1. GRUB基础原理与安全风险剖析

GRUB（GRand Unified Bootloader）作为现代Linux系统的默认引导加载程序，其工作原理直接影响着整个系统的启动安全链。当计算机加电自检（POST）完成后，BIOS/UEFI固件会将控制权交给存储在MBR或EFI分区中的GRUB第一阶段代码（boot.img）。这个仅512字节的微型程序负责加载位于"嵌入区域"（MBR后30KB空间）或EFI系统分区中的core.img，进而解析/boot/grub目录下的配置文件与模块。

关键细节：在UEFI系统中，GRUB采用模块化设计，核心镜像仅包含基础功能，其他功能如文件系统支持、加密解密等通过动态加载模块实现。这种设计虽然灵活，但也扩大了攻击面。

近年来针对GRUB的攻击主要集中在这几个层面：

• 引导劫持：通过物理接触或远程管理接口（如IPMI）篡改GRUB配置文件或替换二进制文件
• 密码爆破：对GRUB密码进行暴力破解（特别是使用弱哈希算法时）
• 内存注入：利用GRUB内存管理漏洞注入恶意代码
• 安全启动绕过：通过签名伪造或漏洞利用绕过Secure Boot验证

2. GRUB加固实战方案

2.1 密码保护配置

编辑/etc/grub.d/40_custom文件，添加以下内容：

set superusers="admin" password_pbkdf2 admin grub.pbkdf2.sha512.10000.8F2B1...

生成PBKDF2密码的命令：

grub-mkpasswd-pbkdf2

实测发现：使用10,000次迭代的PBKDF2哈希在主流服务器上验证延迟约0.3秒，既不影响正常使用又能有效减缓爆破速度。

2.2 安全启动配置

对于UEFI系统，需确保：

1. 安装shim和MOK工具包：

apt install shim-signed mokutil

2. 导入自定义密钥：

mokutil --import /path/to/key.der

3. 重启后在MOK管理界面完成密钥注册

2.3 文件权限加固

执行以下命令链：

chmod 600 /boot/grub/grub.cfg chown root:root /boot/grub/grub.cfg chmod -R og-rwx /boot/grub/

3. 深度防御措施

3.1 全盘加密集成

在/etc/default/grub中添加：

GRUB_CMDLINE_LINUX="cryptdevice=UUID=...:cryptroot"

更新配置后需特别处理initramfs：

update-initramfs -u -k all

3.2 审计日志配置

在grub.cfg中添加：

set recordfail=1 set timeout=30 terminal_output console serial serial --unit=0 --speed=115200

4. 典型问题排查指南

4.1 引导失败的应急处理

当出现"grub rescue>"提示时，按序执行：

1. 定位分区：

ls (hd0,msdos1)/

2. 设置根路径：

set prefix=(hd0,msdos1)/boot/grub

3. 加载模块：

insmod normal normal

4.2 分辨率异常处理

在/etc/default/grub中调整：

GRUB_GFXMODE=1920x1080x32 GRUB_GFXPAYLOAD_LINUX=keep

5. 高级防护技巧

5.1 二进制文件加固

使用objcopy添加保护标记：

objcopy --add-section .note.gnu.build-id=/dev/null \ --set-section-flags .note.gnu.build-id=noload,readonly \ /boot/grub/x86_64-efi/core.efi

5.2 安全审计脚本

定期运行的检查脚本示例：

#!/bin/bash check_grub() { [ "$(stat -c %a /boot/grub/grub.cfg)" == "600" ] || \ echo "权限异常" [ -z "$(grep 'password_pbkdf2' /boot/grub/grub.cfg)" ] && \ echo "未设置密码" }

在实际生产环境中，我们曾遇到通过BMC接口篡改GRUB配置的APT攻击。最终通过以下组合方案彻底防护：

1. 物理安全：机柜上锁+BIOS密码
2. 固件级：启用TPM测量启动+Secure Boot
3. 系统级：GRUB密码+配置锁定
4. 网络级：BMC独立VLAN+双因素认证

这种分层防御体系使得即使攻击者获得物理访问权限，也难以突破完整的防护链。建议每季度使用GRUB渗透测试工具（如grub-bf）进行安全评估，及时发现潜在漏洞。