Linux系统怎么修复漏洞？统修别慌，按这个顺序来

上周我帮朋友收拾一台跑着Ubuntu 20.04的复漏旧服务器，发现它已经被挖矿程序盯上了——CPU占用率飙到300%，统修日志里全是复漏奇怪的连接请求。问题根源很简单：系统里有个已知的统修SSH漏洞，而朋友整整半年没更新过内核。复漏修复Linux漏洞这事儿，统修真没你想的复漏那么玄乎，核心就一句话：知道漏洞在哪，统修然后用对工具补上。复漏

先别急着敲命令，统修你得搞清楚自己系统里有什么。复漏Linux不像Windows那样天天弹“发现更新”，统修它默认安静得很。复漏打开终端，统修运行sudo apt list --upgradable（Debian/Ubuntu系）或者sudo dnf check-update（CentOS/RHEL系），系统会列出所有可升级的软件包。看到那些标着“security”字样的更新没？那就是重点对象。我一般会先看内核相关的包，比如linux-image-*，因为内核漏洞影响面最大，攻击者一旦利用，基本就是root权限。

知道缺什么了，那就直接动手补。对于绝大多数漏洞，sudo apt update && sudo apt upgrade -y一条命令就能搞定。但有个坑——有时候更新完内核，系统不会自动重启，你得手动sudo reboot让新内核生效。别偷懒，不重启等于白补。我见过太多人跑完升级就以为万事大吉，结果漏洞还挂着，因为旧内核还在内存里跑着。

不过，有些漏洞没法靠常规更新解决。比如你跑了个老旧的自编译软件，或者系统版本太老官方已经停止维护。这时候就得手动打补丁。拿最近那个OpenSSH的严重漏洞举例，如果你的发行版没及时推送修复包，你可以去OpenSSH官网下载最新源码，自己编译安装。步骤不复杂：./configure && make && sudo make install，但编译前记得备份/etc/ssh/sshd_config，不然配置丢了，远程登录直接断掉，那才叫欲哭无泪。

还有一类漏洞，光更新软件没用，得改配置。比如那个经典的vsftpd匿名登录漏洞，即使你装了最新版，如果配置文件里还开着anonymous_enable=YES，照样被人白嫖文件。这时候你要做的是检查/etc/vsftpd.conf，把该关的关掉，然后sudo systemctl restart vsftpd。记住，修复漏洞不只是“升级”，还包括“加固”。

补完漏洞，验证一下是必须的。别只看版本号觉得“应该好了”，要实际测试。比如你修了SSH漏洞，就试着从另一台机器ssh user@your-server登录，确认服务正常。更严谨的做法是用漏洞扫描工具，比如nmap --script vulners扫描一下本机开放端口，看还有没有已知漏洞标记。我上次修完那个挖矿问题，还特意用top盯了十分钟CPU，确认没有异常进程才放心。

最后说句掏心窝子的话：Linux漏洞修复是个持续过程，不是一次性买卖。别指望“今天补完，永远安全”。我自己的习惯是每周跑一次apt list --upgradable，看到安全更新就顺手升了。你要是管理多台服务器，最好配个自动化工具，比如unattended-upgrades，让它自动装安全补丁，省得你天天手动敲命令。系统安全这回事，懒是最大的漏洞。