Linux dd 命令& 进程检查

Linux dd 命令用于读取、转换并输出数据。

dd 可从标准输入或文件中读取数据，根据指定的格式来转换数据，再输出到文件、设备或标准输出。

参数说明:

• if=文件名：输入文件名，默认为标准输入。即指定源文件。
• of=文件名：输出文件名，默认为标准输出。即指定目的文件。
• ibs=bytes：一次读入bytes个字节，即指定一个块大小为bytes个字节。
• obs=bytes：一次输出bytes个字节，即指定一个块大小为bytes个字节。
• bs=bytes：同时设置读入/输出的块大小为bytes个字节。
• cbs=bytes：一次转换bytes个字节，即指定转换缓冲区大小。
• skip=blocks：从输入文件开头跳过blocks个块后再开始复制。
• seek=blocks：从输出文件开头跳过blocks个块后再开始复制。
• count=blocks：仅拷贝blocks个块，块大小等于ibs指定的字节数。
• conv=<关键字>，关键字可以有以下11种：

1. conversion：用指定的参数转换文件。

2. ascii：转换ebcdic为ascii
3. ebcdic：转换ascii为ebcdic
4. ibm：转换ascii为alternate ebcdic
5. block：把每一行转换为长度为cbs，不足部分用空格填充
6. unblock：使每一行的长度都为cbs，不足部分用空格填充
7. lcase：把大写字符转换为小写字符
8. ucase：把小写字符转换为大写字符
9. swap：交换输入的每对字节
10. noerror：出错时不停止
11. notrunc：不截短输出文件
12. sync：将每个输入块填充到ibs个字节，不足部分用空（NUL）字符补齐。

• --help：显示帮助信息
• --version：显示版本信息
  https://www.runoob.com/linux/linux-comm-dd.html

检查进程及文件

✘ 快速查看进程信息，并获取进程文件位置
• top -c
✘ 杀死进程
• kill -9 PID
✘ 根据文件名特征查找
• grep -rni "shell.name" *
✘ 根据文件大小特征查找
• find / -size 1223123c
✘ 根据文件创建时间查找
• find / -mtime 1 -name *
✘ 查看进程占用信息
• lsof -p PID
✘ 读取进程在内存中的信息
• cd /proc/PID
• cat * |strings -n 5 |more

检测网络

✘ 查看“PORT”端口的占用情况
• lsof –i : “PORT”
✘ 查看不正常端口
• netstat -nap
✘ 查看TCP连接
• netstat -an | grep tcp | awk '{print $5}'
✘ 查看SYN连接
• netstat -an | grep SYN | awk '{print $5}' | awk -F: '{print $1}' | sort | uniq -c | sort -nr | more

检查系统命令

✘ ls -alt /bin/ | head -n 10
✘ ls -alt /usr/sbin/ | head -n 10
✘ ls -alt /usr/bin/ | head -n 10

检查日志

✘ 系统日志
• crontab日志：/var/log/cron
• secure日志：/var/log/secure
• lastlog日志：/var/log/lastlog
• bash日志：~/.bash_history
✘ Web日志
• access_log
• error_log

注意事项

✘ 一定要查看系统命令是否被替换，否则所做的都是一切徒劳
✘ 若系统替换可用其他代替，如：ps使用top，netstat使用ss，busybox等
✘ lsof -n | grep delete 查找已经删除但是还在使用的文件
✘ 留意下是否有SSH后门
✘ 注意是否存在隐藏进程
✘ 实在无法删除可使用chattr +i锁定相应计划任务文件
✘ 实在不行修改把curl ，wget ，lynx 文件全局重命名