目录研究Linux对抗的前提三条读法建议windows --- Linux 对抗技术对比表总对照表说明为什么PE 结构层免杀节表/IAT/重定位/附加数据 → ELF 层几乎没有对应实践ShellCode 加密 / 编码 → 概念通用但载体不同Loader 执行载体11 种 → memfd fexecve / mmap exec / dlopen / .init_array / 信号处理注入远程线程 / APC / 镂空 / 映射 → ptrace / /proc/pid/mem / process_vm_writevIAT Hook → PLT/GOT 覆写API 劫持 / DLL 劫持 → LD_PRELOAD / /etc/ld.so.preload反调试28 个点 → ptrace TRACEME / TracerPid / PPID / SIGTRAP / 时间差反虚拟化注册表 / 服务 / 设备名 → DMI / procfs / cpuinfo / MAC / systemd-detect-virt反沙箱开机时长/内存/核数/用户交互 → uptime 通用容器特征成为新维度持久化注册表 Run / 计划任务 / 服务 → systemd / cron / shell 启动文件 / ld.so.preload / PAM / udev / SSHETW 绕过 / 日志绕过 → auditd / syslog / wtmp / eBPF 可观测性内核层BYOVD / 回调摘除 / DKOM / minifilter / PPL → LKM / ftrace / kprobes / eBPF / task_struct DKOM / io_uring权限提升UAC / 令牌 / Potato → SUID/SGID / sudo 配置 / capabilities / 内核 LPE / polkit凭据与横向LSASS / NTLM / Kerberos / PTH → SSH 私钥 / authorized_keys / sudo 缓存 / 云元数据 / Docker socket研究Linux对抗的前提Windows 技术是围绕一个特定威胁模型长出来的「用户双击一个文件安全软件从磁盘到内存层层检查它」。那套技术里的大部分PE 结构改写、壳、多态、IAT 重建、执行载体多样性都是为这个问题服务的。Linux 的威胁模型不一样。攻击者很少需要「投递一个文件」—— 常见入口是弱口令、暴露的服务、泄露的凭据、供应链。也就是说Linux 上很多时候压根没有「让它跑起来」这一步。所以正确的读法是不要问「Linux 怎么做同样的事」要问「Linux 上这个问题存不存在」。本文档里标成「无对应」的那些条目就是这个问题的否定答案。三条读法建议『Linux 上有没有对应』这个问题 ——看 mapping_summary 那张表就够。如果你想判断『该不该学 Linux 这块』—— 先看 threat_model大部分人的 Windows 免杀知识在 Linux 上迁移不过去不是因为技术难是因为问题不一样。如果你想找学习入口 —— 从内核层那一节开始不要从执行载体开始Linux 上执行载体那一层是被压缩的内核那一层才是展开的。windows --- Linux 对抗技术对比表总对照表Windows 技术Linux 对应对应程度PE 结构层免杀节表/IAT/重定位/附加数据ELF 层几乎没有对应实践无对应ShellCode 加密 / 编码概念通用但载体不同近似Loader 执行载体11 种memfd fexecve / mmap exec / dlopen / .init_array / 信号处理近似注入远程线程 / APC / 镂空 / 映射ptrace / /proc/pid/mem / process_vm_writev只解决一半IAT HookPLT/GOT 覆写精确API 劫持 / DLL 劫持LD_PRELOAD / /etc/ld.so.preload精确反调试28 个点ptrace TRACEME / TracerPid / PPID / SIGTRAP / 时间差近似反虚拟化注册表 / 服务 / 设备名DMI / procfs / cpuinfo / MAC / systemd-detect-virt近似反沙箱开机时长/内存/核数/用户交互uptime 通用容器特征成为新维度近似持久化注册表 Run / 计划任务 / 服务systemd / cron / shell 启动文件 / ld.so.preload / PAM / udev / SSH近似ETW 绕过 / 日志绕过auditd / syslog / wtmp / eBPF 可观测性近似内核层BYOVD / 回调摘除 / DKOM / minifilter / PPLLKM / ftrace / kprobes / eBPF / task_struct DKOM / io_uring近似权限提升UAC / 令牌 / PotatoSUID/SGID / sudo 配置 / capabilities / 内核 LPE / polkit近似凭据与横向LSASS / NTLM / Kerberos / PTHSSH 私钥 / authorized_keys / sudo 缓存 / 云元数据 / Docker socket无对应看第三列「无对应」占了两行而它们在 Windows 侧都是很大的板块PE 结构层、凭据与横向这不是遗漏 —— 这两块在 Linux 上确实没有意义。