侵入調査と思考（1） - ログ解析
ログ分析の デフォルトのログ・パス： / VAR / ログ ・ビュー・ログの設定：詳細は/ etc / rsyslog.conf 重要なログ： ：記録ログイン失敗 / VAR / /ログインBTMP 最終ログイン： / VAR /ログ/ lastlogの 成功のログインレコード： / VAR / /ログのwtmp ログインのログを： / VAR /ログ/ セキュア ログ解析、一般的に使用されるコマンド： はgrep -rn " ！こんにちは、世界" CATのINPUT_FILE |尾-n + 1000年 | -nヘッド2000（ディスプレイ1000- 2999本のライン） 検索の/ etc -nameのinit＃ディレクトリに/ などのinitファイル検索 のsed -i ' 153、$ dを' の.bash_history＃は歴史的な運転レコードを削除し、最初の153行のみが維持 grepする -C 5 のfooに一致するfooというファイル＃ショーのファイルのファイルを5行と縦の列は、 ブラストどのように多くのIPホストrootアカウントに位置している のgrepを「rootの失敗パスワードを」 / VAR /セキュア/ログイン| awkは「{} 11プリント$。」ソート-NR | | |並び替え| uniqは-C ほかの ブラストユーザー辞書名 grepの" 失敗したパスワード" / VAR /セキュア/ログイン| perlの-e 「しばらく（$ _ = <>）{/ /からのため、印刷（。*？） " N- \ $ 1 " ;}' | UNIQ -c | - NRソート ログインが成功したIP grepの" 受け入れられた" / VAR /セキュア/ログイン| awkは' {$ 11}印刷" |並び替え| uniqは-c |ソート-nr | ほかの ログインに成功日時、ユーザ名、IP： grepを" 受け入れられた" / VAR / /セキュアログイン| awkのが' {。。。。$印刷1、$ 2、$ 3 $ 9 $ 11} ' ソフトウェアのアップグレードインストール、アンインストールログ： 詳細 / VARの /log/yum.log
侵入調査と思考（2） - アカウントのセキュリティ
ユーザー情報ファイル：の/ etc / passwdの shadowファイル：の/ etc / シャドウは 、現在ログインしているユーザーを表示するにはWHOの＃（TTYローカルログインは、リモートログインPTS） 、＃ビューシステム情報wの時にユーザの行動を知りたいです
侵入調査：
クエリ特権ユーザ（uidが0）：awkの-F： '$ 3 == 0 {$ 1印刷}' / etc / passwdファイル
のアカウント情報のお問い合わせは、リモートでログインすることができます：awkの「/ \ $ 1 | \ $ -6 /は{$ 1印刷します}「/ etc / passwdファイル
の余分な不審なアカウントを無効にするか削除します。
usermodの-Lユーザ＃無効に口座番号がログインできません
userdelの-rをユーザ＃ユーザーは、ユーザーを削除し、ホームディレクトリ/の下に、ユーザディレクトリが削除されます
侵入調査と思考（3） - Historyコマンド
rootコマンド履歴：歴史 歴史コマンドの別のアカウント： / それぞれのホームディレクトリの下の.bash_historyアカウント 歴史的な操作コマンドclear：歴史 - Cの 侵入調査を： ユーザディレクトリに： CATのの.bash_history >> HISTORY.TXT
侵入捜査やアイデア（4） - ポート＆プロセス＆ブートエントリ
異常ポート： 不審なポートのコマンドのnetstatネットワーク接続、分析を使用して、IP、PID netstatの -antlp | ほかの 異常プロセス： プロセスを分析するためにpsコマンドを使用して、 psのは、AUXは | はgrepのPIDを 使用netsetとpsコマンドは、grepコマンドで柔軟することができ情報へのアクセス は、netstat -anp | grepを- 私聞く lsofを - I：プロセスとポート間のポート番号の対応 PS -auxビュープロセス情報（PS - 見つけやすいEFシェルをバウンスするために、） ブートエントリチェック： initdefaultの：VIをの/ etc / inittabの ブートコンフィギュレーションファイル：の/ etc / rc.localに 侵襲的な調査： 開始エントリのファイル： 詳細は/etc/rc.local /etc/rc.d/rc [ 0〜6 ] 2.D LS -lの/ etc / rc.dの/ rc3.d / タイマータスク crontabの - Lは、ユーザのcronサービスの詳細一覧表示 のcrontabを - Rのユーザーcrontタスク（すべてのスケジュールされたタスクを削除）削除 のcrontab - 現在のcrontabファイルを編集するエディタを使用してEを 悪意のあるスクリプトの次のディレクトリに焦点を： / VAR /スプール/ cronを/ * は/ etc / crontabの /etc/cron.d/* /etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/* /etc/cron.weekly/ の/ etc / anacrontab は/ var /スプール/ anacronの/ * より/etc/cron.daily/*番号ですべてのファイルのディレクトリの表示 システムのサービス 開始からサービスを： 追加の/ etc、/etc/re.d/rc.localファイルを変更/ init.dディレクトリ/ httpdの起動 RPMパッケージのインストールサービスを照会する： スタートからのchkconfig --list＃クエリサービスの状態を、あなたはすべてのRPMパッケージがインストールされているサービスを見ることができます PSの補助を|現在のサービスを表示するにはgrepのcrondの＃ レベル3の下で、システムをして5スタートアップ項目 中国の環境 のchkconfig --list | grepを"3：スタート\ | 5：スタート" 英語環境 のchkconfig --list | grepを"3：上の \ | 5：オン" ：クエリーソースパッケージのインストールサービス ビューのサービスのインストール場所、通常では/ユーザー/ローカル/ 検索があるかどうかを確認/etc/rc.d/init.d/の 異常がファイル などで、心の中で隠しフォルダをベアリング/ tmpディレクトリ内のファイル、などの機密ディレクトリを表示するには、「..」ファイルの名前です。隠し属性のフォルダ ウェブシェル、リモコントロイの木馬を作成することが分かっ時間を取得し、同時にファイルを見つける作成し 、検索/ opt以外の-inameを「*」-atime 1型＃F / optに見つけたファイルは、前日に訪れた 不審なためファイルは、STATの修正時刻を使用して作成することができます