Linux 取证135 条

全盘搜索授权密钥文件

权限持久化可能藏在不常用的家目录与服务目录：全盘搜索 authorized_keys 与公钥文件可发现被忽略的入口。

命令	find / -xdev -name authorized_keys
扩展	同时搜索 id_*.pub 与 .ssh 目录

搜索

find / -xdev \( -name authorized_keys -o -name 'id_*.pub' \) 2>/dev/null | head -30
find / -xdev -type d -name .ssh 2>/dev/null | head

对每份 authorized_keys 计算哈希并记录条数与注释，便于后续对比。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