Linux应急响应排查

查看历史命令

查看历史命令，基本了解命令执行情况，就可以仔细分析并判断攻击者的行为，使用语法：

history

cat ~/.bash_history

查看资源占用情况

通过查看内存、CPU使用情况，定位出不正常的程序，使用语法：

top

PID ：进程ID

USER ：用户名

PR ：优先级

NI ：负值表示高优先级，正值表示低优先级。

VIRT ：虚拟内存

RES ： 真实内存

SHR ：共享内存

S ：进程状态 D=不可中断的睡眠状态； R=运行； S=睡眠 ；T=跟踪/停止； Z=僵尸进程

按1后，再输入shitf+p  以cpu占用排序

按shift+m 以内存占用排序

按q退出

free

另外我们也可以使用free来查看，使用语法：

整体情况内存查看

 Mem行 ：   total = used  + free    其中buffers和cached虽然计算在used内， 但其实为可用内存。

Swap：内存交换区的使用情况。

ps

查看当前进程的状态

用法

ps -e  ：显示所有进程

ps aux：显示所有进程的详细状态。

ps aux --sort=-%cpu：