER_XT_TARGET_TEE（需重新编译内核，生产环境慎用）；更可行的是用eBPF工具（如bpftool）卸载可疑程序加载的镜像程序
• 长期防护：对关键服务器关闭net_admin能力（capsh --drop=cap_net_admin -- -c 'bash'），防止普通用户修改路由或tc规则