Linux 取证135 条

SSH 私钥与公钥一致性核对

用 ssh-keygen -y 从私钥导出公钥并与 .pub 比对，可确认私钥是否被替换；密钥文件权限异常宽松也是重要信号。

命令	ssh-keygen -y -f <私钥>、stat -c '%a'
基线	私钥 600、目录 700

核对

ssh-keygen -y -f ~/.ssh/id_ed25519 2>/dev/null | diff - <(cut -d' ' -f1,2 ~/.ssh/id_ed25519.pub)
stat -c '%a %n' ~/.ssh/* 2>/dev/null

不要在不受控环境执行导出，输出内容等同公钥，但仍属敏感材料。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