有用的Linux命令做一些在受损的Linuxnetworking服务器取证

dd 。 拍摄受感染机器的图像，然后擦拭并重新开始。 你不能相信你的主人告诉你什么。

一旦你说了磁盘映像，问题就是'你想完成什么'？ 如果这是证据/合法的话，那么你将必须非常小心，并且可能在你开始之前想要咨询法律专业人士。

如果只是为了弄清楚发生了什么事情，那么我就从下面开始：

• find（寻找“奇怪的”权限，特别是setuid）。
• 在通用位置查看二进制文件（例如searchpath）。 md5sum，并根据源validation签名。
• 日志文件 – 查找日志中的“奇怪”条目，特别是进程崩溃等。 分割故障对于缓冲区溢出漏洞是一个很大的警钟。

但是在一天结束的时候，系统的一个很好的妥协真的很难完全回溯。 日志将被“整理”，时间戳更正。 唯一可靠的来源是远离主机监控，例如远程系统日志服务器，防火墙或入侵检测系统……但是如果事先没有提供，这些事情就太迟了。