1. 项目概述为什么需要一份实战命令手册在Linux世界里安全从来不是一个可以事后补救的选项它更像是一种必须融入日常运维血脉的本能。无论是管理一台个人服务器还是维护一个庞大的企业级集群你面对的不仅仅是系统稳定性的挑战更是来自网络四面八方的潜在威胁。端口扫描、暴力破解、异常连接、可疑进程……这些风险点就像隐藏在暗处的礁石稍有不慎就会让整个系统“触礁”。我见过太多同行包括早期的我自己在面对安全事件时手忙脚乱临时去翻找零散的命令和教程效率低下不说还可能因为命令参数使用不当而错过关键信息。这正是我动手整理这份《Linux网络安全实战命令手册》的初衷。它不是一个面面俱到的百科全书而是一份聚焦于“实战”和“排查”的速查指南。手册里的每一条命令都是我在过去十多年里从真实的应急响应、安全审计和日常巡检中积累下来的是真正能解决实际问题的“利器”。当你的服务器CPU莫名飙高当监控告警显示异常外联当日志里出现大量失败登录记录时这份手册能帮你快速定位问题、分析根因、并采取初步的处置动作。它面向的是所有需要与Linux系统打交道的工程师、运维人员甚至开发者无论你是刚入门的新手还是经验丰富的老兵都能从中找到即拿即用的工具和清晰的排查思路。2. 核心思路构建分层防御的排查体系单纯罗列命令没有意义安全运维的关键在于建立体系化的思维。我的这份手册遵循一个核心思路从外到内从网络到主机从事后追溯到实时监控。这意味着我们的排查不是东一榔头西一棒子而是有逻辑地层层递进。2.1 第一层网络边界与通信洞察任何威胁只要它想发挥作用几乎必然会产生网络通信。因此我们的第一道防线就是看清“谁在跟谁说话”。这不仅仅是查看当前建立的连接更要关注哪些端口在监听、哪些进程在发起连接、流量是否异常。netstat、ss、lsof这些经典命令是这里的基石但我们需要更深入地理解它们的输出并搭配tcpdump这样的抓包工具进行深度分析。这一层的目标是快速绘制出系统的“网络地图”识别出未经授权的监听端口和可疑的对外连接。2.2 第二层系统状态与进程监控当网络层发现异常连接后下一步就是揪出背后的“元凶”——进程。一个恶意的后门或挖矿程序必然会以一个进程的形式运行。ps、top、htop可以帮助我们查看进程的实时状态但更重要的是我们需要将它们与网络连接关联起来。同时系统的整体负载uptime、内存使用free、磁盘I/Oiostat也是判断系统是否被入侵利用的重要指标。一个突然持续高负载但业务量正常的系统很可能正在为攻击者“打工”。2.3 第三层日志审计与痕迹追踪攻击者会想方设法隐藏自己但他们在系统中活动的痕迹很难被完全抹除。各种系统日志/var/log/目录下的secure、auth.log、messages等和安全日志如audit.log就是我们的“破案线索”。通过grep、awk、tail、journalctl等工具对日志进行集中分析和实时追踪我们可以发现失败的登录尝试、可疑的命令执行、权限变更等事件。这一层是进行事后溯源和攻击链还原的关键。2.4 第四层文件系统与完整性校验最后攻击者可能会植入恶意文件或篡改系统关键文件。因此对重要目录进行监控、查找近期被修改的文件、检查文件的哈希值是否被改变是最后一道防线。命令如find按时间查找文件、stat查看文件详细属性、以及像AIDE或Tripwire这样的完整性检查工具虽然它们本身是软件但其原理需要通过命令来配置和查看报告的运用就属于这一层。这个分层体系构成了手册的骨架确保无论遇到哪种类型的安全事件你都能有一个清晰的排查路径而不是盲目地试命令。3. 实战命令精讲与组合应用下面我将按照上述分层思路详解核心命令及其在安全场景下的实战组合用法。记住单独一个命令的输出往往是片面的组合起来才能形成强大的洞察力。3.1 网络层侦查连接、端口与流量ss命令替代 netstat 的现代工具ss命令比传统的netstat更快、更高效信息显示也更直接。查看所有TCP/UDP监听端口ss -tulnp-tTCP协议-uUDP协议-l仅显示监听状态的套接字-n以数字形式显示地址和端口不进行DNS解析更快-p显示占用该端口的进程信息需要sudo权限安全场景快速发现系统上所有开放的端口并与预期服务列表对比。发现未知的监听端口例如一个在高端口如5555监听的/bin/bash进程是极高危信号。查看所有已建立的连接ss -tan-a显示所有套接字包括监听和已建立安全场景检查系统与外部哪些IP有活跃连接。重点关注非常用端口、非常用目标IP的连接。lsof命令列出打开文件在Linux中“一切皆文件”网络连接也是一种特殊的文件。查看某个端口被哪个进程占用lsof -i :22这是定位问题最直接的方式之一比如发现22端口被一个未知程序监听。查看某个进程打开了哪些网络连接lsof -p PID -i当你通过top发现一个可疑的高CPU进程时用这个命令查看它是否在进行网络通信。