查看零碎的异样文件

查看敏感目录，如/tmp目录下的文件，同时留神暗藏文件夹，以.为名的文件夹具备暗藏属性
> ls -al
查找1天以内被拜访过的文件
> find /opt -iname "*" -atime 1 -type f
-iname不辨别大小写,-atime最近一次被拜访的工夫,-type文件类型

查看历史命令

查看被入侵后,在零碎上执行过哪些命令,应用root用户登录零碎，查看/home目录下的用户主目录的.bash_history文件

默认状况下，零碎能够保留1000条的历史命令，并不记录命令执行的工夫，依据须要进行平安加固。

设置保留1万条命令

> sed -i 's/HISTSIZE=1000/HISTSIZE=10000/g' /etc/profile
history加固
> vim /etc/profile USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`if [ "$USER_IP"=="" ]then   USER_IP=`hostname`fiexport HISTTIMEFORMAT="%F %T $USER_IP `whoami`"#为避免会话退出时笼罩其余会话写到HISTFILE的内容shopt -s histappendexport PROMPT_COMMAND="history -a"//配置失效> source /etc/profile
PROMPT_COMMAND是什么
PS1-PS4介绍了一些用于提示信息管制的环境变量，而在此之前能够进行回调的一个环境变量就是PROMPT_COMMAND，这个环境变量中设定的内容将在交互式脚本的提醒(PS1)呈现之前被执行。

查看系统日志

在Linux上个别跟零碎相干的日志默认都会放到/var/log上面，若是一旦呈现问题，用户就能够通过查看日志来迅速定位，及时解决问题。罕用日志文件如下：

/var/log/btmp

记录谬误登录日志,这个文件是二进制文件,不能用vi间接查看,能够用lastb看

/var/log/lastlog

记录零碎中所有用户最初一次胜利登录零碎的工夫,这是一个二进制文件,不能用vi查看,能够用lastlog查看

/var/log/wtmp

永恒记录所有用户的登录、登记信息，同时记录零碎的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能间接vi，而须要应用last命令来查看。

/var/log/utmp

记录以后曾经登录的用户信息，这个文件会随着用户的登录和登记一直变动，只记录以后登录用户的信息。同样这个文件不能间接vi，而要应用w,who,users等命令来查问。

/var/log/secure

记录验证和受权方面的信息，只有波及账号和明码的程序都会记录，比方SSH登录，su切换用户，sudo受权，甚至增加用户和批改用户明码都会记录在这个日志文件中

查找登录零碎失败的20个账号

> lastb | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 20

定位有多少IP在爆破主机的root帐号

> grep "Failed password for root" /var/log/secure | sort | uniq -c | sort -nr | more

查看所有重启日志信息

> last reboot

查看零碎失常的运行工夫

> uptime -s

查看哪些IP在爆破

> grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c

查看哪些IP登录胜利了

> grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登录胜利的日期,用户名,IP

> gerp "Accepted" /var/log/secure | awk '{print $1,$2,$3,$9,$11}'

原文链接:https://rumenz.com/rumenbiji/...
微信公众号:入门小站