【Linux系列】应急响应 · 备忘录

这些命令和文件可以帮助你快速定位问题、查找可疑文件、监控进程等。

请注意，这些命令可能需要root权限才能执行。

1. 查找72小时内新增的文件：

find / -ctime -2

2. 查找24小时内被修改的JSP文件：

find ./ -mtime 0 -name "*.jsp"

3. 根据确定时间去反推变更的文件：

ls -al /tmp | grep "Feb 27"

4. 查找777权限的文件：

find / *.jsp -perm 4777

5. 隐藏文件.xxx：

ls -la | grep "\.xxx"

6. 分析sshd 文件是否包括IP信息：

strings /usr/bin/.sshd | egrep '[1-9]{1,3}.[1-9]{1,3}.'

7. 更改：

find /etc/ /usr/bin/ /usr/sbin/ /bin/ /usr/local/bin/ -type f -mtime 0

8. 访问：

find /tmp -iname "*" -atime 1 -type f

9. 命令目录：

/usr/bin /usr/sbin

10. 日志：

/var/log/wtmp
/var/log/lastlog
/var/log/messages
/var/log/auth.log
/var/log/cron.log
/var/log/xferlog(vsftpd.log)
/var/log/maillog
/var/log/userlog
/var/log/cron
/var/log/secure

11. 查看爆破失败的IP：

grep 'Failed' /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr

12. 查看登录成功的IP：

grep "Accepted " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

13. 监控最后400行日志文件的变化：

tail -400f demo.log

14. 标记该行重复的数量，不重复值为1：

uniq -c demo.log

15. 输出文件demo.log中查找所有包行ERROR的行的数量：

grep -c 'ERROR' demo.log

16. 查看登录成功的日期、用户名及IP：

grep "Accepted " /var/log/secure* | awk '{print $1,$2,$3,$9,$11}'

17. 查看试图爆破主机的IP：

grep "refused" /var/log/secure* | awk {'print $9'} | sort | uniq -c |sort -nr | more

18. 查看爆破主机的ROOT账号的IP：

grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort

19. 查看爆破用户名字典：

grep "Failed password" /var/log/secure | awk {'print $9'} | sort | uniq -c | sort -nr

20. 查看用户列表：

cat /etc/passwd