【Linux基础】基础取证命令集合

NUIST数字取证中心

已于 2022-12-15 19:57:55 修改

阅读量949

点赞数

文章标签： linux 服务器运维

于 2022-12-15 19:54:46 首次发布

本文链接：https://blog.csdn.net/m0_73923817/article/details/128334474

版权

一、history命令

（一）基础操作

history是系统内建命令，查看帮助方法如下：

显示或操纵历史列表。
    
    带行号显示历史列表，将每个被修改的条目加上前缀 `*'。
    参数 N 会仅列出最后的 N 个条目。
    
    选项：
      -c	删除所有条目从而清空历史列表。
      -d 偏移量	从指定位置删除历史列表。
    
      -a	将当前绘画的历史行追加到历史文件中
      -n	从历史文件中读取所有未被读取的行
      -r	读取历史文件并将内容追加到历史列表中
    	中
      -w	将当前历史写入到历史文件中
    	并追加到历史列表中
    
      -p	对每一个 ARG 参数展开历史并显示结果
    	而不存储到历史列表中
      -s	以单条记录追加 ARG 到历史列表中
    
    如果给定了 FILENAME 文件名，则它将被作为历史文件。否则
    如果 $HISTFILE 变量有值的话使用之，不然使用 ~/.bash_history 文件。
    
    如果 $HISTTIMEFORMAT 变量被设定并且不为空，它的值会被用于
    strftime(3) 的格式字符串来打印与每一个显示的历史条目想关联的时
    间戳，否则不打印时间戳。
    
    退出状态：
    返回成功，除非使用了无效的选项或者发生错误。

1. 显示最近5条命令历史

histroy 5

2. 执行第N条命令

!N

执行第999条命令

3.执行倒数第N条命令

4. 重复执行上一条命令

!!

（二）存储位置

1.~/.bash_history

每个用户家目录中都有一个隐藏文件，.bash_history ,历史命令最终都存放在此文件中。我们先使用history命令查看，可以看到当前登录后的一些命令历史，但是我们查看.bash_history却没有发现当前登录后的历史命令，这是因为本次登录后执行的命令历史存放在内存中，当我们退出本次会话，本次会话的命令历史才会从内存写入到.bash_history文件中，使用-a参数可以不退出当前会话，即可将内存中的历史命令追加到历史文件中。由此也可见，命令历史会在登陆后从历史文件中被加载到内存中，可以理解为有两个地方存放。

2./etc/profile

此文件中配置了history命令的相关变量，在此文件中配置的history命令的变量全局生效。

3.~/.bash_profile

如果在此文件中重复配置/etc/profile中配置过的history的相关变量，那么以此文件中的配置为准，此文件中的命令历史相关配置只对当对应用户有效。

注：etc目录下的profile文件是每一个用户登录时,操作系统首先执行的文件,然后再将控制权交给用户主目录下的.profile文件

Linux是一个多用户的操作系统。每个用户登录系统后，都会有一个专用的运行环境。通常每个用户默认的环境都是相同的，这个默认环境实际上就是一组环境变量的定义。用户可以对自己的运行环境进行定制，其方法就是修改相应的系统环境变量。
常在/etc/profile文件中修改环境变量，在这里修改的内容是对所有用户起作用的。以下主要操作将在该文件中进行。
如何添加环境变量。

例如添加”NAME=zhangsan“ 。在profile文件的最后添加如下内容export NAME=zhangsan
变量值zhangsan可以加引号也可以不加，效果一样。

