cve-2016-5195（脏牛）是linux内核2.6.22至2016年10月18日修复前所有版本存在的本地提权漏洞，低权限用户可通过写时复制竞争条件越权修改只读内存，获取root权限；需严格比对uname输出与各发行版修复版本号，并重启验证poc是否失效。

只要内核版本低于修复阈值，CVE-2016-5195 就仍然有效——补丁不是可选操作，而是必须立即执行的底线防护。

确认当前内核是否仍在风险范围内

别跳过这步。很多运维人员直接升级，却没验证原始漏洞是否存在，结果白忙一场。

• 运行 uname -r（Ubuntu/CentOS/RHEL）或 uname -v（Debian），输出如 4.4.0-21-generic 或 #1 SMP Debian 3.16.36-1+deb8u1
• 对照已知修复版本：Ubuntu 16.04 需 ≥ 4.4.0-45.66，CentOS 7 需 ≥ 3.10.0-327.36.3.el7，Debian 8 需 ≥ 3.16.36-1+deb8u2
• 若版本号小数点后数字更低，或末尾无安全补丁标识（如 +deb8u2 中的 u2），即为未修复状态

用包管理器升级内核（推荐首选）

手动编译内核风险高、易出错，且难以持续维护。发行版仓库提供的内核包已通过签名验证和依赖检查，是最稳妥路径。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• Ubuntu/Debian：sudo apt update && sudo apt install --install-recommends linux-image-generic，然后 sudo reboot
• CentOS/RHEL 7：sudo yum update kernel（注意不是 yum update 全量升级），重启后用 sudo grub2-set-default 0 确保新内核为默认启动项
• 升级后务必运行 uname -r 再次确认输出版本号已变更，且与修复列表匹配

验证漏洞是否真正修复

升级≠修复完成。内核更新后若未重启，旧内核仍在运行；即使重启，也需实测确认竞态窗口已被堵死。

• 下载官方 PoC：wget https://raw.githubusercontent.com/dirtycow/dirtycow.github.io/master/dirtyc0w.c
• 编译并运行：gcc -pthread dirtyc0w.c -o dirtyc0w && ./dirtyc0w /tmp/test（提前 touch /tmp/test && chmod 0404 /tmp/test）
• 若输出含 mmap failed、Permission denied 或内容未被篡改，说明修复生效；若成功覆写只读文件，则补丁未起效，需检查是否误启旧内核或仓库源未同步最新包

最常被忽略的一点：容器环境中的宿主机内核才是关键。哪怕容器里 uname -r 显示已修复，只要宿主机内核老旧，整个集群仍处于裸奔状态。查宿主机，别只盯容器。