用途：主机疑似被入侵时，排查后门、木马、异常进程与异常账户，并进行安全事件溯源分析。覆盖 Linux 和 Windows 双平台。
主要能力与阶段安排：
- 初始响应决策：确认事件范围（单台直接排查，多台或不明先网络隔离）、判断操作系统、确认权限、排查前保全证据（内存快照、磁盘镜像、记录时间戳）。核心原则是先收集、后分析、最后清除。
- Linux 排查：账户审计（uid=0 用户、可远程登录账户、sudo 权限、authorized_keys、最近登录记录）；进程与网络（netstat/ss 查连接，经 /proc/<PID> 定位可执行文件、命令行、文件描述符，按 CPU/内存排序找异常进程）；启动项与计划任务（各用户 crontab、/etc/cron.*、systemd 服务、rc.local、bashrc/profile 植入）；文件系统（近期修改文件、SUID/SGID、/tmp 与隐藏目录、WebShell、时间戳篡改）；日志分析（auth.log/secure、wtmp、btmp、cron、syslog、bash_history，检测暴力破解与提权）；Rootkit 检测（chkrootkit、rkhunter，或用 md5sum 比对系统命令、检查 LD_PRELOAD 与内核模块）。
- Windows 排查：账户审计（query user、net user、net localgroup administrators、隐藏/克隆账户、SID 历史）；进程与网络（netstat -ano 配合 tasklist/wmic 定位进程，检查代理与路由）；启动项与服务（Run/RunOnce 注册表、schtasks、启动文件夹、服务路径）；文件系统（Recent、Temp、Downloads、回收站、ADS、Prefetch）；事件日志（eventvwr.msc，关键 Event ID 4624/4625/4634/4672/4720/7045，含登录类型说明与 PowerShell 查询示例）。
- 溯源与加固：按时间排序重建攻击链（初始入侵、攻击路径、持久化手段、数据泄露）；提取 IOC（恶意 IP/域名、文件 Hash、攻击者账户、恶意文件路径）；立即措施与长期加固建议。
适用场景：单台或多台主机被入侵后的应急处置、后门与异常账户排查、安全事件溯源。
限制与注意事项：资料未提供具体工具授权、价格或平台支持范围；排查中不要重启服务器以免丢失内存证据；不要直接删除可疑文件，应先备份取证；若怀疑系统命令被替换，需用静态编译工具或可信来源工具排查；日志可能被清除或篡改，需多源交叉验证。部分结论判断标准以资料所述为准。