如何离线补漏洞

去年冬天，何离我给一台老旧的线补ThinkPad X220装了个Debian 12，装完才发现它的漏洞Intel网卡驱动有已知漏洞，但机器放在没有网线的何离仓库里，Wi-Fi密码也不知道。线补在线打补丁？漏洞想都别想。离线补漏洞不是何离“把补丁文件拷过去双击”那么简单，它有一套自己的线补逻辑。

先搞清楚漏洞到底在哪。漏洞不是何离所有漏洞都靠系统更新解决。浏览器漏洞、线补内核提权、漏洞OpenSSL心脏出血——每种补丁的何离形态不一样。我的线补做法是：在另一台能上网的机器上，用 apt list --upgradable 或 yum check-update 先列出目标系统缺哪些包。漏洞没有网络？那就手动比对版本号。比如目标机器上的 openssl version 显示 1.1.1n，而安全公告说 1.1.1w 才修复了 CVE-2023-0286，你就知道要抓哪个版本的 .deb 或 .rpm。

下载补丁包有讲究。Ubuntu 用户直接去 launchpad.net 找对应版本的 linux-image-*.deb，别下错架构——amd64 和 arm64 混了会报“无法安装”。CentOS 更麻烦，有些安全补丁只出现在 updates 仓库里，你得手动拼 URL。我习惯用 wget --recursive --no-parent 把整个 Packages 目录拖下来，虽然笨但不会漏。有一次给 CentOS 7 补 sudo 漏洞，官方只放了新版的 sudo-1.8.23-10.el7_9.2.x86_64.rpm，我直接 scp 过去，rpm -Uvh 一把过。

传输环节别用 U 盘反复插。我吃过亏：U 盘在 Windows 上格式化成 exFAT，Linux 挂载后权限全乱，补丁包装不上。后来改用 scp 走内网，或者用 rsync -avz 同步整个补丁目录。实在没网，刻张 DVD 也比 U 盘稳。另外，记得校验哈希。有次我从某镜像站下的 nginx 补丁包，sha256 跟官方对不上，差点把生产机搞挂。

安装阶段最怕依赖地狱。离线环境下 apt install ./xxx.deb 会报缺依赖，比如 libssl1.1 没装。解决办法是在联网机器上用 apt-get install --download-only 把依赖树一起抓下来。或者用 dpkg -i 配合 apt-get -f install 离线修复——但后者需要本地有 apt 缓存。我一般直接建个本地仓库：dpkg-scanpackages . /dev/null | gzip > Packages.gz，然后写进 sources.list，再 apt update 一次，之后就跟在线一样顺。

补完别急着重启。先跑 ldd 检查关键二进制有没有链接到旧库，再 systemctl status 看服务是否正常。有一次我补完 glibc，忘了重启 sshd，结果新登录全失败——旧进程还加载着旧库。离线补漏洞最怕“补丁打了但没生效”，所以 uname -r 和 rpm -q --changelog 要交叉验证。

最后说个真实案例。某工厂的工控机跑 Windows XP，漏洞补丁微软早就不发了。我们只能从 WSUS Offline 工具里导出最后一批补丁，再用 dism /online /add-package 手动注入。那台机器没有光驱，我用 PXE 启动到 WinPE，挂载虚拟磁盘才把补丁塞进去。离线补漏洞从来不是优雅的事，它更像修一辆没有零件的旧车——你得先找到能用的螺丝，再想办法拧上去。