ATT&CK红队评估实战靶场二

# 服务器 zsh 环境配置记录：Zim + p10k + eza + zoxide

记录从零搭建服务器 zsh 环境的过程，包含踩过的坑。配置已整理成 dotfiles 仓库，新服务器一键部署。

**环境**：Ubuntu 24.04 / Debian 12，zsh + Zim 框架

**最终工具栈**：

| 工具 | 作用 |
|------|------|
| Zim | zsh 框架，比 oh-my-zsh 轻，启动快 |
| Powerlevel10k | 提示符主题 |
| eza | 带图标的 ls 替代，支持 git 状态列 |
| zoxide | 智能目录跳转，记住历史，`z 关键词` 直达 |
| fzf | 模糊查找，`Ctrl+R` 历史搜索、`Ctrl+T` 文件选择 |
| bat | 带语法高亮的 cat（Debian/Ubuntu 上命令名为 batcat） |

---




## 字体

**先做这一步**，否则 eza 图标会显示成方块。

eza 的图标由**本地终端**渲染，服务器不需要装字体。SSH 连服务器时，字符渲染在本地做，改的是本地终端的字体配置。

下载 **0xProto Nerd Font**：[nerdfonts.com](https://www.nerdfonts.com)

装完在终端设置里切换字体。Windows Terminal 注意：每个 profile 可以单独设字体，改的要是你 SSH 用的那个 profile，不是默认 profile。

---

## 配置文件

### `.zshenv`

比 `/etc/zsh/zshrc` 更早加载，用来解决 compinit 重复初始化的问题（见下方坑点记录）。

```zsh
skip_global_compinit=1
```

### `.zimrc`

```bash
# 基础模块
zmodule environment
zmodule input
zmodule termtitle
zmodule utility

# Git
zmodule git
zmodule wfxr/forgit          # fzf 加持的 git 交互工具

# 主题
zmodule duration-info
zmodule git-info
zmodule romkatv/powerlevel10k

# 补全（必须在普通模块之后）
zmodule zsh-users/zsh-completions --fpath src
zmodule completion

# 必须最后加载
zmodule zsh-users/zsh-syntax-highlighting
zmodule zsh-users/zsh-history-substring-search
zmodule zsh-users/zsh-autosuggestions
```

