Linux 应急响应手册 v2.0.2

v2.0.2 - 2025.3.5

• 修复了 Markdown 引用样式部分导出后搜索乱码问题

Linux 应急响应手册 v2.0.1

v2.0.1 - 2025.2.28

• 添加了目录
• 去除了部分标题末尾空格

Linux 应急响应手册 v2.0

v2.0 - 2025.2.27

• 各应急场景增加了流程图
• 完善了应急场景的处置流程，添加了确认攻击信息准确性
• 完善了应急场景的处置流程，添加了询问历史被攻击情况以及历史通报情况
• 常规安全检查章节添加了 TCP Wrappers 后门排查
• 常规安全检查章节添加了敏感目录排查
• 常规安全检查章节添加了 udev 后门排查
• 常规安全检查章节添加了 Python .pth 文件后门排查
• 常规安全检查章节完善了 profile 配置检查
• 常规安全检查章节完善了计划任务排查中 at 和 batch 的排查
• 小技巧 -> 查找特定时间段内的文件章节添加查找某段时间内创建的文件
• 完善处置前准备章节，增加了国产操作系统和《Windows 应急响应手册》的准备
• 完善了 pstree 命令查看指定 pid 的进程的线程信息
• 修复了小技巧章节 find 命令错误
• 修复了挖矿病毒章节 ps 命令错误
• 修复了由 sudo 本身引起的杀死进程组命令在 sudo 下失效的问题
• 修复了暴力破解 -> SSH 暴力破解章节文字错误
• 修复了数据恢复部分文字错误
• 修复了勒索病毒 -> 根据勒索病毒类型寻找解决方法中的文字错误
• 删除了安芯网盾沙箱
• 删除了绿盟威胁分析中心网址
• 删除了 WEBDIR+ 、Webshellkiller 工具的失效链接

Linux 应急响应手册 v1.9

v1.9 - 2024.8.1

• 更改使用了9版的 Linux 应急响应手册封面
• 修复了 Windows 平台无法查看目录或显示空白的问题
• 修复了手册无法搜索、复制中文的问题
• 新增 注意事项 章节
• 删除事件预警来源章节
• 完善勒索病毒处置流程
• 添加隧道处置流程
• 常规安全检查添加了0x30 内核模块签名配置检查
• 常规安全检查添加了0x31 签名不合法的内核模块
• 常规安全检查添加了0x32 PAM 检查
• 常规安全检查添加了0x33 /proc 与 ps 进程对比
• 常规安全检查添加了0x34 Trap 检查
• 常规安全检查添加了0x35 家目录模板检查
• 暴力破解章节完善了 Rocky/Centos 案例
• 常见问题的解决方法添加两种 netstat 不显示 pid 的情况概述
• 常见问题的解决办法添加 0x04 终端出现乱码的解决办法
• 完善 ps 命令，加入 -w 参数防止显示截断
• 知识点附录添加 0x06 history 无记录的可能原因
• 小技巧章节添加 0x13 如何暂停进程/冻结进程
• 小技巧章节添加 0x14 查找特定时间段内的文件
• 小技巧章节添加 0x15 内存中搜索字符串
• 小技巧章节添加了 0x16 配置文件检查小技巧
• 小技巧章节添加了进程&容器抓包
• 修复了小技巧 -> 0x08 数据恢复章节关于进程占用文件被删的恢复方法
• 丰富了威胁情报部分的地址
• 丰富了沙箱部分的地址
• 修复了挖矿病毒部分的标题文字错误
• 修复非持续事件部分的文字错误
• 非持续事件处置流程添加常规安全检查阶段
• 暴力破解处置流程添加常规安全检查阶段
• 恶意软件包供应链攻击处置流程添加常规安全检查阶段
• 完善全局文件内容搜索技巧
• 添加了 lslogins 程序

Linux 应急响应手册 v1.8

v1.8

20230811

• 原善后阶段 -> ssh key 章节添加 ssh key 后门检查
• 原善后阶段 -> history 信息章节添加显示历史命令执行具体时间的命令
• 小技巧章节添加 history 显示执行时间
• 小技巧章节添加 单独查看某个服务的日志
• 原善后阶段 -> 日志章节添加 journalctl 查看服务日志
• 原善后阶段添加计划任务日志
• 原善后阶段 -> 密码填充章节检查命令进行了增强，原命令可能出现漏报
• 处置前准备章节添加数据专用优盘
• 原善后阶段改为常规安全检查
• 新增善后阶段，主要包括定损以及针对性排查处理
• 各类事件处置流程中加入新的善后阶段以及常规安全检查

Linux 应急响应手册 v1.7

v1.7

20230427

• 增加恶意软件包供应链攻击处置流程
• 增加常见问题的解决方法章节，其中包含 文件无法删除、netstat -pantu不显示pid、ps,top无法看到恶意进程
• 善后阶段部分增加 sudo 配置检查
• 善后阶段增加第三方软件源GPG密钥检查

20230219

• 善后阶段部分增加软件及其配置文件完整性检查
• 小技巧-系统完整性检查章节 debsums 命令增加了 --changed参数

Linux 应急响应手册 v1.6

v1.6

20230106

• 小技巧章节添加拷贝取证
• 善后阶段添加进程启动文件检查
• 各个场景的删除恶意文件章节添加一种目录无法删除的场景
• 处置前准备章节添加启动U盘和数据存储硬盘

20221116

• 善后阶段 history 章节添加了一种不会记录history的情况

Linux 应急响应手册 v1.5

v1.5

2022.9.30

• 完善远控后门章节，增加与C&C隐藏的对抗章节
• 增加非持续性事件处置流程及方法
• 小技巧模块增加批量查找文件并打印信息（防守常用）

Linux 应急响应手册 v1.4

v1.4

2022.4.30

• 小技巧新增数据恢复章节
• 完善挖矿和远控后门，新增确定程序运行时间章节
• 善后阶段-日志分析新增 ssh-key 追踪
• 修复了 1.3 版本善后阶段序号错误问题
• 更新 pstree 参数： acU -> agplU; agpU -> agplU
• 精简了善后阶段bash函数章节

Linux 应急响应手册 v1.3

v1.3

2021.11.23

• 善后阶段增加 capabilities 权限配置检查（提权）
• 善后阶段增加 iptables 配置检查 （端口复用）
• 善后阶段增加密码填充检查
• 善后阶段将服务检查单列了一个小节
• 善后阶段增加了 ASLR 配置检查
• 知识点附录增加线程文件夹位置相关内容
• 知识点附录删除了 Bash 函数默认情况