Linux 取证135 条

Agent 转发与密钥借用痕迹

开启 agent 转发后，登录跳板机会话可借用本地私钥完成再跳转；一旦跳板机被控，攻击者即可借用同一密钥横向。

客户端	ssh -A / ForwardAgent yes
服务端	AllowAgentForwarding（默认 yes）

痕迹

ps -eo pid,user,args | grep '[s]sh -' | head
ls -la /tmp/ssh-* 2>/dev/null | head

审查 authorized_keys 里带 restrict 或 no-agent-forwarding 的条目可确认是否做过加固。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