Linux应急中常用命令

1. pwdx {pid} 提供进程的 当前工作目录，即进程正在操作的目录。它显示的是进程的运行时工作目录，而不是启动时的可执行文件路径。等同于ls -al /proc//cwd
2. ps -aux 和 top 都是用来查看 Linux 系统中进程的命令，但它们的功能、输出格式和使用场景有所不同。ps -aux 用于一次性列出当前系统上所有用户的所有进程的快照。它显示进程的静态信息，并在命令执行时输出一次结果。top 命令是一个动态的进程查看工具，提供实时更新的系统状态，包括 CPU、内存、进程的使用情况等。top 默认每隔 3 秒刷新一次，并显示进程的动态变化。
3. ls -al /proc//exe：提供进程的 可执行文件路径，即告诉你进程是通过哪个程序启动的。它显示的是进程启动时使用的可执行文件路径。
4. systemctl status{pid} 查看进程详细信息
5. vim /etc/crontab 查看计划任务
6. sed -i -r ‘/.work/work32/d’ path 匹配包含.work/work32的行并删除,d表示删除，可以对path文件进行内容匹配删除操作
7. crontab -l：列出当前用户的定时任务
   vim /etc/crontab：编辑系统级别的 cron 配置文件，涉及到为所有用户设置定时任务。通常需要管理员权限。
   crontab -l：列出当前用户的定时任务，适用于查看用户级别的 cron 配置。普通用户可以使用该命令查看自己的定时任务。
8. vim /etc/rc.d/rc.local 查自动启动项目
9. systemctl list-unit-files --type=service | grep enabled 查看开机自启动服务
10. find path -name “.jsp” | xargs grep “exec(” 排查webshell这里是jsp的
    在 Linux 命令中，| 被称为 管道符（Pipe），它的作用是将前一个命令的输出作为输入传递给后一个命令
    xargs 是一个命令，用来将输入的每一行数据（在这里是文件路径）作为参数传递给后面的命令。如果输出的文件路径只有一行则可以不需要xargs
11. 查看是否存在恶意用户cat /etc/passwd
12. 删除恶意用户 userdel x
13. stat file 确定恶意文件植入时间
14. last 查看登陆系统成功的ip
15. lsattr（查看文件属性）
    作用：lsattr 命令用于列出文件或目录的属性。这些属性控制文件的行为，例如是否可以修改、删除等。它主要用于查看文件的特殊属性。
    使用场景：管理员可以使用 lsattr 来检查系统中的关键文件或目录的属性，确保它们的安全性。
    常用示例：
    lsattr filename：查看指定文件的属性。
    lsattr -d /path/to/directory：查看目录的属性。
    lsattr -R /path/to/directory：递归查看目录及其子目录中的所有文件属性。
    输出示例

----i-------- /path/to/file

其中的 i 表示该文件是不可修改的（immutable）

14. chattr（修改文件属性）
    作用：chattr 命令用于改变文件或目录的属性。通过修改这些属性，管理员可以限制文件的修改方式，比如设置文件为不可修改或只能追加写入。
    使用场景：常用于增强文件系统的安全性，例如防止日志文件被篡改，确保关键系统文件的安全。
    常用示例：

chattr +i filename：设置文件为不可修改（immutable），文件无法被删除、重命名或修改。 chattr -i
filename：取消文件的不可修改属性。 chattr +a
filename：将文件设置为追加写模式（append-only），只能追加内容，不能覆盖。 chattr +A
filename：设置文件访问时间不被更新。 chattr +S filename：设置文件在修改时同步更新到磁盘。

常用属性：
i：不可修改（immutable），文件无法被删除、修改或重命名。 a：追加模式（append-only），文件只能以追加的方式写入。
A：文件访问时间不会被更新。 S：修改时同步更新数据到磁盘。