/proc 虚拟文件系统取证
Linux 内核把自己的运行时状态挂在 /proc 上。那不是磁盘上的目录——里面绝大多数「文件」是内核在你读取的瞬间现生成的。
知识节点
Shell 与命令历史
在 计算机取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“Shell 与命令历史”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
Shell 痕迹与命令历史
~/.bash_history 是 Linux 取证里最容易被找到、也最容易被误读的工件。它看起来人畜无害——就是一串敲过的命令。