| 历史 | 各用户 .bash_history、.zsh_history |
|---|---|
| 配置 | /etc/passwd、shadow、crontab、ssh 目录 |
| 临时 | /tmp、/dev/shm、/var/tmp 残留 |
| 运行 | ps 快照、/proc 挂载、lsof 输出 |
收集历史与配置
收集历史与配置
cp -a /root/.bash_history /home/*/.bash_history /evidence/history/ 2>/dev/null
tar -zcf /evidence/etc.tgz /etc/passwd /etc/shadow /etc/crontab /etc/cron.d /etc/ssh 2>/dev/null
ls -la /tmp /dev/shm /var/tmp | head -n 40shadow 含口令散列：按敏感证据管理，导出后限制访问并对输出脱敏。