linux应急响应查询黑客注入手段-CSDN博客

本文链接：https://blog.csdn.net/2302_77519243/article/details/142595691

可以查看攻击者的行为，推断干了什么

在这里插入图片描述

哎，黑客不会这么直接让你看的，history -d 就可以把该历史命令删除了。

以及history -c 都可以删除当前终端的历史命令

这样删除还可以找回，跟windows回收站差不多，没有删干净

上面说了，这种方法只影响当前会话中的历史记录，对存储在.bash_history文件中的历史记录没有影响。

.bash_history文件的路径通常是/home/username/.bash_history

直接cat文件就行了

永久删除历史命令，需要修改.bash_history文件或直接修改shell的配置文件（如.bashrc）来禁用历史记录功能。
打开.bash_history文件并删除所有内容
修改.bashrc文件，通过添加unset HISTFILE（取消历史记录文件的设置）或设置HISTSIZE=0和HISTFILESIZE=0（禁用历史记录功能）来防止未来命令被记录。之后，需要重新加载.bashrc文件（使用source ~/.bashrc命令）或重新登录shell会话以使更改生效。

这种情况就不能看历史命令了，只能看看日志什么的

在做应急的时候发现，ps ls 等命令用不了怎么办？

which指令会在环境变量$PATH设置的目录里查找符合条件的文件

查看有没有这个环境，可能被删了

在这里插入图片描述

ls -l 路径

看看你的权限够不够用该命令

-rwxr-xr-x：这是文件的权限。第一个字符（-）表示这是一个普通文件（不是目录、字符设备、块设备等）。接下来的九个字符分为三组，每组三个字符，分别代表文件所有者（user）、所属组（group）和其他人（others）的权限。r代表读权限，w代表写权限，x代表执行权限。在这个例子中，文件所有者有读、写和执行权限（rwx），所属组有读和执行权限（r-x），其他人也有读和执行权限（r-x）。
1：这是文件的硬链接数。对于/usr/bin/ps这样的可执行文件，通常只有一个硬链接（即文件名本身）。
root root：这表示文件的所有者是root用户，所属组也是root。
150456：这是-s选项显示的内容，表示文件占用的块大小，以1024字节为单位。因此，/usr/bin/ps文件占用了大约150456 * 1024 = 154,083,840字节（约147MB）的磁盘空间。
Jan 28 2024：这是文件的最后修改时间，格式为月日年份。
/usr/bin/ps：这是文件的路径和名称。