| 主线 1 | 连接：ss -antp 找外联与监听 |
|---|---|
| 主线 2 | 进程：ps 与 /proc 画像 |
| 主线 3 | 持久化：cron/systemd/启动项 |
| 收尾 | 账号与日志回到时间线 |
按主线顺序执行
按主线顺序执行
ss -antp state established | grep -v '127.0.0.1' # 1 外联
ss -lntp # 2 监听面
ps -eo pid,ppid,lstart,pcpu,cmd --sort=-lstart | head -n 15 # 3 最新启动
systemctl list-timers --all | head -n 15 # 4 定时器外联是攻击者最难隐藏的痕迹：进程名可以伪装，但到 C2 的连接必然出现。