Linux 取证135 条

zsh 扩展历史解析

zsh 开启 EXTENDED_HISTORY 后，历史条目形如 : 起始时间:耗时;命令，直接携带时间与执行时长，解析后可进时间线。

文件	~/.zsh_history
条目格式	: 起始秒:耗时;命令

解析

grep '^: ' ~/.zsh_history | head
awk -F'[:;]' '/^: /{print $3, $4}' ~/.zsh_history | head

sudo 或 root 的 zsh 历史在各自家目录，别只看普通用户。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