用途：在 Linux 主机遭到入侵或需要事件响应时，系统性检查系统痕迹，定位持久化机制、提权路径与攻击者活动范围。
主要能力：收集并分析认证日志（/var/log/auth.log、secure、wtmp/btmp 等）、用户账户与密码状态、cron 与 systemd 持久化、authorized_keys 后门、rc.local/profile.d/LD_PRELOAD 劫持，以及 Shell 历史中的可疑命令；同时查找 SUID/SGID 文件、隐藏文件、内核模块和 PAM 配置变更。
使用方式：以只读方式挂载取证镜像，例如 mount -o ro,loop,offset=$((2048*512)) /cases/case-2024-001/images/linux_evidence.dd /mnt/evidence，再按用户、配置、持久化等目录分类收集；可配合 last/lastb 解析登录记录，使用 chkrootkit、rkhunter、AIDE、auditd、osquery、Velociraptor 等工具辅助检测。
适用场景：SSH 暴力破解后失陷、Web 应用漏洞导致服务器被控、内部人员数据窃取、云主机挖矿等调查。
限制：需要取证镜像或只读实时访问、FHS 与日志路径知识及 root 权限；Shell 历史可被攻击者清除，时间线分析需谨慎解释，具体工具版本与收费情况暂未提供。