/etc/ld.so.preload非空即高危，需检查其路径指向的.so文件是否存在、是否为恶意elf共享对象，并通过readelf和strings分析函数劫持与敏感字符串，再扫描进程maps确认加载，最后解除chattr锁定并清理。
直接看文件是否存在且非空，存在即高危，不用犹豫。
检查 /etc/ld.so.preload 是否被写入
这个文件在绝大多数 Linux 系统上默认根本不存在，或存在但为空。只要 /etc/ld.so.preload 有内容（哪怕只有一行路径），就极大概率已被植入后门。
- 运行
ls -l /etc/ld.so.preload—— 若提示 “No such file”，正常；若返回权限、大小、修改时间，立刻下一步 - 执行
cat /etc/ld.so.preload 2>/dev/null，观察输出：常见恶意路径如/tmp/.x.so、/var/run/ldhook.so、/usr/local/lib/libprocesshider.so - 注意：该文件只认纯路径行，含空格、
#、制表符或注释均无效；但攻击者可能故意写入“看似无害”的路径（如/lib64/libc.so.6）干扰判断，需结合文件修改时间与进程行为交叉验证
确认 preload 中的 .so 文件是否真实存在且可疑
preload 文件里的路径只是“指针”，真正危险的是它指向的那个 .so 文件本身。不能只删文件，必须验证并清理目标库。
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 对每个路径（如
/usr/local/lib/libprocesshider.so），先确认存在：ls -la /usr/local/lib/libprocesshider.so - 检查是否为合法 ELF 共享对象：
file /usr/local/lib/libprocesshider.so—— 输出应含 “ELF” 和 “shared object” - 快速筛查劫持行为：
readelf -Ws /usr/local/lib/libprocesshider.so | grep -E "(readdir|getdents|connect|exec|system)" - 提取敏感字符串：
strings /usr/local/lib/libprocesshider.so | grep -i "kworkerds\|minerd\|xmrig\|127.0.0.1\|tcp"
查进程是否已加载该 .so（即使 ps 看不到）
恶意 .so 不会出现在 ps 或 top 中，但它一定存在于某些进程的内存映射里。这是唯一能确认“正在运行”的方式。
- 扫描所有进程的
maps：grep -l "/usr/local/lib/libprocesshider.so" /proc/[0-9]*/maps 2>/dev/null | cut -d'/' -f3 - 对返回的 PID，查其真实身份：
cat /proc/PID/cmdline | tr '\0' ' '和ls -l /proc/PID/exe - 重点关注
bash、sshd、crond、python这类常驻进程 —— 它们若映射了恶意.so，说明已被劫持，需kill -9 PID并重启对应服务（如systemctl restart sshd）
删除前必须解除文件锁定
很多木马会用 chattr +i 锁定 /etc/ld.so.preload 和恶意 .so 文件，导致 rm 失败并报 “Operation not permitted”。跳过这步，清理就白做。
- 先解除锁定：
chattr -i /etc/ld.so.preload - 再清空或删除：
echo "" > /etc/ld.so.preload或rm -f /etc/ld.so.preload - 同样处理恶意库：
chattr -i /usr/local/lib/libprocesshider.so && rm -f /usr/local/lib/libprocesshider.so - 别忘了检查定时任务和 systemd 服务，防止它们重新写入 ——
crontab -l、ls /etc/cron.d/、systemctl show --property=Environment --all | grep PRELOAD
真正难的不是发现，而是确认那个 .so 是否真的在劫持函数；readelf -Ws 和 strings 是最轻量也最有效的两个动作，别跳过。
