1. 网络安全从业者的Linux命令兵器库十五年前我刚入行网络安全时师傅扔给我一张写着20条Linux命令的皱纸条说把这些吃透了你就能在服务器上自由行走。如今这张纸条早已泛黄但上面那些命令依然活跃在我的日常工作中。不同于普通的Linux命令手册网络安全场景下的命令使用往往带着攻击者思维和防御者视角的双重特性。举个例子普通管理员用netstat查看端口时可能只关心服务是否正常运行而安全工程师会特别关注ESTABLISHED状态的异常连接就像侦探查看监控录像时会特别留意那些刻意躲避摄像头的可疑人员。下面这些经过实战淬炼的命令组合不仅能帮你快速构建安全防线更能让你用黑客的视角审视系统漏洞。2. 网络侦查与嗅探工具集2.1 网络状态诊断三件套# 显示所有TCP连接及其进程信息root权限可见PID netstat -antp | grep -v 127.0.0.1 # 现代Linux系统替代方案显示更详细的连接状态 ss -tulnp | awk NR1 || !/127.0.0.1/ # 查看实时网络流量按流量排序 nethogs -d 1 eth0这三个命令构成的铁三角能帮你快速发现异常连接。去年处理某次挖矿病毒事件时正是nethogs显示的异常/tmp/.X25-unix进程流量锁定了攻击入口。特别注意netstat在某些新系统上已被标记为废弃但它在老版本环境排查时仍是不可替代的。实战技巧结合watch命令实现动态监控watch -n 1 ss -antp | grep ESTAB | grep -v 127.0.0.12.2 数据包捕获与分析# 精简版抓包只显示HTTP主机头 tcpdump -i eth0 -nn tcp port 80 -A | grep Host: # 完整流量记录保存为Wireshark可读格式 tcpdump -i any -w /tmp/traffic.pcap -C 100 -W 10 # 高级过滤抓取指定网段的DNS查询 tcpdump -i eth0 udp port 53 and net 192.168.1.0/24 -vv在分析某次DNS隧道攻击时我通过tcpdump发现.xyz域名的异常查询频率最终追踪到内网某台被控主机。建议搭配tsharkWireshark命令行版进行深度解析tshark -r traffic.pcap -Y http.request.method POST -T fields -e ip.src -e http.host -e http.request.uri3. 系统安全审计命令组3.1 用户与权限审查# 检查具有sudo权限的非标准用户 grep -Po ^sudo.:\K.*$ /etc/group | tr , \n | grep -v root\|admin # 查找SUID特权文件按修改时间排序 find / -perm -4000 -type f -exec ls -lh {} 2/dev/null | sort -k6,6M去年某次渗透测试中正是通过find / -perm -4000发现了一个被篡改的/usr/bin/vim攻击者通过恶意SUID程序维持权限。建议定期对比系统关键文件的哈希值# 生成系统关键文件基线 find /bin /sbin /usr/bin /usr/sbin -type f -exec sha256sum {} /var/log/bin_hashes.log3.2 进程与服务排查# 显示进程树含命令行参数 ps auxfww # 检查异常定时任务 systemctl list-timers --all ls -lah /etc/cron* /var/spool/cron # 查看服务开放端口含二进制路径 lsof -i -P -n | grep LISTEN遇到过一个巧妙的后门案例攻击者将恶意脚本注入到/etc/cron.hourly/..%2f..%2f..%2f..%2fetc%2fpasswd这种特殊路径中常规的crontab -l根本不会显示。此时需要用ls -laR /etc/cron*进行递归查看。4. 文件系统取证技术4.1 敏感文件检索# 快速查找可能包含密码的文件 find / -type f -exec grep -l password\|passwd\|secret {} 2/dev/null # 检查最近3天修改过的php文件 find /var/www/ -name *.php -mtime -3 -exec ls -lh {} # 查找所有可写目录 find / -perm -ow -type d 2/dev/null | grep -v proc\|sys\|dev在应急响应中我常用这个组合命令查找Webshellfind /var/www/ -name *.php -exec grep -l eval(base64_decode( {} 2/dev/null4.2 文件完整性校验# 快速对比两个目录差异 diff -qr /path/one /path/two | grep -v Only in # 递归计算目录哈希排除日志和临时文件 find /etc -type f -not -path *log* -not -path *tmp* -exec sha256sum {} etc_hashes.log5. 网络防御与加固命令5.1 防火墙即时管控# 封禁频繁连接IP自动过期 iptables -A INPUT -p tcp --dport 22 -m recent --name sshbf --set iptables -A INPUT -p tcp --dport 22 -m recent --name sshbf --rcheck --seconds 60 --hitcount 5 -j DROP # 允许已建立连接和DNS查询 iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT iptables -A OUTPUT -p udp --dport 53 -j ACCEPT5.2 SSH安全加固# 检查SSH登录失败记录 journalctl _SYSTEMD_UNITsshd.service | grep Failed password # 生成ED25519密钥对比RSA更安全 ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -N # 强制使用密钥认证 sed -i s/^#PasswordAuthentication yes/PasswordAuthentication no/ /etc/ssh/sshd_config6. 日志分析黄金组合6.1 实时日志监控# 跟踪认证日志显示失败尝试 tail -f /var/log/auth.log | grep -v Accepted publickey # 统计SSH暴力破解来源IP grep Failed password /var/log/auth.log | awk {print $11} | sort | uniq -c | sort -nr6.2 高级日志过滤# 提取HTTP 500错误带前后5行上下文 zgrep -A5 -B5 500 /var/log/nginx/access.log* # 分析暴力破解时间分布 awk /Failed password/{print $1,$2,$3} /var/log/auth.log | uniq -c7. 加密与哈希工具# 生成高强度密码 openssl rand -base64 16 | sed s/[/]//g | cut -c1-12 # 快速计算文件哈希 sha256sum suspicious_file | cut -d -f1 # 内存安全擦除需要physmem访问权限 dd if/dev/urandom of/dev/shm/temp bs1M count1024 rm /dev/shm/temp8. 我的终端生存技巧命令历史加固在~/.bashrc添加这些设置防止记录敏感操作export HISTIGNORE*pass*:*secret* export HISTCONTROLignorespace unset HISTFILE安全传输文件用openssl替代FTP# 接收方先启动监听 openssl enc -aes-256-cbc -d -in /tmp/data.enc | tar xz # 发送方执行 tar cz /path/to/send | openssl enc -aes-256-cbc -salt -out /tmp/data.enc快速端口测试不用telnet的替代方案timeout 1 bash -c /dev/tcp/192.168.1.100/443 echo Open || echo Closed这些命令就像安全工程师的瑞士军刀但记住真正的功力不在于记住多少命令而在于知道在什么场景下用什么组合。每次应急响应结束后我都会把用到的命令记录在私人笔记里十几年下来这本笔记的价值早已超过了任何安全工具书。
