应急响应-Linux常用应急溯源命令

Linux常用应急溯源命令

常用命令

1、账号相关命令

1、查询特权用户特权用户(uid 为0):awk -F: ‘$3==0{print $1}’ /etc/passwd

2、查询可以远程登录的帐号信息:awk ‘/$1|$6/{print $1}’ /etc/shadow

2、程序相关命令

1、查看当前开放端口netstat -tnlp

2、查看当前系统上运行的所有进程ps -ef

3、查看进程ps aux | grep pid

4、查看cpu占用率前十的进程ps aux --sort=pcpu | head -10

在这里插入图片描述

3、日志相关命令

1、日志默认存放位置:/var/log/

2、查看日志配置:more /etc/rsyslog.conf
日志文件

说明

/var/log/cron

记录了系统定时任务相关的日志

/var/log/cups

记录打印信息的日志

/var/log/dmesg

记录了系统在开机时内核自检的信息,也可以使用dmesg命令直接查看内核自检信息

/var/log/mailog

记录邮件信息

/var/log/message

记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息,如果系统出现问题时,首先要检查的就应该是这个日志文件

/var/log/btmp

记录错误登录日志,这个文件是二进制文件,不能直接vi查看,而要使用lastb命令查看

/var/log/lastlog

记录系统中所有用户最后一次登录时间的日志,这个文件是二进制文件,不能直接vi,而要使用lastlog命令查看

/var/log/wtmp

永久记录所有用户的登录、注销信息,同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件,不能直接vi,而需要使用last命令来查看

/var/log/utmp

记录当前已经登录的用户信息,这个文件会随着用户的登录和注销不断变化,只记录当前登录用户的信息。同样这个文件不能直接vi,而要使用w,who,users等命令来查询

/var/log/secure

记录验证和授权方面的信息,只要涉及账号和密码的程序都会记录,比如SSH登录,su切换用户,sudo授权,甚至添加用户和修改用户密码都会记录在这个日志文件中

查看系统的成功登录、关机、重启等: /var/log/wtmp
查看登陆失败的用户日志: /var/log/btmp
查看所有用户登陆日志: /var/log/lastlog
查看谁在使用某个端口:lsof -i :5001
查看内部对外的网络连接:lsof -nPi

3.1 定位爆破root帐号来源IP

#grep “Failed password for root” /var/log/secure | awk ‘{print $11}’ | sort | uniq -c | sort -nr | more

#定位有哪些IP在爆破:
grep “Failed password” /var/log/secure|grep -E -o “(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?).(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)”|uniq -c

#爆破用户名字典是什么?
grep “Failed password” /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; prin

3.2 查询登录成功的IP

#last命令,它会读取位于/var/log/wtmp的文件,并把该文件记录的登录系统的用户名单。
#grep "Accepted " /var/log/secure | awk ‘{print $11}’ | sort | uniq -c | sort -nr | more

3.3 查询增加用户日志

登录成功的日期、用户名、IP:
grep "Accepted " /var/log/secure | awk ‘{print $1,$2,$3,$9,$11}’
grep “useradd” /var/log/secure

3.4 查询删除用户日志

grep “userdel” /var/log/secure

3.5 查询su切换用户记录

sudo -l

4、定时任务

1、排查以下文件:

/var/spool/cron/、/etc/crontab、/etc/cron.d/、/etc/cron.daily/、/etc/cron.hourly/、/etc/cron.monthly/、/etc/cron.weekly/、/etc/anacrontab、/var/spool/anacron/

2、查看目录下所有文件:more /etc/cron.daily/*

5、文本相关

5.1grep查找前后数据

显示1.txt文件里匹配ffuck字串那行以及上下5行:grep -C 5 fuck 1.txt
显示foo及前5行:grep -B 5 fuck 1.txt
显示foo及后5行:grep -A 5 fuck 1.txt

5.2显示文件几行

从第100行开始,显示200行,显示100~299行:cat shell.php | tail -n +100 | head -n 200

6、其他相关

6.1查看最近改动的各类脚本文件和其他文件

查找24小时内被修改的JSP文件:find ./ -mtime 0 -name “.jsp"和find ./ -mtime 0 -name ".php”
查看密码文件上一次修改的时间(最近改动):stat /etc/passwd
查看除无法登录以外的用户,有无新增:cat /etc/passwd | grep -v nologin
查看哪些用户为root权限,有无新增:cat /etc/passwd | grep x:0
查看哪些用户使用shell:cat /etc/passwd | grep /bin/bash

6.2域名hosts

vim /etc/hosts

  • 1
    点赞
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

炫彩@之星

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值