为什么要记录会话状态
处置前要记录在线会话、打开的终端窗口与异常弹窗（勒索信、钓鱼窗口）：这些现场状态一旦关机或注销就无法还原，日志也覆盖不到。在勒索事件里，弹窗与勒索信原文常常是家族判定与时间点认定的关键材料。
基本信息
| Linux 命令 | who -a、w、loginctl list-sessions、last |
|---|---|
| Windows 命令 | quser、query session |
| 记录内容 | 会话用户、来源地址、登录时间、窗口标题 |
| 记录形式 | 终端输出留档，配合屏幕截图或录屏 |
| 执行时机 | 任何处置动作之前 |
| 区分场景 | 远程会话与本地会话要分开记录 |
典型使用场景
- 处置前快速固定现场状态
- 勒索事件中记录弹窗与勒索信原文
- 判断是否还有攻击者会话在线
- 交接班时把当前会话情况写进案件记录
- 分析登录来源与登录时间是否异常
- 恢复完成后与恢复前的会话状态做对比
- 配合时间线核对，确认某个登录时刻与文件改动时刻是否吻合
Linux 会话状态留档
Linux 会话状态留档
who -a > /evidence/sessions.txt # 全部会话与运行级别信息
w -i >> /evidence/sessions.txt # 在线用户与来源地址
loginctl list-sessions >> /evidence/sessions.txt 2>/dev/null # systemd 会话列表
last -ai | head -n 20 >> /evidence/sessions.txt # 最近登录记录
ls -la /evidence/sessions.txt; sha256sum /evidence/sessions.txt # 留档并固定哈希会话查询命令读法
| 命令 | 平台 | 输出要点 |
|---|---|---|
| who -a | Linux | 会话、运行级别、最后一次启动时间 |
| w -i | Linux | 在线用户、来源地址、正在执行的命令 |
| loginctl list-sessions | Linux | systemd 会话与座位信息 |
| quser | Windows | 会话列表与状态 |
| query session | Windows | 会话明细与 ID |
屏幕记录对勒索信与钓鱼窗口尤其重要：文字日志里不会有窗口内容，而这些内容直接影响家族判定与时间点确认。
不要直接注销可疑会话：现场状态与窗口内容会一并消失，先完成记录，再决定是否切断。
记录时把主机时间与时区一起写上：会话时间与日志时间若不在同一时区口径下，后续拼时间线会出现整小时的错位。