查看所有网络连接lsof -i提供一个更偏向进程视角的网络连接视图可以与ss的输出交叉验证。注意ss -tulnp和lsof -i都能看监听端口但ss默认显示进程名和PID而lsof显示的命令路径更完整。在实际排查中我习惯先用ss快速扫描对可疑项再用lsof查看更详细的信息。tcpdump命令网络流量抓包分析当上述命令发现可疑连接但无法判断其具体行为时就需要抓包进行深度分析。抓取特定网卡、主机和端口的流量sudo tcpdump -i eth0 host 192.168.1.100 and port 80 -w capture.pcap-i eth0指定网卡。host 192.168.1.100过滤与该IP地址相关的流量。port 80过滤80端口。-w capture.pcap将抓取的数据包保存到文件方便用Wireshark等工具进行图形化分析。实时查看HTTP请求sudo tcpdump -i eth0 -A -s 0 tcp port 80 and (((ip[2:2] - ((ip[0]0xf)2)) - ((tcp[12]0xf0)2)) ! 0)这是一个较复杂的过滤器目的是只显示HTTP协议的应用层数据-A表示以ASCII打印。对于HTTPS由于内容加密抓包只能看到加密流量需要解密密钥才能分析。安全场景确认可疑连接是否在进行数据外泄如持续向某个IP发送大量数据、是否在接收攻击指令如从特定端口接收到异常命令字符串。3.2 系统层监控进程、资源与自启动ps命令进程快照ps命令参数繁多掌握几个关键组合足以应对大多数场景。以完整命令格式查看所有进程ps auxa显示所有用户的进程。u显示面向用户的格式如CPU、内存占用率。x显示没有控制终端的进程守护进程。这是最常用的命令之一。重点关注%CPU、%MEM高的异常进程以及COMMAND列中路径可疑或参数奇怪的进程例如/tmp/.xxx下的可执行文件。查看进程树关系ps auxf或pstree -p这有助于识别一个恶意进程是由哪个父进程如某个Web服务、计划任务派生的对于溯源非常重要。查找特定进程ps aux | grep [n]ginx使用grep [n]ginx而不是grep nginx的小技巧可以避免grep命令自身出现在结果中。top/htop命令实时进程监控top是交互式的实时监控工具htop是其增强版界面更友好。安全场景使用技巧进入top后按P按CPU使用率排序按M按内存使用率排序。长期占据榜首的非核心业务进程需要警惕。按c可以显示进程的完整命令行方便查看可疑参数。在htop中可以直接用鼠标点击选择进程然后按F9发送信号如SIGKILL终止它操作更直观。观察load average负载平均值。如果1分钟值远高于5分钟、15分钟值可能表示有突发的高负载进程。检查系统自启动项持久化是攻击者的重要目标他们会将恶意程序添加到自启动项中。系统服务Systemdsystemctl list-unit-files --typeservice --stateenabled查看所有已启用的系统服务。检查是否有陌生或伪装成正常服务的项目。用户级定时任务Croncrontab -l查看当前用户的以及检查/etc/crontab和/etc/cron.d/目录下的文件。其他自启动位置如/etc/rc.local、用户家目录下的.bashrc、.profile可能会被添加恶意命令以及像/etc/ld.so.preload这种用于预加载动态库的隐蔽位置。3.3 日志层审计筛选、追踪与关联日志分析的核心是grep、awk、sed三剑客结合tail、less和journalctl。实时追踪安全日志sudo tail -f /var/log/secure(RHEL/CentOS) 或sudo tail -f /var/log/auth.log(Debian/Ubuntu)-f参数可以实时滚动显示日志尾部新增内容。这是监控暴力破解大量Failed password记录和成功登录Accepted password最直接的方式。筛选特定时间段的日志sudo journalctl --since 2023-10-01 09:00:00 --until 2023-10-01 10:00:00 | grep -i fail\|errorjournalctl是Systemd系统的统一日志工具功能强大。--since和--until可以精确指定时间范围。统计失败登录尝试的IP和次数这是一个经典的审计命令能快速找出攻击源。sudo grep Failed password /var/log/secure | awk {print $11} | sort | uniq -c | sort -nr | head -20awk {print $11}提取日志行中的IP地址字段根据你的日志格式字段索引可能不同需要先看一行日志确认。