1.入侵者可能會刪除機器的日志信息

可以查看日志信息是否還存在或者是否被清空，相關命令示例：

2.入侵者可能創(chuàng)建一個新的存放用戶名及密碼文件

可以查看/etc/passwd及/etc/shadow文件，相關命令示例：

3.入侵者可能修改用戶名及密碼文件

可以查看/etc/passwd及/etc/shadow文件內容進行鑒別，相關命令示例：

4.查看機器最近成功登陸的事件和最后一次不成功的登陸事

對應日志“/var/log/lastlog”，相關命令示例：

5.查看機器當前登錄的全部用戶

對應日志文件“/var/run/utmp”，相關命令示例：

6.查看機器創(chuàng)建以來登陸過的用戶

對應日志文件“/var/log/wtmp”，相關命令示例：

7.查看機器所有用戶的連接時間（小時）

對應日志文件“/var/log/wtmp”，相關命令示例：

8.如果發(fā)現(xiàn)機器產生了異常流量

可以使用命令“tcpdump”抓取網絡包查看流量情況或者使用工具”iperf”查看流量情況。

9.可以查看/var/log/secure日志文件

嘗試發(fā)現(xiàn)入侵者的信息，相關命令示例：

10.查詢異常進程所對應的執(zhí)行腳本文件

a.top命令查看異常進程對應的PID

b.在虛擬文件系統(tǒng)目錄查找該進程的可執(zhí)行文件

11.如果確認機器已被入侵，重要文件已被刪除，可以嘗試找回被刪除的文件

a. 查看/var/log/secure文件，發(fā)現(xiàn)已經沒有該文件

b. 使用lsof命令查看當前是否有進程打開/var/log/secure，

c. 從上面的信息可以看到 PID 1264（rsyslogd）打開文件的文件描述符為4。同時還可以看到/var/log/ secure已經標記為被刪除了。因此我們可以在/proc/1264/fd/4（fd下的每個以數(shù)字命名的文件表示進程對應的文件描述符）中查看相應的信息，如下：