必须用管道交由systemd-coredump处理core_pattern，禁用suid_dumpable（设为0），配置core_dump_filter排除敏感内存段，并对高敏服务调用prctl(PR_SET_DUMPABLE, 0)彻底禁用转储。
core_pattern 必须用管道交给 systemd-coredump
直接写文件到 /tmp/core.%e.%p 或 /var/crash/ 是高危行为：任何用户都能 ls -l /tmp 发现新生成的 core 文件，再用 gdb 读取内存内容。systemd-coredump 提供访问控制、自动压缩、按 UID 隔离和权限过滤，是唯一推荐的落地方式。
必须执行：echo '|/usr/lib/systemd/systemd-coredump %P %u %g %s %t %e' | sudo tee /proc/sys/kernel/core_pattern
并确认 systemd-coredump 服务已启用：sudo systemctl is-active systemd-coredump。若返回 inactive，需运行 sudo systemctl enable --now systemd-coredump。
常见错误：
• 没有启用服务，导致所有崩溃静默失败，误以为配置无效
• 使用 core_pattern 指向普通目录后未设 chmod 0700，攻击者可遍历读取
• 忘记检查 /var/lib/systemd/coredump/ 目录属主是否为 root:root
fs.suid_dumpable 必须设为 0
值为 2（允许 setuid 程序 dump）等于主动给提权攻击铺路。一旦攻击者通过 sudo、passwd 或自定义 setuid 二进制劫持获得 root 权限，就能立刻从其 core 文件中提取密钥、凭证或环境变量明文。
安全做法只用：echo 0 | sudo tee /proc/sys/fs/suid_dumpable
永久生效写入 /etc/sysctl.conf：fs.suid_dumpable = 0，再执行 sudo sysctl -p。
注意：
• 值 1（仅同 UID 可读）在多用户系统中仍不安全，因为普通用户可能通过本地提权拿到目标进程 UID
• 不要为了调试临时开成 2 后忘记关——生产环境应默认关闭
kernel.core_dump_filter 要排除敏感内存段
默认 dump 包含全部 VMA（虚拟内存区域），包括堆上分配的密码、TLS 私钥、JWT token 等。内核提供 core_dump_filter 掩码控制哪些段参与转储。
推荐设置（跳过私有匿名映射、VDSO、私有文件映射）：echo 0x33 | sudo tee /proc/sys/kernel/core_dump_filter
对应位含义：
• 0x01: 可执行段（保留）
• 0x02: 私有匿名映射（关闭，如 malloc 分配的堆内存）
• 0x10: VDSO（关闭，含系统调用入口等敏感信息）
• 0x20: 私有文件映射（关闭，如 mmap 的 config 文件）
验证方式：
崩溃后运行 eu-readelf -l /var/lib/systemd/coredump/core.* | grep LOAD，确认输出中不再出现 [anon] 或 vvar/vdso 类型段
prctl(PR_SET_DUMPABLE, 0) 应用于高敏服务启动时
对已知处理敏感数据的服务（如密钥管理代理、数据库连接池、OAuth 认证网关），应在 main() 开头立即调用 prctl(PR_SET_DUMPABLE, 0)。这会让内核彻底跳过该进程的 dump 流程，比依赖 ulimit 或 core_pattern 更底层、更可靠。
示例 C 代码片段：
int main(int argc, char **argv) {
prctl(PR_SET_DUMPABLE, 0);
// 后续初始化逻辑...
}
注意：
• 此调用不可逆，且子进程继承该状态
• 若程序后续需要调试，应通过环境变量或启动参数控制是否启用 dump（如 if (getenv("DEBUG_DUMP")) prctl(PR_SET_DUMPABLE, 1);）
• Go 程序可用 unix.Prctl(unix.PR_SET_DUMPABLE, 0, 0, 0, 0)；Python 可用 ctypes.CDLL("libc.so.6").prctl(4, 0)
真正难防的不是配置漏项，而是把 core 文件当成“调试副产品”随意存放、不设访问控制、不清理历史 dump、还开着 suid_dumpable。安全边界不在 gdb 能不能打开文件，而在攻击者根本拿不到那个文件，或拿到也全是零字节。每一步都得卡死。
