⚠️ 警告：以下命令在生产环境或未备份系统上执行可能导致不可逆的数据丢失或系统瘫痪。请仅在充分理解后果的测试环境中使用。
一、文件系统毁灭命令
1.1 删除类
隐藏陷阱：
# 变量为空导致的灾难
rm -rf /$undefined/* # 若变量为空，实际执行 rm -rf //* → rm -rf /*
# 空格导致的误删除
rm -rf / home/user/tmp # 实际删除 / 和 /home/user/tmp 两个目录1.2 格式化与擦除类
设备识别安全准则：
# 执行前必须三重确认
lsblk -f # 查看块设备及文件系统
df -h # 查看挂载点
cat /proc/partitions # 查看内核识别的分区
sudo fdisk -l /dev/sda # 查看磁盘详情
# 绝对确认目标设备后再执行1.3 直接写入设备类
dd命令安全模板：
# 安全写法：先输出到文件验证
dd if=input of=/tmp/test_output bs=4M status=progress
# 确认无误后再写入设备（将X替换为确认后的设备字母）
sudo dd if=input of=/dev/sdX bs=4M status=progress conv=fsync二、分区表操作命令
2.1 分区管理类
分区操作安全流程：
# 1. 备份当前分区表
sudo sfdisk -d /dev/sda > ~/sda_partition_backup.txt
# 2. 验证备份可读
cat ~/sda_partition_backup.txt
# 3. 需要恢复时使用
sudo sfdisk /dev/sda < ~/sda_partition_backup.txt三、权限与系统核心破坏
3.1 权限破坏类
3.2 系统状态破坏类
四、远程执行陷阱
4.1 管道执行类（社会工程学攻击常用）
安全替代方案：
# 绝对安全的做法
curl -fsSL https://example.com/script.sh -o /tmp/script.sh
# 1. 验证HTTPS证书（-f失败静默，-S显示错误，-L跟随重定向，-s静默）
# 2. 检查脚本内容
less /tmp/script.sh
# 3. 在沙箱测试（如Docker）
docker run --rm -it debian:latest bash /tmp/script.sh
# 4. 理解每一行后手动执行必要部分五、系统控制命令
5.1 关机/重启类（特定场景危险）
安全关机流程：
# 1. 通知所有用户
sudo wall "System will shutdown in 5 minutes for maintenance"
# 2. 同步磁盘
sync && sync && sync
# 3. 优雅关机（给进程保存数据的时间）
sudo shutdown -h +5 "Server maintenance, please save your work"
# 或立即但优雅地关机
sudo shutdown -h now六、资源耗尽攻击
6.1 Fork Bomb与资源耗尽
Fork Bomb详解：
# 危险代码结构（绝对不要执行！）
:(){ :|:& };:
# :() - 定义名为":"的函数
# { :|:& } - 函数体：调用自身并管道到自身，后台运行
# ; - 函数定义结束
# : - 调用该函数，引发指数级进程创建
# 防护措施（/etc/security/limits.conf）
* soft nproc 2048
* hard nproc 4096
root soft nproc unlimited # root不受限以便管理七、隐藏与混淆的危险形式
7.1 编码混淆
7.2 视觉欺骗
八、危险命令快速识别检查表
┌─────────────────────────────────────────────────────────────────┐
│ 🔴 绝对禁止（致命级） │
├─────────────────────────────────────────────────────────────────┤
│ rm -rf / mkfs.* /dev/sdX :(){ :|:& };: │
│ dd if=* of=/dev/sd* wipefs -a /dev/sd* │
│ > /etc/passwd chmod -R 777 / curl * \| sh │
│ kill -9 1 sfdisk --delete /dev/sd* │
└─────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────┐
│ 🟠 高度谨慎（高危级） │
├─────────────────────────────────────────────────────────────────┤
│ fdisk /dev/sd* parted rm shred -u /etc/* │
│ chown -R * / chattr -R +i / wget -O- * \| bash │
│ apt purge systemd/python3 eval $(curl *) │
│ echo [ob] > /proc/sysrq-trigger │
└─────────────────────────────────────────────────────────────────┘
┌─────────────────────────────────────────────────────────────────┐
│ 🟡 注意场景（中危级） │
├─────────────────────────────────────────────────────────────────┤
│ shutdown/reboot（远程服务器） rm -rf $VAR/*（变量未定义） │
│ apt autoremove --purge（未检查） docker run -v /:/host ... │
└─────────────────────────────────────────────────────────────────┘九、企业防护建议
9.1 系统级防护
# /etc/profile.d/safety.sh - 全局安全别名
alias rm='rm -i --preserve-root'
alias cp='cp -i'
alias mv='mv -i'
alias chown='chown --preserve-root'
alias chmod='chmod --preserve-root'
alias chgrp='chgrp --preserve-root'
# 禁用危险命令（可选，需权衡管理便利性）
# alias rm='echo "rm is disabled, use trash-put or /bin/rm"'9.2 审计与监控
# 记录所有rm和dd命令（/etc/audit/rules.d/custom.rules）
-a always,exit -F arch=b64 -S unlink -S unlinkat -S rmdir -k file_deletion
-a always,exit -F arch=b64 -S open -S openat -F exit=-EACCES -k access_denied
# 监控dd命令使用
auditctl -w /bin/dd -p x -k disk_operations9.3 备份策略
最终安全原则：
绝不在不清楚作用的情况下执行命令
绝不直接
curl \| bash，必须先下载审查绝不在根目录使用通配符操作
永远保持3-2-1备份原则（3份副本，2种介质，1份异地）
永远在测试环境验证后再应用于生产