Linux capabilities 能力机制：从 setuid 特权到 setcap 最小授权

本文要点 setuid 的「全有或全无」问题：被攻破的程序直接等于 root。现代发行版已经在用更细的文件能力（capabilities）替代它——实测本机 /usr/bin/ping 是普通 755 权限 + capnetraw=ep 能力位，而 /bin/su 仍是 -rwsr-xr-x 的 setuid 程序 能力 = 内核里的细粒度权限位：绑定 1024 以下端口只需要...

2026-09-10 192 0

Linux chroot 沙盒隔离：从根目录切换到轻量环境构建

本文要点 chroot 把进程看到的根目录 / 换成另一个目录：进程从此「看不见」主机文件系统，只能看到沙盒里放进去的东西——实测进入沙盒后 ls / 只剩自己放进去的 bin，ls /root 直接报 No such file or directory 零依赖搭沙盒：一个静态编译的 busybox（实测 2.1MB 单文件，本机系统自带；没有的话 apt-get install...

2026-09-10 184 0

Linux 内核模块管理：从 lsmod 到 modprobe 与黑名单配置

本文要点 内核模块是按需加载进内核的功能单元（驱动、协议、文件系统等），Ubuntu 6.8 内核上可加载模块多达 6474 个，实际只加载了 122 个 lsmod 查看已加载模块与引用关系（Used by 列是依赖链），uname -r 确认内核版本 modinfo 查看模块元数据：(builtin) 表示编译进内核无法卸载，modinfo -p 列出可调模块参数 modprobe...

2026-09-09 180 0

Linux 磁盘加密：从 LUKS 原理到 cryptsetup 加密与解锁挂载

本文要点 LUKS 是磁盘/分区级的加密标准：它把整个块设备（整块盘、分区、云盘、镜像文件）变成密文，与 gpg、openssl 那种「只加密单个文件」的方式互补——文件本身的文件名、大小、目录结构也被一起藏起来 cryptsetup luksFormat 完成初始化，设备会被识别为 cryptoLUKS；解锁用 cryptsetup open，通过内核 dm-crypt 映射出...

2026-09-08 190 0

perf 性能剖析：从 perf stat 到采样报告定位 CPU 热点

本文要点 perf 是 Linux 内核自带的采样式性能剖析器，回答的是「CPU 时间到底花在哪个函数」：perf stat 做一次性的计数器统计，perf record/perf report 按固定频率采样并在事后生成热点榜单 ⚠️ Ubuntu 大坑一：apt install linux-tools-generic...

2026-09-08 257 0

Samba 文件共享：从 smb.conf 配置到 SMB 客户端挂载

本文要点 Samba 是 SMB/CIFS 协议的开源实现，专治「Linux 服务器 + Windows/macOS 客户端」混编环境；与面向 Linux 之间的 NFS 互补（NFS 已另文实测，本文实测对象是 Samba） 一条命令装齐三件套：apt-get install -y samba smbclient cifs-utils——服务端 smbd、命令行客户端...

2026-09-07 166 0

MySQL 8 数据库运维：从安装启动到用户授权与备份恢复

本文要点 Ubuntu 24.04 官方源里 apt install mysql-server 一条命令装好 MySQL 8，systemd 以 mysql.service 管理，装完即自动启动 Ubuntu 打包版 root 默认走 authsocket 插件：系统 root 用户在命令行直接 mysql 就能进，不需要密码；默认只监听 127.0.0.1，不对外网开放 建库建表一套...

2026-09-07 165 0

Linux 二进制分析：从 file 类型识别到 ELF 结构与 objdump 反汇编

本文要点 排查动态库缺失、确认程序是否被 strip、分析拿到手的陌生二进制，都绕不开"读二进制"——核心工具链是 file/ldd + binutils（readelf/nm/objdump/strip） file 一眼认出 ELF 类型：实测同一次编译产物 hello（executable 可执行）、hello.o（relocatable 可重定位）、libadd.so（shared...

2026-09-06 242 0

fio 磁盘性能测试：从顺序吞吐到 4K 随机 IOPS 的存储基准

本文要点 fio 是 Linux 存储基准测试的事实标准工具：随机/顺序、块大小、队列深度、直接 IO 全部可精确控制，比 dd 更能模拟数据库、虚拟机这类真实负载 核心参数组合：--rw（read/write/randread/randwrite）+ --bs + --iodepth + --ioengine=libaio + --direct=1（绕过页缓存，不加测到的是内存速度） 实测一台.

2026-09-06 302 0

Linux 网络模拟：tc 与 netem 注入延迟、抖动与丢包

本文要点 netem 是 Linux 内核自带的网络模拟器（挂在 tc 的 qdisc 上）：不用跨国拉专线，一条命令就能在回环接口上模拟出 100ms 延迟、±20ms 抖动、20% 丢包，用来提前验证应用在真实公网下的表现 tc 的流量控制模型：网卡出口有一个 qdisc（排队规则），生产网卡默认为 fqcodel；tc qdisc add dev lo root netem ... 就是把.

2026-09-05 272 0