## 1、取证工具

- LiME 内存获取工具
- volatility 内存分析工具

## 2、机器信息收集

#sysinfo  16

# # 查看当前登录用户
who > who.txt
# # 显示目前登入系统的用户信息
w > w.txt
# # 显示时间
date > date.txt
# # 查看CPU信息
cat /proc/cpuinfo > cpuinfo.txt
# # 查询系统版本
lsb_release -a > lsb_release.txt
# # 当前系统相关信息(内核版本号、硬件架构、主机名称和操作系统类型等)
uname -a > uname.txt
# # Linux查看当前操作系统版本信息
cat /proc/version >  version.txt
# # 以批处理模式显示进程信息，更新1次后不再更新
top -b -n 1 > top.txt
# # 查看系统负载
uptime > uptime.txt
# # MB显示当前内存的使用
free -m > free_m.txt
# # 文件系统的磁盘空间占用情况
df -lhT > df_lhT.txt
# #  显示分区类型
fdisk -l > fdisk_l.txt
# # 挂载设备情况
mount > mount.txt
# # 显示系统中已存在的环境变量
env > env.txt
# # 查看自定义环境变量
cat ~/.bashrc > bashrc.txt
# # 读取内核信息
cat /proc/meminfo > meminfo.txt

#account check  7

# # 系统用户信息
cat /etc/passwd > etc_passwd.txt
# # 密文信息
cat /etc/shadow > etc_shadow.txt
# # 查看用户文件状态
stat /etc/passwd > etc_passwd_stat.txt
stat /etc/shadow > etc_shadow_stat.txt
# # 查看特权用户
awk -F: '$3==0 {print $1}' /etc/passwd > etc_passwd_special_usr.txt
grep “0” /etc/passwd > etc_passwd_new_user.txt
awk -F: 'length($2)==0 {print $1}' /etc/shadow > etc_shadow_no_password_user.txt

#process check  4
# # 全格式显示所有进程
ps -elf > ps_elf.txt
# # 显示所有进程，包括其他用户 
ps aux > ps_aux.txt
ps -ef | grep inted  >  ps_inted.txt
ls /proc |sort -n|uniq > proc.txt

#file check 11
# # 根据uid、执行权限来查找
find / -uid 0 -perm -4000 > uid0_perm4000.txt
# # 根据文件大小
find / -size +10000k > size10000.txt
find / -name "..." > 3point_name_file.txt
find / -name ".. " > 2point_name_file.txt
find / -name ". " > 1point_name_file.txt
find / -name " " > blankspace_name_file.txt
# # 查看隐藏文件
find / -name ".*" > hide_file.txt
find / -name "*" > all_file.txt
find / -name ".rhosts" > rhosts.txt
find / -name ".forward" > forward.txt
# # 列出当前系统打开文件
lsof > lsof.txt

#integrity check 5
# # 查询指定文件来自于哪个安装包
rpm -qf /bin/ls > rpm_ls.txt
rpm -Vf /bin/ls >> rpm_ls.txt
rpm -qf /bin/netstat > rpm_netstat.txt
rpm -Vf /bin/netstat >> rpm_netstat.txt
rpm -qf /bin/login > rpm_login.txt
rpm -Vf /bin/login >> rpm_login.txt
rpm -qf /bin/find > rpm_find.txt
rpm -Vf /bin/find >> rpm_find.txt
rpm -qf /usr/bin/top > rpm_top.txt
rpm -Vf /usr/bin/top >> rpm_top.txt


#network check 6
# # 查看路由表条目
ip link | grep PROMISC > ip_promisc.txt
# # 显示所有联网文件
lsof -i > lsof_i.txt
# # 显示TCP、UDP传输协议、Socket程序名称
netstat -ntulpa >  netstat_ntulpa.txt
# # 显示正在使用Socket的程序
netstat -anpo > netstat_anpo.txt
# # 显示arp缓冲区的所有条目
arp -a > arp_a.txt
# # 显示全部接口信息
ifconfig -a > ifconfig_a.txt

#schedule check 5
# # 显示root的crontab文件内容
crontab -l -u root > root_crontab.txt
crontab -l -u coremail > coremail_crontab.txt
# # 计划任务
cat /etc/crontab > etc_crontab.txt
# # 列出计划任务的脚本
ls /etc/cron.* -a > etc_cron.txt
# # 查看定时任务
ls /var/spool/cron/ -a > var_spool_cron.txt

#rc check 4
# # 启动项顺序
cat /etc/rc.d/rc.local > rc_local.txt
# # 该目录下存在各个运行级别的脚本文件
ls /etc/rc.d -a > rc_d.txt
ls /etc/rc*.d -a > rcV_d.txt
# # 搜索执行权限4000的普通类型文件
find / -type f -perm 4000 > type_f_perm_4000.txt

#log check 11
# # 日志进程
ps -ef | grep syslog > syslog.txt
# # 列出日志目录
ls -al /var/log > var_log.txt
# # 列出日志目录状态
stat /var/log/wtmp > stat_wtmp.txt
stat /var/run/utmp > stat_utmp.txt
cat /var/run/utmp > utmp.txt
cat /etc/rsyslog.conf > rsyslog_conf.txt
cat /etc/init.d/rsyslog > rsyslog.txt
# # 列出登入系统失败的用户相关信息
lastb > lastb.txt
# # :列出目前与过去登入系统的用户相关信息
last > last.txt
# # Shell历史命令记录文件
cat ~/.bash_history > history.txt
ls -l ~/.bash_history > bash_history.txt

#inetd sheck 1
# # 扩展互联网服务守护进程配置
cat /etc/xinetd.conf > xinetd_config.txt

#kernel check 2
# # 加载的模块信息
lsmod > lsmod.txt
find / -name core -exec ls -l {} \; > core_file.txt

#service check 2
# # 查看开机启动服务
chkconfig --list > chkconfig_lists.txt
# # 查看本地rpc进程
rpcinfo -p > rpcinfo.txt

#files get 5
# # 打包守护进程文件
tar -zcvf xinetd.tar.gz /etc/xinetd.d/*
# # 打包日志文件
tar -zcvf log.tar.gz /var/log/*
# # 打包自启动脚本
tar -zcvf rcd.tar.gz /etc/rc.d/* 
# # 打包计划任务
tar -zcvf cron.tar.gz /etc/cron.*
tar -zcvf at.tar.gz /var/spool/at/*