| w | 会话、负载与正在执行的命令 |
|---|---|
| who -a | 含 PID 与运行级别的全量会话 |
| loginctl | 会话类型（tty/ssh）与远端地址 |
| 关注 | 非常规来源 IP、多余会话 |
三个命令交叉核查
三个命令交叉核查
w -i
who -a
loginctl list-sessions
loginctl show-session 42 | grep -E 'Remote|Service|State' | head发现可疑在线会话：先记录来源 IP 与登录时间，再按预案处理；踢出前留存证据。
本包目录（168 条）
应急流程与准备24 条进程与连接排查25 条
账号与后门排查23 条
- SSH 授权公钥全盘排查
- 登录历史 last 与 lastb 与 lastlog 三件套
- 检查 /etc/passwd 中的 UID 0 账号
- Shell 历史排查（bash_history 取证）
- sudoers 提权配置排查
- sshd_config 后门与降险配置检查
- 按时间定位可疑 Web 文件
- Webshell 特征关键字扫描
- Windows 本地账号排查（net user 与 Get-LocalUser）
- 检查 /etc/shadow 空口令与锁定状态
- SUID 与 SGID 文件排查
- 排查近期新增账号与家目录
- 当前在线会话核查（w 与 who 与 loginctl）
- Windows 管理员组成员核查
- 公钥指纹比对与注释识别
- 可疑账号处置：先禁用后删除
- PAM 后门检查（pam_unix 模块被替换）
- 不可变属性（chattr +i）与删不掉的文件
- HISTFILE 与命令历史隐藏手法
- Linux capabilities 提权点排查
- 检查 ~/.ssh/rc 与 sshrc 登录钩子
- 检查 /etc/skel 模板注入
- 用 getent 检查跨库账号一致性
当前在线会话核查（w 与 who 与 loginctl）
先确认现在还有谁连着：正在线的未知会话意味着攻击者还没走，处置顺序必须先断其通道再清理。
易错点
- 只看 who 不看 w：w 最后一列显示对方正在跑什么
- 把 idle 时间当唯一依据：可以伪造活跃假象
数据来源与参考
- procps-ng w(1) 与 who(1) 手册
- loginctl(1) 手册