应急响应篇-Linux 基本排查

系统信息

命令行中输入lscpu查看CPU相关信息

输入uname -a查看系统版本信息

或者输入cat /proc/version也可查询系统版本信息

输入lsmod查看系统已载入的模块

用户信息

命令行输入cat /etc/passwd可查看所有用户

输入cat /etc/passwd | grep '/bin/bash' 可查看可登录用户

输入awk -F: '{if($3==0)print $1}' /etc/passwd可查看超级权限用户

输入lastb可查看用户登录错误的信息

输入lastlog可查看所有用户最后的登录信息

输入last可查看用户最近登录信息

输入who可查看当前用户登录信息

输入awk -F: 'lengrh($2)==0 {print $1}' /etc/shadow可查看空口令账户

启动项

cat /etc/init.d/rc.local：这个命令用于查看 /etc/init.d/rc.local 文件的内容，ubuntu18.04后不再适用；
cat /etc/rc.local：这个命令用于查看 /etc/rc.local 文件的内容，较新版本中也被禁用；
ls -alt /etc/init.d：这个命令用于列出 /etc/init.d 目录下的所有文件和目录，以及它们的详细信息。

任务计划

可使用crontab命令查看当前用户的任务计划语法为crontab -l
也可使用 -u指定用户，如crontab -u root -l即可显示root用户的任务计划

也可检查/etc目录下的任务计划
使用ls /etc/cron*即可查看/etc目录下的所有计划任务