查看系统的成功登录、关机、重启等： /var/log/wtmp查看登陆失败的用户日志： /var/log/btmp查看所有用户登陆日志： /var/log/lastlog查看谁在使用某个端口：lsof -i :5001查看内部对外的网络连接：lsof -nPi

#grep "Failed password for root" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more
#定位有哪些IP在爆破：grep "Failed password" /var/log/secure|grep -E -o "(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.(25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)"|uniq -c
#爆破用户名字典是什么？grep "Failed password" /var/log/secure|perl -e 'while($_=<>){ /for(.*?) from/; print "$1\n";}'|uniq -c|sort -nr

#last命令，它会读取位于/var/log/wtmp的文件，并把该文件记录的登录系统的用户名单。#grep "Accepted " /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | more

登录成功的日期、用户名、IP：grep "Accepted " /var/log/secure | awk '{print $1,$2,$3,$9,$11}' grep "useradd" /var/log/secure 

# grep "userdel" /var/log/secure

#sudo -l

显示1.txt文件里匹配ffuck字串那行以及上下5行：grep -C 5 fuck 1.txt显示foo及前5行：grep -B 5 fuck 1.txt显示foo及后5行：grep -A 5 fuck 1.txt

从第100行开始，显示200行，显示100~299行：cat shell.php | tail -n +100 | head -n 200

查找24小时内被修改的JSP文件：find ./ -mtime 0 -name "*.jsp"和find ./ -mtime 0 -name "*.php"查看密码文件上一次修改的时间（最近改动）：stat /etc/passwd查看除无法登录以外的用户，有无新增：cat /etc/passwd | grep -v nologin查看哪些用户为root权限，有无新增：cat /etc/passwd | grep x:0查看哪些用户使用shell：cat /etc/passwd | grep /bin/bash

vim /etc/hosts

推荐阅读