1、history
(1)使用history查看历史命令,分析攻击者使用过何命令
history
(2)但攻击者也能回使用history -c 清除掉历史命令
history -c
(3)使用cat查看cat /root/.bash_history 文件也可以查看到历史使用命令
cat /root/.bash_history
2、查看passwd账户信息
(1)使用cat 命令查看/etc/passwd文件
cat /etc/passwd
(2)passwd文件是存储了linux系统上的所有用户信息,以root用户信息为例讲解
root是用户名
X是密码位,真正的密码存储在shadow文件中
第一个零是用户的ID,0表示超级用户 1是表示普通用户
第二个是组ID,0超级用户组,1表示普通用户组
注释
/root是用户的主目录
/bin/bash是允许shell登录
/sbin/nologin 不允许登录
(3)使用awk命令快速检查是否存在root用户以外的超级用户
awk -F: '{if($3==0)print $1}' /etc/passwd
$3是对应/etc/passwd文件里的第三列的用户ID是否等于0,如果等于0就输出第一列的内容,第一列也就是用户名,可快速检索是否有其他用户是id=0的。