上一篇 红队视角下Linux信息收集 我们谈到红队是以提权和后渗透为主要目的而进行的信息收集，本次谈一谈在蓝队应急响应中Linux系统下比较关键的内容。
参考： https://www.jianshu.com/p/db2f3dd162f1
本文主要介绍Linux日志分析的技巧，更多详细信息请访问Github地址，欢迎Star。
这条命令的作用是将标准输出1重定向到/dev/null中。 /dev/null代表linux的空设备文件，所有往这个文件里面写入的内容都会丢失，俗称“黑洞”。那么执行了>/dev/null之后，标准输出就会不再存在，没有任何地方能够找到输出的内容。
Web访问日志记录了Web服务器接收处理请求及运行时错误等各种原始信息。通过对WEB日志进行的安全分析，不仅可以帮助我们定位攻击者，还可以帮助我们还原攻击路径，找到网站存在的安全漏洞并进行修复。
Windows Server 2003 iis 6日志路径：C:\Windows\System32\LogFiles
/var/log/auth.log、/var/log/secure记录验证和授权方面的信息，只要涉及账号和密码的程序都会记录，比如SSH登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中
当Linux主机发生安全事件需要进行入侵排查时，一般可以使用常见的shell命令，通过分析主机的异常现象、进程端口、启动方式、可疑文件和日志记录等信息以确认主机是否被入侵。
Windows 系统日志是记录系统中硬件、软件和系统问题的信息，同时还可以监视系统中发生的事件。用户可以通过它来检查错误发生的原因，或者寻找受到攻击时攻击者留下的痕迹。
Linux不同的用户，有不同的操作权限，但是所有用户都会在/etc/passwd /etc/shadow /etc/group /etc/group- 文件中记录；
在前两个星期,我负责的一个小型企业网站遭受到了攻击,导致网站非常的卡，正常用户无法访问；初步判断是CC攻击; 这样的攻击防御起来还是比较简单的；后来服务器又受到了攻击，服务器卡的完全链接不上去；这个时候才知道我当时服务器的安防是有多脆弱!
原文链接:https://rumenz.com/rumenbiji/linux-hacking-2.html
对于零基础转行或者打算找一份初级测试的工作同学来说，linux属于必学必会内容，而且面试必问。
Nginx 日志对于大部分人来说是个未被发掘的宝藏，总结之前做某日志分析系统的经验，和大家分享一下 Nginx 日志的纯手工分析方式。 Nginx 日志相关配置有 2 个地方：access_log 和 log_format 。 默认的格式： access_log /data/logs/nginx-access.log; log_format old '$remote_addr [$time_local] $status $request_time $body_bytes_sent ' '"$request"
在linux中这个文件是 用于记录错误的登录尝试 文件过大往往存在被人暴力破解登录
本文为joshua317原创文章,转载请注明：转载自joshua317博客 https://www.joshua317.com/article/291
检查最近创建的php、jsp文件和上传目录 例如要查找24小时内被修改的JSP文件：
最近遇到一个流量异常调用的接口，所以需要通过后台日志查看接口调用情况，先统计今天内接口的调用次数，再具体到对应的设备号，就知道哪台设备有问题了，初步想到wc和awk命令来筛选统计，但是真正去写的时候，发现很多写法都不太记得了，所以花了点时间去查手册，找资料，现在整理成博客，方便以后需要就马上统计出来，也分享出来，希望可以帮助需要的人
汪国真在《热爱生命》这首诗中写到：既然选择了远方，便只顾风雨兼程。技术上还是持续精进和学习，远方虽远，要迈开脚步，一步步抵达远方的目标。
awk是一个非常强大的文本文件处理应用程序，几乎所有 Linux 系统都自带这个程序。awk其实不仅仅是工具软件，还是一种编程语言。它依次处理文件的每一行，并读取里面的每一个字段。对于日志、CSV 那样的每行具有格式相同的文本文件，awk可能是最方便的工具。使用awk可以打印出自己想要的信息。
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/haluoluo211/article/details/77800208
简单来说awk就是把文件逐行的读入，以空格为默认分隔符将每行切片，切开的部分再进行各种分析处理。
程序开发者常常要分析程序日志，包括自己打印的日志及使用的其他软件打印的日志，如php,nginx日志等，linux环境下分析日志有一些内置命令能够使用，如grep,sort,uniq,awk等，当中最强大的是awk，是作为一门小巧的文本处理语言存在的，但由于它是一门语言，功能强大，但在命令行下使用并不那么方便，由于awk是面向计算而不是面向统计的。awk能够定义变量，能够进行计算，命令行下就是一个包括隐式for循环的语言。
stat命令一般用于查看文件的状态信息。stat命令的输出信息比ls命令的输出信息要更详 细。
如果你的Linux服务器突然负载暴增，告警短信快发爆你的手机，如何在最短时间内找出Linux性能问题所在？
开发web的人员知道，我们经常需要查看nginx的服务器来统计来访者的记录。而awk教官可以很方便帮我们处理好存放在日志中的士兵，可以帮助我们选出最高的士兵，可以帮助我们选出经常出操的士兵，可以帮我们选出哪些士兵经常在一起。
