| Linux | who -a / w / loginctl list-sessions |
|---|---|
| Windows | quser / query session |
| 记录内容 | 会话用户、来源 IP、登录时间、窗口标题 |
| 形式 | 终端输出留档加屏幕记录 |
Linux 会话状态留档
Linux 会话状态留档
who -a > /evidence/sessions.txt
w -i >> /evidence/sessions.txt
loginctl list-sessions >> /evidence/sessions.txt 2>/dev/null
last -ai | head -n 20 >> /evidence/sessions.txtWindows 查询会话
Windows 查询会话
quser
query session /counter
Get-Process | Where-Object {$_.MainWindowTitle} | Select-Object Id,ProcessName,MainWindowTitle勒索事件中弹窗与勒索信原文是家族判定与时间点认定的关键，先记录再关闭。