这些命令和文件可以帮助你快速定位问题、查找可疑文件、监控进程等。
请注意,这些命令可能需要root权限才能执行。
- 查找72小时内新增的文件:
find / -ctime -2
- 查找24小时内被修改的JSP文件:
find ./ -mtime 0 -name "*.jsp"
- 根据确定时间去反推变更的文件:
ls -al /tmp | grep "Feb 27"
- 查找777权限的文件:
find / *.jsp -perm 4777
- 隐藏文件.xxx:
ls -la | grep "\.xxx"
- 分析sshd 文件是否包括IP信息:
strings /usr/bin/.sshd | egrep '[1-9]{1,3}.[1-9]{1,3}.'
- 更改:
find /etc/ /usr/bin/ /usr/sbin/ /bin/ /usr/local/bin/ -type f -mtime 0
- 访问:
find /tmp -iname "*" -atime 1 -type f
- 命令目录:
/usr/bin /usr/sbin
- 日志:
/var/log/wtmp
/var/log/lastlog
/var/log/messages
/var/log/auth.log
/var/log/cron.log
/var/log/xferlog(vsftpd.log)
/var/log/maillog
/var/log/userlog
/var/log/cron
/var/log/secure
- 查看爆破失败的IP:
grep 'Failed' /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr
- 查看登录成功的IP:
grep "Accepted " /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr
- 监控最后400行日志文件的变化:
tail -400f demo.log
- 标记该行重复的数量,不重复值为1:
uniq -c demo.log
- 输出文件demo.log中查找所有包行ERROR的行的数量:
grep -c 'ERROR' demo.log
- 查看登录成功的日期、用户名及IP:
grep "Accepted " /var/log/secure* | awk '{print $1,$2,$3,$9,$11}'
- 查看试图爆破主机的IP:
grep "refused" /var/log/secure* | awk {'print $9'} | sort | uniq -c |sort -nr | more
- 查看爆破主机的ROOT账号的IP:
grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort
- 查看爆破用户名字典:
grep "Failed password" /var/log/secure | awk {'print $9'} | sort | uniq -c | sort -nr
- 查看用户列表:
cat /etc/passwd
标签:sort,grep,log,print,备忘录,awk,Linux,var,应急
From: https://www.cnblogs.com/o-O-oO/p/18366399