应急响应linux 2

入侵排查

一、账号安全

1、用户信息文件 /etc/passwd

[root@localhost log]# more /etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
halt:x:7:0:halt:/sbin:/sbin/halt
mail:x:8:12:mail:/var/spool/mail:/sbin/nologin
..........

2、用户密码信息 /etc/shadow

[root@localhost log]# more /etc/shadow
root:$6$j6cN.441p2YJMt0A$hgGTvO3TyiSXBWDRGC624Ya6no5lPnZG.VMi6Hyjxik1s8PBI8/fos7UmIp8nSWcPHuq.7wrPSMNsUkZyhEn6.::0:99999:7:::
bin:*:18353:0:99999:7:::
sync:*:18353:0:99999:7:::
shutdown:*:18353:0:99999:7:::
........

二、历史命令

home/账号/ ls -a 显示隐藏文件 

more 查看

[root@localhost kali]# more .bash_
.bash_history  .bash_logout   .bash_profile  
[root@localhost kali]# more .bash_history 
sudo su
sudo su
ifconfig 
reb
reboot 
 

三、端口

netstat -antlp|more 查看端口 ip 进程 信息 

查看指定进程信息 及目录信息

root@localhost kali]# ps 1198
   PID TTY      STAT   TIME COMMAND
  1198 ?        Ss     0:00 /usr/sbin/sshd -D
[root@localhost kali]# 

四、系统日志

默认位置 /var/log

 cron 记录了系统定时任务相关的日志

message 记录系统只要信息的日志 

 lastlog 记录系统中用户最后一次登录时间 直接使用命令 不用参数

 secure  记录验证和授权方面的信息 ssh登录 sudo授权 添加用户密码 等等操作、、、、