| 要保留什么 | 命令输出、抓包、配置快照、日志片段、时间戳 |
|---|---|
| 工具 | script、tee、tcpdump -w、journalctl --since |
| 原则 | 先留证据，再做修复 |
会话录制与输出留存（Linux）
会话录制与输出留存（Linux）
script -t 2> /tmp/ts.log -a /tmp/session.txt # 录制整个终端会话
ip route | tee -a /tmp/evidence.log
journalctl --since '30 min ago' -u nginx > /tmp/nginx.30min.log
tcpdump -i any -nn -w /tmp/trace.pcap 'host 10.0.0.5 and port 443'配置快照
配置快照
tar czf /tmp/etc-snapshot.tgz -C / etc/nginx etc/sysconfig etc/sysctl.conf 2>/dev/null; echo done抓包文件可能含业务数据与凭据（如 HTTP 明文口令），留存与传递要走内部安全流程。