Linux 取证135 条

bash 历史命令取证

~/.bash_history 保存交互式命令，默认在会话结束时写入，采集要趁早；核对时间戳、缺失段落与写入痕迹可判断是否被清理。

文件	~/.bash_history（root 在 /root/.bash_history）
要点	会话结束时写入，运行中会话的命令可能尚未落盘

浏览与统计

tail -100 /root/.bash_history
wc -l /home/*/.bash_history 2>/dev/null

采集前不要执行 history -c 或反复执行可疑命令，避免覆盖原始文件。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