# 查看所有运行进程
ps auxf

# 检查异常网络连接的进程
lsof -i -P -n

# 检查隐藏进程
ps -ef | awk '{print $2}' | sort -n | uniq -d

# 查看所有网络连接
netstat -antulp

# 检查异常外连
ss -tulnp

# 检查DNS查询记录
cat /etc/hosts

# 查看所有用户
cat /etc/passwd

# 检查空密码账户
awk -F: '($2 == "") {print $1}' /etc/shadow

# 检查sudo权限用户
grep -Po '^sudo.+:\K.*$' /etc/group

# 检查authorized_keys文件
cat ~/.ssh/authorized_keys
cat /root/.ssh/authorized_keys

# 检查SSH配置文件
grep -i "PermitRootLogin" /etc/ssh/sshd_config
grep -i "AllowUsers" /etc/ssh/sshd_config

# 查找近期修改的文件
find / -type f -mtime -7 -print

# 查找隐藏的webshell
find /var/www/ -name "*.php" -type f -print0 | xargs -0 grep -l "eval("

# 检查setuid/setgid文件
find / -perm -4000 -o -perm -2000 -type f -exec ls -la {} \;

# 系统级定时任务
ls -la /etc/cron*

# 用户级定时任务
for user in $(cut -f1 -d: /etc/passwd); do crontab -u $user -l; done

# 安装rkhunter
sudo apt install rkhunter

# 运行检测
sudo rkhunter --check --sk

# 安装chkrootkit
sudo apt install chkrootkit
sudo chkrootkit

# 使用Volatility分析内存(需安装)
vol.py