### `.zshrc`

```bash
# =========================
# ZSH CONFIG
# =========================

# p10k instant prompt（必须最顶部）
if [[ -r "${XDG_CACHE_HOME:-$HOME/.cache}/p10k-instant-prompt-${(%):-%n}.zsh" ]]; then
  source "${XDG_CACHE_HOME:-$HOME/.cache}/p10k-instant-prompt-${(%):-%n}.zsh"
fi

# Zim 初始化
ZIM_HOME=${ZDOTDIR:-$HOME}/.zim
source ${ZIM_HOME}/init.zsh

# 基础环境变量
export LANG=en_US.UTF-8
export LC_ALL=en_US.UTF-8
export EDITOR=vim
export VISUAL=vim

# 历史记录
HISTSIZE=50000
SAVEHIST=50000
HISTFILE=~/.zsh_history
setopt APPEND_HISTORY
setopt SHARE_HISTORY          # 跨会话共享
setopt HIST_IGNORE_ALL_DUPS   # 去重
setopt HIST_REDUCE_BLANKS
setopt HIST_IGNORE_SPACE      # 空格开头不入历史（用于敏感命令）

# 补全
setopt AUTO_MENU
setopt COMPLETE_IN_WORD

# 目录
setopt AUTO_CD

# p10k 主题
[[ -f ~/.p10k.zsh ]] && source ~/.p10k.zsh

# ----------------------------
# Aliases
# ----------------------------

# eza
alias ls='eza --icons --group-directories-first'
alias ll='eza -alF --icons --group-directories-first --git --header --time-style=relative'
alias la='eza -A --icons --group-directories-first'
alias l='eza --icons --group-directories-first'
alias lt='eza --tree --icons --level=2'
alias lt3='eza --tree --icons --level=3'

# bat
alias cat='batcat --paging=never'
alias bat='batcat'

# 目录跳转
alias ..='cd ..'
alias ...='cd ../..'

# 危险操作加确认（服务器上手滑代价大）
alias rm='rm -i'
alias cp='cp -i'
alias mv='mv -i'

# grep
alias grep='grep --color=auto'

# Git
alias gs='git status'
alias ga='git add'
alias gc='git commit'
alias gp='git push'
alias gl='git log --oneline --graph --decorate'

# Docker
alias dps='docker ps'
alias dpa='docker ps -a'
alias di='docker images'
alias dlog='docker logs -f'
alias dex='docker exec -it'

# Systemd
alias sctl='systemctl'
alias sstart='systemctl start'
alias sstop='systemctl stop'
alias sstat='systemctl status'
alias srestart='systemctl restart'

# Network
alias ports='ss -tulnp'
alias myip='curl -s --max-time 5 ifconfig.me'

# Process
alias psg='ps aux | grep'

# ----------------------------
# 性能
# ----------------------------
export KEYTIMEOUT=1

# ----------------------------
# 函数
# ----------------------------

# mkdir + cd
mkcd() { mkdir -p "$1" && cd "$1" }

# 通用解压
extract() {
  if [ ! -f "$1" ]; then echo "'$1' is not a valid file"; return 1; fi
  case "$1" in
    *.tar.bz2)  tar xjf "$1" ;;
    *.tar.gz)   tar xzf "$1" ;;
    *.tar.xz)   tar xJf "$1" ;;
    *.tar)      tar xf "$1"  ;;
    *.bz2)      bunzip2 "$1" ;;
    *.gz)       gunzip "$1"  ;;
    *.zip)      unzip "$1"   ;;
    *.7z)       7z x "$1"    ;;
    *.rar)      unrar x "$1" ;;
    *) echo "Unknown format: $1" ;;
  esac
}

# ----------------------------
# 工具初始化（放文件末尾）
# ----------------------------
eval "$(zoxide init zsh)"
source <(fzf --zsh)
```

---

## 踩坑记录

### 启动时 compinit 重复初始化

**表现**

```
warning: completion was already initialized before completion module.
Will call compinit again.
```

同时 p10k 弹 instant prompt 警告——p10k 只是信使，检测到启动期间有输出就报警，真正的根因是上面那行。

**根因**

Ubuntu/Debian 的 `/etc/zsh/zshrc` 在系统层面调了一次 `compinit`，Zim 的 `completion` 模块又调一次，重复了。

定位方法：

```bash
zsh -xic exit 2>&1 | grep "compinit" | head
```

输出里能看到 `+/etc/zsh/zshrc:111> compinit`，确认是系统配置先调的。

**解法**

创建 `~/.zshenv`，写入：

```zsh
skip_global_compinit=1
```

`.zshenv` 比 `/etc/zsh/zshrc` 更早加载。Debian/Ubuntu 的系统 zshrc 在调 `compinit` 前会检查这个变量，值为 1 就跳过。Zim 的 `completion` 模块成为唯一一次初始化，警告消失。

验证系统是否支持该变量：

```bash
grep -n "skip_global_compinit" /etc/zsh/zshrc
```

有输出即支持。

---

### Windows 编辑配置文件导致 CRLF 污染

**表现**

```
/home/csr/.zimrc:4: command not found: ^M
fatal: unable to access 'https://github.com/zimfw/environment?.git/':
  URL rejected: Malformed input to a URL function
```

`^M` 是 Windows 的回车符 `\r`。`zmodule environment` 变成了 `zmodule environment\r`，git clone 的 URL 里带了非法字符。

**根因**

在 Windows 上用编辑器（VS Code 默认）保存文件时，换行符是 CRLF（`\r\n`），Linux/zsh 需要 LF（`\n`）。

**三层解法**

1. **编辑器层**：VS Code 右下角点 `CRLF` 切成 `LF` 再保存
2. **仓库层**：加 `.gitattributes`，强制所有文件 LF

```
*           text=auto eol=lf
*.sh        text eol=lf
.zshrc      text eol=lf
.zimrc      text eol=lf
.zshenv     text eol=lf
```

