[TOC] ## 事件排查 ### 查看网络连接情况 ~~~ netstat -antpl netstat -antpl |grep EX* ~~~ ### 查看守护进程 ~~~ 查看进程树 pstree -p pstree -p |grep 异常的PID 查看进程 systemctl status 异常的PID ~~~ ### 查看计划任务 正常查看 ``` crontab -l ``` * 查看 /var/spool/cron/crontabs 下的任务 * 使用 cat -A root 或者 cat -vET root : 可以看到**隐藏内容** * 或者 vim root ：直接编辑也可以看到具体任务的内容 ### 找到进程执行的文件 * 查看文件上传的时间 ``` ls -l /tmp/文件名 ``` * 查看文件内容，发现是通过 nc 反弹 shell ``` cat /tmp/文件名 ```