Linux 取证135 条

临时目录可执行文件排查

/tmp、/var/tmp、/dev/shm 常被用于落地与执行载荷；按权限位与时间窗过滤可快速清点可疑文件。

目录	/tmp、/var/tmp、/dev/shm
过滤	-perm -u+x 与 -newermt 时间窗

清点

find /tmp /var/tmp /dev/shm -xdev -type f -perm -u+x -ls 2>/dev/null | head -20
find /dev/shm -xdev -type f -newermt '-3 days' 2>/dev/null

多数发行版对 /tmp 有清理策略，文件是否留存取决于 tmpfiles.d 配置。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