Linux 取证135 条

known_hosts 出站连接线索

用户目录中的 known_hosts 记录本机曾主动连接过的 SSH 主机，是被控主机视角下的横向活动线索之一。

文件	~/.ssh/known_hosts
形态	明文主机名或哈希化条目

查看

wc -l /root/.ssh/known_hosts 2>/dev/null
cut -d' ' -f1 /root/.ssh/known_hosts 2>/dev/null | head -20

HashKnownHosts 默认开启时条目为哈希，无法直接读出主机名，只能统计数量。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