提交时加一步规范化：

```bash
git add --renormalize .
```

3. **部署层**：`deploy()` 函数里用 `sed` 在落盘前清洗

```bash
sed 's/\r$//' "$src" > "$dst"
```

最后一道兜底，即使仓库里偶尔带了 `\r`，落到目标机器也是干净的。

---

### Zim 安装脚本不能用 `| bash` 执行

**表现**

```
You must use zsh to run install.zsh
curl: (23) Failure writing output to destination
```

**根因**

Zim 的安装脚本是 `.zsh` 文件，必须用 `zsh` 执行。`| bash` 会把脚本内容塞给 bash，bash 检测到不是 zsh 就退出，curl 那端管道断了所以报写入失败。

**解法**

先下载到临时文件，再明确用 `zsh` 执行：

```bash
curl -fsSL https://raw.githubusercontent.com/zimfw/install/master/install.zsh \
  -o /tmp/zim-install.zsh
zsh /tmp/zim-install.zsh
rm -f /tmp/zim-install.zsh
```

---

## 一键部署

配置托管在 GitHub：[github.com/CasearF/dotfiles](https://github.com/CasearF/dotfiles)

新服务器部署：

```bash
git clone https://github.com/CasearF/dotfiles.git ~/dotfiles
cd ~/dotfiles && chmod +x install.sh && ./install.sh
exec zsh
```

`install.sh` 自动完成：zsh/git/curl/unzip 检测安装 → eza/zoxide/fzf/bat 安装 → Zim 安装 → 旧配置备份（`.bak-时间戳`）→ 配置部署（自动清 CRLF）→ Zim 模块安装 → 设 zsh 为默认 shell。

---

## 验收

```bash
exec zsh

ll                    # eza：图标 + 目录排前 + git 列
z some-dir            # zoxide：模糊跳转
Ctrl+R                # fzf：历史模糊搜索
bat ~/.zshrc          # bat：语法高亮
```

启动无 compinit 警告，五项全绿即完工。

zsh 环境配置

# ThinkPad T490s Linux 指纹模块启用指南（KDE / Kubuntu）

> 设备：ThinkPad T490s  
> 系统：Kubuntu / Ubuntu KDE / 其他 Linux  
> 桌面环境：KDE Plasma  
> 功能目标：启用指纹登录、sudo 指纹验证、锁屏解锁

