0x00 背景

記錄一些常用的入侵排查命令和日常運維思路分享。(排名不分先后，逐步更新ing)

0x01 linux 查詢所有用戶計劃任務

cat /etc/passwd|cut -f 1 -d : |xargs -I {} crontab -l -u {}

0x02 排查linux記錄密碼后門

strace 監聽ssh來源流量記錄密碼后門(本機輸入的密碼記錄不到)，需要提前安裝 strace  

(strace -f -F -p `ps aux|grep "sshd -D"|grep -v grep|awk {'print $2'}` -t -e trace=read,write -s 32 2> /tmp/sshd.log &)

grep -E 'read\(6, ".+\\0\\0\\0\\.+"' /tmp/sshd.log   (正確錯誤的密碼都會記錄)

排查的時候可以排查strace進程著手。

0x03 查詢windows 安全組成員變化

windows終端事件日志監控指南 - 代碼先鋒網

通用組、全局組、本地域組的區別

用戶已添加到特權組 4728, 4732, 4756 Information windows 安全日志 windows 安全審核

<