应急响应排查常用命令

linux：

1.端口检查
主要用于排查服务器开了哪些端口，并且和哪些IP建立连接
查看所有TCP链接：
netstat -tnlpa
查看UDP链接：
netstat -unlpa

2.启动项、定时任务检查
/etc/rc.local
crontab -l

3.进程检查
查看当前运行的进程，包括可执行文件路径、PID/PPID
ps -ef
ps -aux
ps aux | grep pid

4.日志检查
所有用户登录日志
last | grep pts | grep -vw :0
登录成功
more /var/log/secure* | grep “Accepted password”
登录失败
more /var/log/secure* | grep “Failed password”
所有用户最后一次登录记录
lastlog
登录失败尝试
lastb
本机登录情况
more /var/log/secure* | grep -E "sshd:session.session opened"
新增用户
more /var/log/secure | grep “new user”

5.查找文件
find / -name zkCli.sh
find / -name “test”
//根目录开始递归地搜索文件和文件夹，并输出所有包含"zk"的文件和文件夹的路径。通配符用于匹配任意字符序列<