在profile文件添加或修改的内容需要注销系统才能生效。
使用env命令显示所有的环境变量。在命令提示符下键入env就行了。

set命令显示所有本地定义的Shell变量。

常见的环境变量

PATH：决定了shell将到哪些目录中寻找命令或程序
HOME：当前用户主目录
MAIL：是指当前用户的邮件存放目录。
SHELL：是指当前用户用的是哪种Shell。
HISTSIZE：是指保存历史命令记录的条数。
LOGNAME：是指当前用户的登录名。
HOSTNAME：是指主机的名称，许多应用程序如果要用到主机名的话，通常是从这个环境变量中来取得的。
LANG/LANGUGE：是和语言相关的环境变量，使用多种语言的用户可以修改此环境变量。
PS1：是基本提示符，对于root用户是#，对于普通用户是$。
PS2：是附属提示符，默认是“>”。可以通过修改此环境变量来修改当前的命令符，比如下列命令会将提示符修改成字符串“Hello,My NewPrompt :) ”。
# PS1=” Hello,My NewPrompt :) “

使用修改.bashrc文件（在用户的家目录下）进行环境变量的编辑，只对当前用户有用。使用修改 /etc/profile 文件进行环境变量的编辑，是对所有用户有用。大家一定要注意区别。
Linux profile文件在系统启动时将被运行。大家可以在里面加入其他命令，但是一定要加正确，不然的话系统会启动不起来的。

（三）补：搜索历史命令

ctrl+r来在命令历史中搜索命令
Ctrl+g：从历史搜索模式退出

二、CUT命令

cut的工作就是“剪”，具体的说就是在文件中负责剪切数据用的。cut 命令从文件的每一行剪切字节、字符和字段并将这些字节、字符和字段输出。

cut [选项参数]  filename

选项与参数：

-d：分隔符，按照指定分隔符分割列。与 -f 一起使用

-f：依据 -d 的分隔字符将一段信息分割成为数段，用 -f 取出第几段的意思（列号，提取第几列）

-c：以字符 (characters) 的单位取出固定字符区间

-b：以字节为单位进行分割

举例：读取所有用户名/组名

cut -d: -f1 /etc/passwd
cut -d: -f1 /etc/group

三、iptables命令

（一）iptables概述

iptables 是集成在 Linux 内核中的包过滤防火墙系统。使用 iptables 可以添加、删除具体的过滤规则，iptables 默认维护着 4 个表和 5 个链，所有的防火墙策略规则都被分别写入这些表与链中。

“四表”是指 iptables 的功能，默认的 iptable s规则表有 filter 表（过滤规则表）、nat 表（地址转换规则表）、mangle（修改数据标记位规则表）、raw（跟踪数据表规则表）：

    filter 表：控制数据包是否允许进出及转发，可以控制的链路有 INPUT、FORWARD 和 OUTPUT。
    nat 表：控制数据包中地址转换，可以控制的链路有 PREROUTING、INPUT、OUTPUT 和 POSTROUTING。
    mangle：修改数据包中的原数据，可以控制的链路有 PREROUTING、INPUT、OUTPUT、FORWARD 和 POSTROUTING。
    raw：控制 nat 表中连接追踪机制的启用状况，可以控制的链路有 PREROUTING、OUTPUT。

“五链”是指内核中控制网络的 NetFilter 定义的 5 个规则链。每个规则表中包含多个数据链：INPUT（入站数据过滤）、OUTPUT（出站数据过滤）、FORWARD（转发数据过滤）、PREROUTING（路由前过滤）和POSTROUTING（路由后过滤），防火墙规则需要写入到这些具体的数据链中。

（二）iptables概述

iptables语法格式

iptables 命令的基本语法格式如下：

 iptables [-t table] COMMAND [chain] CRETIRIA -j ACTION

各参数的含义为：

    -t：指定需要维护的防火墙规则表 filter、nat、mangle或raw。在不使用 -t 时则默认使用 filter 表。
    COMMAND：子命令，定义对规则的管理。
    chain：指明链表。
    CRETIRIA：匹配参数。
    ACTION：触发动作。

iptables 命令常用的选项及各自的功能如下所示：

选项	功能
-A	添加防火墙规则
-D	删除防火墙规则
-I	插入防火墙规则
-F	清空防火墙规则
-L	列出添加防火墙规则
-R	替换防火墙规则
-Z	清空防火墙数据表统计信息
-P	设置链默认规则