---

# 一、确认指纹模块是否可用

安装指纹组件：

```bash
sudo apt update
sudo apt install -y fprintd libpam-fprintd
```

录入指纹：

```bash
fprintd-enroll
```

根据提示多次按压手指。

验证指纹：

```bash
fprintd-verify
```

如果显示：

```text
Verify result: verify-match
```

说明设备已正常工作。

---

# 二、启用 sudo 指纹认证

执行：

```bash
sudo pam-auth-update
```

在弹出的界面中勾选：

```text
Fingerprint authentication
```

保存退出。

测试：

```bash
sudo ls /
```

提示认证时按压指纹即可。

---

# 三、启用登录界面指纹

KDE 默认登录管理器为 SDDM。

检查当前登录管理器：

```bash
cat /etc/X11/default-display-manager
```

若输出：

```text
/usr/bin/sddm
```

说明使用的是 KDE 默认登录器。

然后注销系统，在登录界面测试指纹登录。

---

# 四、启用锁屏指纹解锁

锁屏快捷键：

```text
Win + L
```

锁屏后尝试按压指纹。

若部分系统未启用，可安装：

```bash
sudo apt install -y kscreenlocker
```

---

# 五、常见问题修复

## 1. 指纹服务异常

```bash
systemctl restart fprintd
```

## 2. 删除并重新录入指纹

```bash
fprintd-delete $USER
fprintd-enroll
```

## 3. 查看已录入指纹

```bash
fprintd-list $USER
```

---

# 六、安全建议

建议保留密码登录作为备用方案：

- 指纹识别失败时可回退密码
- 更新系统后可避免 PAM 配置异常
- 首次启动部分场景仍需密码

---

# 七、最终效果

启用后可实现：

- 系统登录使用指纹
- sudo 提权使用指纹
- 锁屏解锁使用指纹

---

# 八、适用机型说明

ThinkPad T490s 大多数指纹模块在 Linux 下兼容良好，尤其 Synaptics 型号支持度较高。

---

# 九、一键安装命令

```bash
sudo apt update && sudo apt install -y fprintd libpam-fprintd
```

---

# 十、指纹认证的理论知识

## 1. Linux 指纹认证的工作原理

在 Linux 系统中，指纹识别通常由以下几个组件协同完成：

### 硬件层

即笔记本内置的指纹传感器，例如：

- Synaptics
- Goodix
- Validity

负责采集指纹图像或生物特征数据。

### 驱动层

Linux 内核负责识别 USB / SPI 指纹设备，并提供设备访问接口。

### 用户空间服务层

常见组件：

- fprintd
- libfprint

作用：

- 管理指纹设备
- 录入指纹模板
- 执行比对验证

### 认证层（PAM）

Linux 登录认证通常通过 PAM（Pluggable Authentication Modules）实现。

当启用指纹后，PAM 会调用：

pam_fprintd.so

从而在登录、sudo、锁屏时加入指纹验证流程。

---

## 2. 指纹录入并不是保存图片

很多人误以为系统保存了一张指纹照片，实际并不是。

系统通常保存的是：

- 特征点
- 纹路方向
- 局部结构信息
- 加密后的模板数据

这类数据用于匹配，不可直接还原完整指纹图像。

---

## 3. 为什么录入时要按压多次

因为系统需要采集多个角度和区域：

- 手指偏左
- 偏右
- 角度倾斜
- 压力变化
- 局部遮挡情况

这样能提高后续识别成功率。

---

## 4. 指纹认证的优缺点

### 优点

- 登录速度快
- 日常 sudo 更方便
- 不必频繁输入密码
- 移动办公体验更好

### 缺点

- 湿手、脏手识别率下降
- 手指出汗会影响成功率
- 无法远程使用
- 高安全场景仍需密码

---

## 5. 为什么仍然建议保留密码

密码是“知识因子”，指纹是“生物因子”。

两者组合更安全：

- 指纹用于高频便捷操作
- 密码用于兜底恢复
- 加密磁盘仍建议使用密码

---

## 6. ThinkPad 指纹模块为何兼容性较好

ThinkPad 商务系列长期面向企业市场，硬件标准化程度高，Linux 社区适配较积极，因此在 Linux 下兼容性通常优于很多消费级机型。

---

## 7. 实际使用建议

推荐模式：

- 开机登录：密码 / 指纹均可
- 锁屏解锁：优先指纹
- sudo 提权：优先指纹
- 磁盘加密：强密码

这样兼顾效率与安全。

---

## 总结

指纹认证本质上是提升“本地使用效率”的认证方式。  
它不是密码的替代品，而是密码体系的补充。


# ThinkPad T490s Linux 指纹模块启用指南（KDE / Kubuntu）

# 图床是什么？
图床你可以理解为一个个人云盘 ，你可以将你的图片、视频等进行上传，在云端保存。同时，图床也会为你生成一个网址，通过这个网址，所有人都可以直接查看你的图片、视频等媒体素材。
# vanblog提供的图床配置页面
其实官方vanblog已经说的很明白如何进行配置了，不过这里更详细的做一下教程，目的是为了方便小白快速上手！

进入vanblog后台-站点管理-系统设置-图床设置，将存储策略从本地改成OSS图床（建议各位先到下面扫描一下文章中的图片并存储在本地图床中，然后再把本地图床的图片导出做个备份）。




![image.png](https://img.casear.net/img/bb84cca171c2bab45251d9ce2d504072.image.webp)

接下来，开始配置存储策略设置中的内容。
在Vanblog的官方文档中 [写到 ](https://vanblog.mereith.com/features/image-storage.html#%E7%AC%AC%E4%B8%89%E6%96%B9%E5%9B%BE%E5%BA%8A)要使用picgo-core的配置文件

:::warning{title="注意"}
VanBlog 使用 picgo-core 配置文件，和桌面版的 picgo 的配置文件不通用！
:::

