常見取證命令
系統(tǒng)信息
sw_vers
uname -a
登錄用戶
whoami
w
finger
last 最近登錄情況
進程信息
ps aux 顯示所有進程
lsof -p <pid> 進程所有打開文件
lsof -i 所有進程網絡連接
網絡連接
netstat -anL 查看當前監(jiān)聽端口
啟動項
launchctl list | grep -v apple 不包含apple關鍵字的啟動項
contab -l 當前用戶的計劃任務
atq 當前用戶的at任務
kextstat | grep -v apple 不包含apple關鍵字的內核模塊
文件操作
mdfind -name "test12" 查找名字中包含test12的
md5 test12 計算文件test12的md5值
file test12 文件test12的類型
codesign -dvv test12 查看test12的證書