sort | uniq -c排序并统计每个IP出现的次数。sort -nr按次数倒序排列。head -20显示前20个最频繁的IP。查看所有用户最近的成功登录记录last这个命令读取/var/log/wtmp文件清晰展示谁、在什么时间、从哪个IP登录了系统以及登录时长。检查是否有异常时间、异常IP的登录记录。3.4 文件系统层巡检查找、比对与校验查找近期被修改的文件sudo find / -type f -mtime -1 2/dev/null/从根目录开始查找范围大耗时长谨慎使用。-type f只查找普通文件。-mtime -1查找最近1天内修改过的文件。2/dev/null将权限错误等标准错误输出丢弃使结果更清晰。安全场景在怀疑系统被入侵后可以重点扫描/tmp、/dev/shm、/var/tmp等临时目录以及/etc、/usr/bin、/usr/sbin等关键系统目录寻找近期出现的可疑文件。查找SUID/SGID特殊权限文件sudo find / -type f \( -perm -4000 -o -perm -2000 \) 2/dev/nullSUIDSet User ID文件执行时以文件所有者权限运行SGIDSet Group ID则以文件所属组权限运行。这是合法的功能如passwd命令但也被攻击者利用进行权限提升。定期检查是否有新增的、非常规的SUID/SGID文件。检查文件完整性简易版虽然专业的完整性检查需要AIDE等工具但紧急情况下可以用系统自带的命令进行快速比对。校验关键命令的哈希值sha256sum /bin/ls /usr/bin/who /usr/bin/netstat将输出结果与一个事先保存的、干净系统中的基准哈希值记录进行比对。如果哈希值改变说明文件可能被篡改。这个基准库需要你在系统纯净时自行生成并离线保存。4. 经典安全场景实战演练光说不练假把式我们通过几个虚构但典型的场景把上面的命令串起来使用。4.1 场景一服务器CPU异常飙高怀疑被植入挖矿木马初步定位top/htop首先用top命令按P键找到占用CPU最高的进程。假设发现一个名为kthreaddk的陌生进程PID为5555CPU占用90%。进程深挖pslsofps aux | grep 5555查看该进程的详细信息包括启动用户和完整路径。lsof -p 5555查看该进程打开了哪些文件和网络连接。如果发现它连接到一个陌生的远程IP和端口如xmr.pool.xxx:3333挖矿的嫌疑就极大了。网络确认sstcpdumpss -tanp | grep 5555确认该进程建立的网络连接。如果需要取证可以用tcpdump抓取该进程的流量。溯源与清理systemctl status 5555或ls -la /proc/5555/exe查看进程的可执行文件路径。find / -name kthreaddk 2/dev/null在全盘搜索同名文件查找可能的其他副本。检查计划任务crontab -lls -la /etc/cron.d/、服务systemctl list-unit-files | grep enabled和启动脚本看是否有该木马的持久化配置。在确认影响后先kill -9 5555终止进程然后删除相关的可执行文件和持久化配置项。事后加固根据日志grep ‘Accepted\|Failed’ /var/log/secure围绕事发时间分析入侵途径可能是弱密码爆破并修改密码、更新系统、检查其他主机。4.2 场景二监控告警显示服务器有异常外联流量网络连接普查ssnetstatss -tanp查看所有TCP连接。寻找状态为ESTABLISHED且目标地址陌生、端口奇怪的连接例如连接到非业务国家的IP或像66668888这样的非常用端口。记下对应的PID。关联进程pslsof使用上一步得到的PIDps aux | grep PID和lsof -p PID查看是哪个进程在发起连接。观察进程名和路径是否可疑例如位于/tmp下。流量分析tcpdump如果连接持续存在使用tcpdump抓取该连接的流量sudo tcpdump -i any host 目标IP -w suspicious.pcap保存为pcap文件后用Wireshark分析判断是数据外泄、C2命令与控制通信还是其他恶意行为。文件与日志检查根据进程路径检查该可疑文件ls -lha /path/to/suspicious_filefile /path/to/suspicious_filestrings /path/to/suspicious_file | head -50查看文件中的可打印字符串可能发现域名、IP等线索。搜索系统日志看该进程是何时、如何被启动的journalctl -u service_name或grep -r “PID” /var/log/。