前段时间公司发生了一起服务器入侵事件，在此分享给大家也顺便理顺下linux入侵应急响应思路。
前言 在运维的坑里摸爬滚打好几年了，我还记得我刚开始的时候，我只会使用一些简单的命令，写脚本的时候，也是要多简单有多简单，所以有时候写出来的脚本又长又臭。 像一些高级点的命令，比如说 Xargs 命令、管道命令、自动应答命令等，如果当初我要是知道，那我也可能写出简洁高效的脚本。 不管出于任何原因，我都想对一些 Linux 使用的高级命令进行用法说明，利人利己，以后不记得的话，我也可以回头翻来看看。 一、实用的 xargs 命令 在平时的使用中，我认为 xargs 这个命令还是较为重要和方便的。我们可以通
很多时候，我们观察程序是否如期运行，或者是否有错误，最直接的方式就是看运行日志，当然要想从日志快速查到我们想要的信息，前提是程序打印的日志要精炼、精准。 但日志涵盖的信息远不止于此，比如对于 nginx 的 access.log 日志，我们可以根据日志信息分析用户行为。 什么用户行为呢？比如分析出哪个页面访问次数（PV）最多，访问人数（UV）最多，以及哪天访问量最多，哪个请求访问最多等等。 这次，将用一个大概几万条记录的 nginx 日志文件作为案例，一起来看看如何分析出「用户信息」。 ---- 别急着开
格式：函数必须要放在最前面，function 后是函数的名字，并且 function 这个单词是可以省略掉的，花括号{} 里面为具体的命令
检查系统的异常文件 查看敏感目录，如/tmp目录下的文件，同时注意隐藏文件夹，以.为名的文件夹具有隐藏属性 > ls -al 查找1天以内被访问过的文件 > find /opt -iname "*" -atime 1 -type f -iname不区分大小写,-atime最近一次被访问的时间,-type文件类型 检查历史命令 查看被入侵后,在系统上执行过哪些命令,使用root用户登录系统，检查/home目录下的用户主目录的.bash_history文件 默认情况下，系统可以保存1000条的历史命令，并不
split命令：可以将一个大文件分割成很多个小文件，有时需要将文件分割成更小的片段，比如为提高可读性，生成日志等。
整理下自己之前做的应急响应相关的碎片笔记，太多了，没办法全部列出来，先整理一些常用的。
简单说一下，我们为什么会推出关于HW防守的文章，目前关于该行动，会发现越来越多的厂商需求该行动的人员具备分析溯源的能力了。
Linux作为许多服务器和网络环境的核心，具备高度的灵活性和强大的功能。本指南旨在深入介绍Linux系统中常用的命令和日志文件，帮助安全运维人员更有效地管理和保护Linux环境。
那么多代码里不可能我们一点点去找后门，另外，即使最好的Webshell查杀软件也不可能完全检测出来所有的后门，这个时候我们可以通过检测文件的完整性来寻找代码中隐藏的后门。
Linux 替换文件内容 sed命令下批量替换文件内容 格式: sed -i “s/查找字段/替换字段/g” grep 查找字段 -rl 路径 文件名 -i 表示inplace edit，就地修改文件 -r 表示搜索子目录 -l 表示输出匹配的文件名 s表示替换，d表示删除 示例：sed -i “s/shan/hua/g” lishan.txt 把当前目录下lishan.txt里的shan都替换为hua
作为运维工程师来说，最怕遇到服务器崩了、内存爆了、CPU满了等情况，尤其对于生产环境来说影响是非常巨大的。对于运维工程师来说可能面临被“炒鱿鱼”的风险。那么遇到这种情况怎么办呢，首先是要沉着冷静，然后按照下面的Shell命令来排查服务器本身的问题。
整理了一些常用的web日志分析及Linux网络连接状态等shell命令，建议收藏！！！
记录一些在攻击溯源中常用到的溯源命令，持续更新： linux主机层溯源常用命令： scp远程上传： scp my_local_file.zip root@192.168.1.104:/usr/local/nginx/html/webs scp远程下载： scp root@192.168.1.104:/usr/local/nginx/html/webs/about.zip . 查看root用户历史操作命令： history 查看当前用户与他运行的进程信息 w 查看当前登录的用户，默认输出用户名，终端类
netstat 命令用于显示各种网络相关信息，如网络连接, 路由表, 接口状态等等; 列出所有处于监听状态的tcp端口:
在没有专业日志分析系统的情况下，我们有时需要对日志进行简单的分析，下面列出一些常用的shell命令分析日志的方法，一定要收藏
应急响应分为四个阶段：前期沟通，事件处理，事件分析，报告交付，前期沟通主要是和客户交流事件情况，了解是什么安全事件，客户是否做了处理，如果做了处理，做了那些处理。了解相关情况后后，下一步，就是帮助客户止血，即处理安全事件，减轻客户损失。服务器恢复正常后，进行事件分析，通过排查日志还原攻击者的入侵轨迹，最后一步就是整理报告。
7、查看 2015 年 8 月 16 日 14 时这一个小时内有多少 IP 访问:
更多请参考：Linux sed 命令在新窗口打开 或者 Linux sed命令详解在新窗口打开
在排查服务器的时候，黑客没有在线，可以使用last命令排查黑客什么时间登录的有的黑客登录时，会将/var/log/wtmp文件删除或者清空，这样我们就无法使用last命令获得有用的信息了。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