当然，如果你是大佬，可以直接去看vanblog的部署文档，简洁明了。https://vanblog.mereith.com/feature/basic/pic.html


# 配置腾讯云COS

首先进入腾讯云的对象存储，腾讯云有关对象存储的收费是有三个衡量标准：

- 空间 （相当于买多大的网盘用来存储）
- 流量 （腾讯云会计算你的下行流量，即访问流量用来计费）
- 请求数 （也可以粗略理解为访问量）
不过就算你是重度使用，每年的价格也不会很贵，我的每年在COS上花费差不多就在50元/年左右，所以别慌！

1. 点击创建存储桶
> 存储桶（Bucket）是对象的载体，可理解为存放对象的“容器”，且该“容器”无容量上限。对象以扁平化结构存放在存储桶中，无文件夹和目录的概念，用户可选择将对象存放到单个或多个存储桶中


![image.png](https://img.casear.net/img/9ebf43ac806f2564ec97b527bdbff7ea.image.webp)


2. 按照以下配置来新建存储桶。

说明

所属地域建议选择和你博客服务器在同一个城市的地域。

名称起好就不能改了，也会作为你的访问域名


:::warning{title="注意"}
腾讯云规定
2024年1月1日后创建的存储桶，不支持使用默认域名在浏览器中预览文件，也不支持下载 APK 或 IPA 文件，了解详情 。

默认域名存在安全风险，建议您 配置自定义域名。详情参见 存储桶切换自定义域名 。
:::


访问权限如果你有精力和能力配置策略组，可以选择私有读写，这里我们就选择公有读私有写了。

版本控制看你自己需求，我反正存储空间足够就打开了。

一般来说，图片不怎么需要高可用，这里就不打开多AZ特性了

!/041f7ee7d401006606eed38c09e7bb90.image.webp)

版本控制 日志存储 可以看自己的储存余量和套餐开启

智极压缩可能会增加费用，酌情开启

服务端加密，图片没什么用，就不开了


![image.png](https://img.casear.net/img/b747d59ece7e508fd52e43a09013e8f6.image.webp)


3. 关注以下几个数据。

![image.png](https://img.casear.net/img/00829e959490ec834119fb652fa49cef.image.webp)


4. 接下来设置一个域名。


网址可以选择单独弄一个域名用来做外链，比如我用的就是img.casear.net，当然你也可以选择你的基础域名。


![image.png](https://img.casear.net/img/b62b2d38972ef23e7db49804d2d8c3ef.image.webp)

5. 在域名与传输管理中选择绑定证书，把自己的证书上传


![image.png](https://img.casear.net/img/fde6c7868ee16f57a1d739d908757335.image.webp)

接下来去DNSpod把域名解析给做了，注意是CNAME


![image.png](https://img.casear.net/img/3180b1be407c051eb93df1feaf5fc55f.image.webp)

有关腾讯云COS的设置就完成了

# 配置Picgo

我这里是在linux上使用npm安装的picgo-core



```shell
# 添加 Node.js LTS 源
curl -fsSL https://deb.nodesource.com/setup_lts.x | sudo -E bash -

# 安装 Node.js（包含 npm）
sudo apt install -y nodejs

#全局安装 picgo-core：
sudo npm install -g picgo-core
```

根据picgo-core文档中的[自动生成方法](https://docs.picgo.app/zh/core/guide/config#%E8%87%AA%E5%8A%A8%E7%94%9F%E6%88%90)生成配置文件

