| 会话 | w/who/last 对照陌生 IP 与时间 |
|---|---|
| 账号 | passwd/shadow 新增条目、sudoers 变更 |
| 密钥 | authorized_keys 新增行，尤其带 command= |
| 自启 | cron、systemd、profile/.bashrc |
核查会话、密钥与自启
核查会话、密钥与自启
w -i; last -n 20 | head
grep -RIn 'command=' /root/.ssh /home/*/.ssh 2>/dev/null | head
crontab -l 2>/dev/null; ls -la /etc/cron.d/ /var/spool/cron/* 2>/dev/null清理账号前先把其目录与命令历史打包留存：删掉后就再看不到它做过什么。