Linux 取证135 条

ELF 文件鉴定与安全提取方式

对可疑二进制先做非侵入式鉴定：file 判断类型、readelf 读头部与依赖、strings 提取线索；对不可信样本用 readelf 替代 ldd。

命令	file、readelf -h / -d、strings -a
注意	ldd 会触发加载逻辑，样本分析时不推荐

鉴定

file /tmp/suspicious.bin
readelf -h /tmp/suspicious.bin | head -20
strings -a /tmp/suspicious.bin | grep -E 'http|/tmp|base64' | head

在隔离环境或只读副本上操作，避免直接执行未知程序。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