picgo set uploader 的交互式命令行配置推荐

（AI时代大可以把这张图片投喂给ai分析一下，会比我说的更详细一些）
```shell
❯ picgo set uploader                 # 打开 PicGo 上传器配置界面
❯ picgo set uploader                 # 再次执行配置（可覆盖旧配置）
? Choose an uploader tcyun           # 选择上传器，这里选腾讯云 COS (tcyun)
? Choose a config [Create New Config]# 选择创建新配置
? Enter config name demo1            # 配置名称，便于区分不同账户
? version: v5                        # PicGo 或 SDK 版本
? secretId: 12345                    # 腾讯云 COS 的 SecretId（API 密钥 ID）
? secretKey: [hidden]                # 腾讯云 COS 的 SecretKey（API 密钥）
? bucket: 存储桶名称                  # COS 存储桶名称
Set AppId Ex. 1234567890 秘钥id      # 腾讯云账户 AppId
Set Area Ex. ap-beijing ap-shanghai   # COS 所在地域
Set Endpoint Ex. cos-internal.accelerate.tencentcos.cn # COS API 访问域名 （可选，如果你设置了自定义域名就不填）
Set Path Ex. test/ img/              # 上传到 COS 的文件路径前缀
Set Custom URL Ex. http://test.com img.casear.net # 自定义访问域名
Set URL Suffix Ex. ?imageMogr2       # 可选 URL 后缀，用于图片处理（在vanblog的图床中不需要）
Set ImageSlim slim: No               # 是否启用 ImageSlim 图片压缩服务（如果在存储桶选择了智极压缩可以开启）
[PicGo SUCCESS]: Configure config successfully!  # 配置成功提示
```
![image.png](https://img.casear.net/img/6132d44353ecfbb11b9b7855de64798f.image.webp)

picgo 的默认配置文件为~/.picgo/config.json。其中~为用户目录。不同系统的用户目录不太一样。

复制config.json的内容到 存储策略设置 的 picgo 配置 中点击提交即可



![image.png](https://img.casear.net/img/67a7184e5ce8ab8c84aa252e8f0606c5.image.webp)




:::tip{title="提示"}
感谢张鱼哥同学，他写了一份很详细的 腾讯云 COS 配置指南：

[vanblog 使用 picgo 图床的完整部署教程](https://www.handyzyg.cn/post/47)

本文基于该文章撰写改动而来，目前张鱼哥的博客在2026-3-9无法访问

是通过[互联网档案馆的镜像](https://web.archive.org/web/20250417185917/https://www.handyzyg.cn/post/47)查看的
:::

vanblog使用picgo图床的完整部署教程

# 1. 导出 waline 评论数据库

在宿主机执行：
```bash
docker exec vanblog-mongo-1 mongodump -d waline -o /data/backup
```
说明：
| 参数             | 含义            |
| --- | --- |
| -d waline       | 只导出评论数据库 |
| -o /data/backup | 导出到容器里的目录 |


执行后容器内会生成：
```bash
/data/backup/waline
```
里面通常是：
```bash
Users.bson
Users.metadata.json
```
如果以后有评论，还会有：
```bash
Comment.bson
Counter.bson
```
# 2. 把备份复制到服务器
```bash
docker cp vanblog-mongo-1:/data/backup ./waline-backup
```
备份出来的目录结构应该是这样：
```bash
/waline-backup/
└── waline
    ├── Comment.bson
    ├── Comment.metadata.json
    ├── Users.bson
    └── Users.metadata.json
```
# 3. （可选）打包备份

建议压缩一下：
```bash
tar -czvf waline-backup.tar.gz waline-backup
```
# 4. 恢复评论数据的方法

### 导入数据到服务器：
```bash
docker cp /home/ubuntu/waline-backup/waline vanblog-mongo-1:/data/waline

```
如果是在 Docker：
```bash
docker exec -i vanblog-mongo-1 mongorestore -d waline --drop /data/backup/waline

```
## 执行恢复
```bash
docker exec -it vanblog-mongo-1 mongorestore -d waline --drop /data/waline

```
参数说明：

|参数	       |作用|
|-d waline	|恢复到 waline 数据库|
| --- | --- |
|--drop	先删除旧 |collection 再恢复|
|/data/waline	|备份目录|
## 验证恢复

进入 Mongo：
```shell
docker exec -it vanblog-mongo-1 mongo
```
然后：
```shell
use waline
show collections
```
应该看到：
```shell
Comment
Users
```
再检查评论数量：
```shell
db.Comment.count()
```
如果返回评论数量 说明恢复成功。

vanblog备份恢复评论数据

script

msvalidate.01

如果你有机会到好望角，请在海边的石头上刻下我的故事👨‍💻