处置在明确恶意性质后参照场景一的步骤进行清理和加固。5. 高级技巧与自动化监控雏形对于有一定经验的运维者可以将这些命令封装成脚本实现自动化安全检查。5.1 一键安全巡检脚本示例这是一个简单的脚本框架可以定期通过cron运行并将结果发送到邮箱或写入日志。#!/bin/bash # 文件名security_check.sh LOG_FILE/var/log/security_scan_$(date %Y%m%d).log echo 安全巡检报告 - $(date) $LOG_FILE echo -e \n[1] 检查异常监听端口 $LOG_FILE ss -tulpn | grep -E ‘LISTEN’ | awk ‘{print $5, $7}’ | sort $LOG_FILE echo -e \n[2] 检查高CPU进程前10 $LOG_FILE ps aux --sort-%cpu | head -11 $LOG_FILE echo -e \n[3] 检查root用户历史登录成功记录 $LOG_FILE last | head -20 $LOG_FILE echo -e \n[4] 检查最近24小时内修改过的关键目录文件 $LOG_FILE find /etc /bin /sbin /usr/bin /usr/sbin -type f -mtime -1 2/dev/null | head -30 $LOG_FILE echo -e \n[5] 检查失败的SSH登录尝试最近100行 $LOG_FILE tail -100 /var/log/secure | grep -i “failed password” $LOG_FILE # 可以将 $LOG_FILE 通过邮件发送给管理员 # mail -s “Daily Security Scan Report” adminexample.com $LOG_FILE5.2 利用watch命令进行实时监控watch命令可以定期执行另一个命令并全屏刷新显示结果非常适合临时性的实时监控。实时监控网络连接watch -n 2 ‘ss -tanp | grep ESTAB’每2秒刷新一次持续观察所有已建立的TCP连接及其进程便于发现瞬时连接。实时监控进程变化watch -n 1 ‘ps aux --sort-%cpu | head -10’每1秒刷新一次CPU占用前十的进程对排查间歇性高负载问题很有帮助。5.3 命令输出的美化与过滤column -t可以将空格分隔的输出自动对齐成表格形式更易读。例如ps aux | head -5 | column -t。grep -v反向过滤排除不需要的行。例如查看监听端口时排除127.0.0.1ss -tulpn | grep LISTEN | grep -v 127.0.0.1。6. 避坑指南与心得在实际使用这些命令进行安全排查时我踩过不少坑也积累了一些血泪教训这里分享给你权限问题很多命令如查看任意进程信息的-p参数读取所有网络连接的-a参数扫描全盘的find命令需要root权限。务必使用sudo或以root用户运行否则会遗漏大量关键信息。但反过来在生产环境执行任何具有破坏性的操作如kill、rm前一定要 double-check 目标防止误操作。命令别名陷阱有些Linux发行版会给ls、rm等命令设置别名如ls --colorauto。在脚本中或通过某些方式执行时别名可能不生效导致预期外的行为。对于安全相关的脚本建议使用命令的完整路径如/bin/ls或使用\command的形式如\ls来绕过别名。网络命令的“盲区”netstat、ss、lsof -i这些命令主要操作于网络栈的套接字层。如果恶意软件使用 raw socket 或特定的技术如某些 rootkit直接与网卡驱动交互这些命令可能无法显示其连接。此时更底层的工具如tcpdump或基于eBPF的工具如bpftrace可能更有效。日志的轮转与清理日志文件如/var/log/messages/var/log/secure会被logrotate定期轮转和压缩。在调查几天前的事件时别忘了检查.gz的压缩归档文件如secure-20231001.gz可以使用zcat或zgrep来查看。环境变量劫持攻击者可能会修改用户环境变量如$PATH导致你执行的ls、ps等命令实际上指向了恶意的版本。一个简单的检查方法是使用which ps和ls -l /usr/bin/ps查看命令的完整路径是否正常。在极端怀疑的情况下可以使用/bin/busybox中的静态编译版命令或者从干净的系统拷贝一份命令过来使用。保持冷静记录过程安全应急最忌慌乱。每执行一条排查命令最好都将输出结果重定向到一个文件 investigation.log或使用script命令记录整个终端会话。这既是取证的需要也能帮助你在复杂的排查过程中理清思路避免重复劳动。