用途：面向 Linux 服务器或工作站的入侵调查与事件响应，通过检查系统痕迹发现失陷证据、未授权访问与持久化机制。涵盖认证日志、cron 任务、shell 历史、systemd 服务、SSH 密钥与系统配置。
主要能力：采集并分析 /var/log 下的认证与审计日志（auth.log、secure、syslog、audit.log、wtmp/btmp/lastlog/faillog）；核查用户账户异常，如 UID 0 账户、异常登录 shell、口令哈希类型；检查持久化机制，包括系统与用户 crontab、systemd 服务、authorized_keys、rc.local、profile.d 与 LD_PRELOAD；分析各用户 .bash_history，按可疑命令列表（下载、反弹 shell、提权、清理痕迹等）标记；做 rootkit 与二进制完整性检查，包括二进制 SHA256、SUID/SGID 文件、/tmp 与 /dev/shm 可疑文件、隐藏文件、额外内核模块与 PAM 配置变更。
使用方式：需以只读方式挂载取证镜像或对在线系统只读访问，具备 root 以完整采集。先挂载并分类采集日志、配置、用户痕迹、持久化与网络数据，再逐项分析，最后输出取证摘要，包含账户、认证事件、持久化机制与可疑活动。文档给出的命令（如 mount -o ro,loop、last -f、lastb -f、find / -perm -4000）保持原样。
适用场景：SSH 暴力破解后失陷、Web 应用漏洞导致服务器被控、内部人员威胁、云实例被植入挖矿程序等。
限制：需要有取证镜像或在线只读访问与 root 权限；需要了解 FHS、日志位置、systemd/cron/PAM 配置；需结合 chkrootkit、rkhunter、AIDE、auditd、Plaso、osquery 等工具；.bash_history 可被攻击者清除，结果需结合基线比对，具体准确性与时效性资料未提供。