【目录】

1. 合规使用声明

2. 模块一：系统实时状态取证

3. 模块二：日志分析与溯源

4. 模块三：文件与磁盘取证

5. 模块四：内存取证

6. 模块五：网络流量取证

7. 模块六：恶意软件分析

8. 模块七：实战应急响应全流程

9. 常用一键取证脚本

---

1. 合规使用声明

本手册仅用于合法授权应急响应、企业安全事件处置、电子取证教学研究。

严禁未经授权对任何设备、数据、网络进行取证、分析、篡改，违者承担相应法律责任。

---

模块一：系统实时状态取证

1.1 ps

- 命令：ps

- 作用：查看当前进程信息，排查异常进程

- 示例：ps aux

1.2 netstat

- 命令：netstat

- 作用：查看网络连接、端口占用

- 示例：netstat -antp

1.3 lsof

- 命令：lsof

- 作用：列出打开文件/端口对应的进程

- 示例：lsof -i :4444

1.4 w

- 命令：w

- 作用：查看当前登录用户与操作行为

- 示例：w

---

模块二：日志分析与溯源

2.1 grep

- 命令：grep

- 作用：快速过滤日志关键内容

- 示例：grep "Failed password" /var/log/auth.log

2.2 last

- 命令：last

- 作用：查看登录历史、重启记录

- 示例：last -x

2.3 lastb

- 命令：lastb

- 作用：查看失败登录记录

- 示例：lastb

2.4 journalctl

- 命令：journalctl

- 作用：查看 systemd 系统日志

- 示例：journalctl -xe | grep ssh

---

模块三：文件与磁盘取证

3.1 md5sum / sha256sum

- 命令：md5sum

- 作用：计算文件哈希，校验完整性

- 示例：md5sum file.exe

3.2 strings

- 命令：strings

- 作用：提取文件中可打印字符串

- 示例：strings malware.bin

3.3 find

- 命令：find

- 作用：查找可疑文件、后门脚本

- 示例：find / -name "*.sh" -mtime -1

3.4 dd

- 命令：dd

- 作用：磁盘镜像完整备份

- 示例：dd if=/dev/sda of=image.dd

---

模块四：内存取证

4.1 volatility3

- 命令：volatility3

- 作用：内存镜像深度分析

- 示例：vol -f mem.raw windows.pslist

4.2 bulk_extractor

- 命令：bulk_extractor

- 作用：从内存/镜像中提取邮箱、URL、密码等特征

- 示例：bulk_extractor -o out mem.raw

4.3 memdump

- 命令：memdump

- 作用：导出系统内存镜像

- 示例：memdump > memdump.bin

---

模块五：网络流量取证

5.1 tcpdump

- 命令：tcpdump

- 作用：实时抓包、流量留存

- 示例：tcpdump -i eth0 -w traffic.pcap

5.2 wireshark / tshark

- 命令：tshark

- 作用：命令行流量分析

- 示例：tshark -r traffic.pcap -T fields -e ip.src

5.3 ngrep

- 命令：ngrep

- 作用：按关键词过滤流量

- 示例：ngrep -d eth0 "password"

---

模块六：恶意软件分析

6.1 clamscan

- 命令：clamscan

- 作用：病毒/恶意软件扫描

- 示例：clamscan -r /home

6.2 chkrootkit

- 命令：chkrootkit

- 作用：检测 rootkit 后门

- 示例：chkrootkit

6.3 rkhunter

- 命令：rkhunter

- 作用：系统后门、漏洞检测

- 示例：rkhunter --check

---

模块七：实战应急响应全流程

流程1：Linux 入侵排查全流程

1. 实时状态：ps aux、netstat -antp

2. 登录溯源：last、lastb

3. 日志分析：grep "ssh" /var/log/auth.log

4. 文件取证：find / -mtime -1、md5sum

5. 内存分析：memdump + volatility

6. 流量留存：tcpdump -w traffic.pcap

流程2：Windows 应急简易流程

1. 进程查看：tasklist

2. 网络连接：netstat -ano

3. 日志导出：wevtutil

4. 内存镜像：获取 mem.raw

5. 哈希校验：sha256sum

6. 恶意软件扫描：clamscan

---

常用一键取证脚本

一键系统状态取证

ps aux > process.log && netstat -antp > net.log && last > login.log

一键抓包10分钟

tcpdump -i eth0 -w traffic.pcap -G 600 -W 1

一键查找最近24小时修改文件

find / -mtime -1 -type f > recent_file.log

一键内存字符串提取

bulk_extractor -o out_dir memdump.bin

点击下方链接，学习Kali与编程最全课

https://b23.tv/LK8FUcEhttps://b23.tv/LK8FUcE