| 位置 | 各用户 ~/.bash_history 等 |
|---|---|
| 反取证迹象 | 文件为空、软链到 /dev/null、mtime 很新 |
| 增强 | 带时间戳的历史需 HISTTIMEFORMAT |
| 交叉 | zsh_history、.python_history 同理 |
全盘定位并检查历史文件
全盘定位并检查历史文件
find / -xdev -name '.bash_history' -ls 2>/dev/null | head -n 20
ls -la /root/.bash_history /home/*/.bash_history 2>/dev/null
tail -n 50 /root/.bash_history历史被清空本身就是高价值信号：结合登录时间与 shell 活动交叉印证。