1. 日志线索的优先级排查
1.1 常见日志源与收集要点
在 Ubuntu 系统中，日志是排查 Exploit 攻击的第一手证据。核心日志源包括 /var/log/auth.log、/var/log/syslog、/var/log/kern.log，以及基于 systemd 的 journal。通过对齐时间戳并实现日志的集中化收集，能够快速还原攻击链的各个环节。
Ubuntu 的日志分布既包含磁盘上的历史文件，也包含运行时的 内存日志。轮换策略与归档机制确保在事后仍能提取关键证据。本文强调使用 journalctl 与传统日志的联合分析来定位异常行为。
本文聚焦 Ubuntu Exploit攻击迹象全解：从日志、进程到网络异常的排查要点，帮助你在第一时间识别潜在入侵的痕迹与模式。你可以从最近 24 小时的认证相关日志着手，快速发现暴力破解或未授权访问的模式。
journalctl -u ssh -p err --since "24 hours ago"1.2 关键日志字段与模式
要点在于识别典型的异常模式，例如 认证失败、无效用户尝试、SSH 登录异常等。通过对比正常工作时段与异常时段的日志，可以发现异常来源和攻击者的行为轨迹。
常用的筛选模式包括 Failed password、authentication failure、Invalid user 等关键词的出现。对这些字段进行聚合，可以快速定位高风险账号与主机。
下面给出一个快速检索的示例，帮助你在 /var/log/auth.log 中发现可疑登录事件：
grep -E "Failed password|authentication failure|Invalid user|session opened" /var/log/auth.log | tail -n 2001.3 日志时间对齐与跨源比对
跨日志源对齐是揭示攻击链的关键步骤。将 auth.log、syslog、kernel、以及 journal 的时间轴对齐，可以揭示异常事件的因果关系。
利用 journalctl 的强大过滤能力，结合时段筛选，可以在多源日志中快速定位“谁在什么时间做了什么事”。
如需输出一个跨源的时间线，可以结合以下思路：先筛选出高风险事件，再回溯相关时间段内的进程与网络活动。
journalctl --since "2025-08-19" -u ssh -p err,warning | head -n 502. 进程与内存的异常信号
2.1 可疑进程的识别方法
攻击者往往通过伪装或隐蔽的进程在系统中驻留。监控可疑进程的创建与资源消耗，是早期发现的重要途径。
常用的检测手段包括对 ps、top、以及 lsof 的组合分析，以发现异常的命令行、隐藏的网络连接或异常的内存消耗。
通过对进程树和资源使用率进行排序，可以快速定位潜在的后门或挖矿程序。
ps aux --sort=-%cpu | head -n 20lsof -i -P -n | grep -i -E 'ESTABLISHED|LISTEN' | head2.2 root 权限进程与隐藏进程排查
高权限进程往往成为攻击的关键入口，因此需要对 SUID 位设置的二进制进行定期检测，并关注是否有异常变动。
同时，隐藏进程通常绕过常规 UI，需结合探针和系统调用层面的迹象进行排查。
快速识别可疑的 SUID 二进制，可以帮助你锁定潜在的后门程序。
find /sbin /usr/sbin /bin /usr/bin -perm -4000 2>/dev/null3. 用户与权限变更的异常
3.1 新增用户与组修改的监控
异常的用户账号添加或权限变更往往是入侵初期的重要信号。监控 新增用户、修改用户组、以及权限提升操作，可以提早发现异常活动。
常用迹象包括来自 的用户操作日志、以及系统下的用户活动记录。
对等的做法是将关键操作与时间戳绑定，形成清晰的审计轨迹。下面给出一个简单的审计起点：
last | head -n 20grep -E "useradd|adduser|passwd|usermod|groupadd" /var/log/auth.log | tail -n 503.2 Sudo 与授权变更的排查
对 sudoers 文件与授权策略的变动要保持警惕。这些变动往往直接影响系统的特权执行能力。
日志中关于 sudo 的记录，以及对 /etc/sudoers 与 /etc/sudoers.d 的修改，都是关注重点。
结合日志与配置文件，可以快速确认是否存在未授权的授权变更。
grep -R "sudo" /var/log/auth.log /var/log/syslog | tail -n 100grep -R "sudo" /etc/sudoers* 2>/dev/null4. 网络与外联行为的异常
4.1 网络连接与外发流量的排查
网络行为的异常往往是远程控制与数据外泄的直接证据。对当前连接、正在建立的会话以及异常端口的监控是核心任务。
通过结合 ss、tcpdump 等工具，可以实时监控网络态势并记录证据。
要点在于识别异常的出站连接、未知进程绑定的端口，以及高频次的短连接行为。
ss -tulpentcpdump -i any -c 100 -nn -tt4.2 与 C2 通信的痕迹识别
与命令与控制服务器的通信通常留有痕迹，例如异常的 HTTP 请求、DNS 查询、或稳定的外联目标。将日志中的网络行为与外部连接进行比对，是识别 C2 的关键。
你可以通过在日志中搜索典型的 HTTP 请求模式、域名查询记录以及异常的外发时间窗来发现可疑活动。
结合日志与网络抓包数据，可以构建可疑连接的证据链。
grep -E -R "GET|POST|http/1.1" /var/log/syslog | headgrep -E "Connection to .*" /var/log/syslog | tail5. 审计与完整性监控
5.1 文件哈希与变更检测
恶意修改系统关键文件往往不易察觉，因此对关键配置与二进制文件进行变更监控至关重要。通过对重要文件计算哈希并进行变更对比，可以快速发现未授权修改。
常见做法包括对 /etc 及常用二进制目录进行哈希比对，并结合文件系统的只读属性来防范变更。
下面提供一个基本的哈希对比起点：
sha256sum /etc/passwd /etc/shadow /etc/ssh/sshd_config5.2 系统调用与内核参数的异常
系统调用层和内核参数的异常也能暴露被利用的漏洞。通过审计工具与内核参数的监控，可以发现异常行为的痕迹。
常用的检查包括对 sysctl 配置的审阅，以及如 auditd 的审计日志分析。
利用以下命令可以初步定位可疑的内核或系统参数状态，并结合审计日志进行验证。
sysctl -a | grep -E "kernel|fs|net"ausearch -m USER_LOGIN -ts today | aureport -u