说明为什么PE 结构层免杀节表/IAT/重定位/附加数据 → ELF 层几乎没有对应实践对应程度无对应不是因为 ELF 更难改是因为 Linux 上没有『落地就被扫』这道关。PE 层那些手段的收益全部来自『静态扫描器读你的文件』这个前提这个前提在 Linux 侧不成立。ShellCode 加密 / 编码 → 概念通用但载体不同对应程度近似Linux 侧对应物是『加密的 stage2 二进制 / 加密的脚本』不是 shellcode。因为 Linux 有 execve你要的效果一行命令就有不需要先造一段机器码。Loader 执行载体11 种 → memfd fexecve / mmap exec / dlopen / .init_array / 信号处理对应程度近似目的相同把代码跑起来机制完全不同。Windows 那 11 种大多是在『绕 API 钩子 找不寻常的调用栈』Linux 上 EDR 不靠用户态钩子拿数据所以这个动机不存在。注入远程线程 / APC / 镂空 / 映射 → ptrace / /proc/pid/mem / process_vm_writev对应程度只解决一半机制都在但生态里不是主流。拿到 shell 后你已经有代码执行注入解决的是『我进不去别人进程』这个问题而 Linux 上这个问题通常不存在。IAT Hook → PLT/GOT 覆写对应程度精确IAT 和 GOT 都是『调用跳转表』改表项就改行为。这是全清单里对应最精确的一对。API 劫持 / DLL 劫持 → LD_PRELOAD / /etc/ld.so.preload对应程度精确都是符号解析顺序劫持。但 Linux 的全局版本ld.so.preload比 Windows 的等价物AppInit_DLLs能力强得多也持久得多。反调试28 个点 → ptrace TRACEME / TracerPid / PPID / SIGTRAP / 时间差对应程度近似数量上少得多 —— 因为 Linux 上调试基本就是 ptrace 一个机制。Windows 那 28 个点里有相当一部分是在检查『Windows 特有的内核结构和调试 API』那些在 Linux 上不存在也就不需要检测。反虚拟化注册表 / 服务 / 设备名 → DMI / procfs / cpuinfo / MAC / systemd-detect-virt对应程度近似目的相同但 Linux 侧更简单 —— systemd-detect-virt 一条命令直接给答案。反过来 Linux 侧更重要的是容器检测那是 Windows 侧不成体系的一块。反沙箱开机时长/内存/核数/用户交互 → uptime 通用容器特征成为新维度对应程度近似沙箱在 Linux 侧的常见形态是容器而不是 VM所以 /proc/1/cgroup 和 /.dockerenv 这类容器特征比开机时长更有判别力。持久化注册表 Run / 计划任务 / 服务 → systemd / cron / shell 启动文件 / ld.so.preload / PAM / udev / SSH对应程度近似Linux 的持久化选择面远比 Windows 大。Windows 的持久化点是被微软主动收敛过的有明确的枚举清单Linux 是一堆松散机制各自演化出来的可插拔点多。ETW 绕过 / 日志绕过 → auditd / syslog / wtmp / eBPF 可观测性对应程度近似轴的差别比机制差别更大Windows 是『把遥测源关掉』Linux 更常见的是『不留日志』。而且 Linux 的日志是普通文件可写这跟 Windows 事件日志的数据库模型完全不同。内核层BYOVD / 回调摘除 / DKOM / minifilter / PPL → LKM / ftrace / kprobes / eBPF / task_struct DKOM / io_uring对应程度近似★ 最大的结构性差别Windows 内核准入被四道门堵死签名信任、HVCI、驱动黑名单、测试签名无实义Linux 侧模块签名很多发行版默认不强制。所以 R3→R0 这条路 Windows 是关的、Linux 是开的。权限提升UAC / 令牌 / Potato → SUID/SGID / sudo 配置 / capabilities / 内核 LPE / polkit对应程度近似完全不同的机制集。Windows 的提权围绕令牌和完整性级别Linux 围绕文件权限位、capabilities 和内核漏洞。凭据与横向LSASS / NTLM / Kerberos / PTH → SSH 私钥 / authorized_keys / sudo 缓存 / 云元数据 / Docker socket对应程度无对应这是两个完全不同的认证世界。Windows 是域 集中式凭据存储Linux 是分散的密钥文件和信任关系。把 PTH 的思路套到 Linux 上是套不上的。