| 线索 1 | /etc/passwd、/etc/shadow 修改时间 |
|---|---|
| 线索 2 | /home 下新出现的目录 |
| 线索 3 | lastlog 中从未登录的新账号 |
| 确认 | 结合日志中 useradd 痕迹 |
时间线索交叉排查
时间线索交叉排查
ls -l --time-style=long-iso /etc/passwd /etc/shadow /etc/group
ls -lt /home /root | head -n 20
lastlog | grep -v 'Never logged in' | head
grep -i 'useradd' /var/log/auth.log 2>/dev/null | tail -n 20账号可能是先建后用的：建立时间与首次使用时间要分开记录。