Linux攻防快速入门(上)-文本三剑客

最新推荐文章于 2026-06-24 18:51:50 发布
原创 最新推荐文章于 2026-06-24 18:51:50 发布 · 598 阅读 · 13 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
标签
#linux #运维 #服务器

1. 为什么云安全课程要学 Bash？

  • 最小环境生存能力：云/容器环境常被最小化（无包管理、无网络、无 ifconfig/ip 等），Bash 是几乎总有的交互手段，能用来做探测、横向、自动化。

  • 自动化与编排：补丁、日志收集、自动化检测和响应大量依赖 shell 脚本与命令行工具。

  • 快速原型/POC：很多渗透测试、提权脚本原型先用 Bash 写，能快速验证思路。

  • 日志与文本处理：日志分析与取证高度依赖文本工具（grep/awk/sed），这些都在 Bash 环境下最顺手。

  • 低权限利用：很多“无文件”或不能上传 payload 的场景，可以用 Bash 命令链完成信息泄露或内网探测。

2. 在极简 Docker / 容器里如何做内网探测（不能出网、不能上传文件）

原则：优先使用内置工具（sh/bash、/proc、内核命令、已存在二进制）与“命令链”组合，依赖管道和文本处理，不上传文件。

常用技巧与思路

  1. 查看进程与网络

    • ps aux、ps -ef（若可用）

    • /proc 下读取：ls /proc/*/fd、cat /proc/net/tcp、cat /proc/net/arp

    • ss -ntp（若有）或 netstat -ant（有时容器没有）

      • 示例：查看已建立连接的远端 IP：

        awk '/^ *[0-9]+: /{print $2}' /proc/net/tcp | \ 
awk -F: '{print $1}' | uniq -c | sort -nr | head -n 20

        第一部分：

        awk '/^ *[0-9]+: /{print $2}' /proc/net/tcp

        /proc/net/tcp：Linux 下保存 TCP 连接信息的虚拟文件。

        awk '/^ *[0-9]+: /{print $2}'：

         ^ *[0-9]+: ：匹配行首的编号，例如 0:、1:、12: 等。

         {print $2}：打印第二列（默认按空格分列）。在 /proc/net/tcp 中，第二列通常是 本地地址:端口，例如 0100007F:0035（十六进制的 IP:端口）。输出示例：

        0100007F:0035 0A00020F:01BB ...

        第二部分：

        awk -F: '{print $1}'

        -F:：将冒号 : 作为字段分隔符。

        {print $1}：只打印冒号前面的部分，也就是 本地 IP（十六进制）。

        输出示例：0100007F 0A00020F ...

        第三部分：

        uniq -c

        uniq -c：统计相邻相同内容出现的次数。

        注意：uniq 只能统计连续重复行，所以通常和 sort 一起使用。这里第二步没有排序，所以可能统计不到全局频率，但在 /proc/net/tcp 中，通常 IP 是有序的，本地连接同一个 IP 会集中在一起。

        输出示例：

        3 0100007F 2 0A00020F ...

        表示 0100007F 出现 3 次，0A00020F 出现 2 次。 

        第四部分：

        sort -nr

        -n：按数字排序（这里是出现次数）。

        -r：逆序排序（从大到小）。

  2. 利用已安装的二进制做端口扫描（无 nmap）

    • bash + /dev/tcp（Bash内建）：

      for p in 1 22 80 443 8080 9000; do 
    (echo >/dev/tcp/192.168.1.1/$p) >/dev/null 2>&1 && echo "open $p" 
done

    • nc（若存在）也可用：nc -z -v 192.168.1.1 1-1024

  3. ARP / 局域网主机发现

    • 查看 ARP 表：cat /proc/net/arp

    • 若能访问 /sys/class/net/*/address 与 /proc/net/route 可推导子网信息。

  4. DNS / 主机名泄露

    • 查看 /etc/resolv.conf、/etc/hosts、环境变量 env | grep -i dns

  5. 横向凭证发现

    • 搜索常见凭证文件：grep -R --line-number -I "password\|passwd\|secret\|token" / 2>/dev/null | head

    • 查环境变量：env 或 cat /proc/1/environ（权限允许时）

  6. 无文件上传场景下的数据回传

    • 如果不允许出网但能写到共享卷/日志，尝试把结果写到已有的可读位置（比如挂载卷、stdout/stderr、应用日志）

  7. 受限 Shell 下的技巧

    • 使用 printf、echo、dd、tar、base64（若有）进行数据编码与拼接

    • 如果连 bash 的 /dev/tcp 不可用，可通过 awk 的 socket（gawk）或 python / perl（若存在）做网络交互

3. 文本三剑客：grep / sed / awk — 总体说明

  • 三者定位：

    • grep：快速搜索过滤，行级匹配。

    • sed：流编辑器，可做替换/删除/插入/打印（行级、逐行处理）。

    • awk：字段处理与逻辑、统计与简单脚本化（行->字段->操作），适合报表与列处理。

  • 三者组合是日志取证、流量分析、提取与统计的利器。

4. grep 详解（常用选项与示例）

常用选项：

  • -v：反向匹配（显示不匹配的行）

  • -i：忽略大小写

  • -n：显示匹配行号

  • -c：只输出匹配行数

  • -o：只输出匹配到的文本片段（而不是整行）

  • -q：静默模式（用于脚本检测存在性）

  • -P：Perl 正则（如果支持）

  • -E：扩展正则

示例与一行命令：

  • 查找已建立（ESTABLISHED）的远端 IP，统计出现次数，取前 3：

    ss -nt | grep ESTAB | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -n3

  • 过滤掉空行与 # 注释行：

    grep -v -E '^\s*$|^\s*#' /etc/profile

  • 从 ifconfig（或 ip a）中提取 IPv4 地址（兼顾不同系统）：

    ip -4 addr show 2>/dev/null | grep -oP '(?<=inet\s)\d+(\.\d+){3}' | head -n1

    或（如果只有 ifconfig）：

    ifconfig 2>/dev/null | grep -oE 'inet (addr:)?([0-9]{1,3}\.){3}[0-9]{1,3}' | grep -oE '([0-9]{1,3}\.){3}[0-9]{1,3}'

5. sed 详解（原理、常用命令与注意）

原理（简短）

  • sed 读取一行（模式空间），对其应用脚本，并输出（除非用 -n 禁止自动打印）。

  • 支持按地址（行号或正则）操作，能做替换、删除、插入等。

常用选项

  • -n：只输出显式 p 打印的内容；不自动打印每行，只在匹配成功时输出

  • -e script：多脚本编辑

  • -f scriptfile：从文件读取脚本

  • -E 或 -r：使用扩展正则（不同 sed 选项名可能不同）

  • -i[.bak]：直接修改文件并可备份 .bak

  • -s：把多个文件看作独立

常用命令

  • 替换：s/pat/repl/g

  • 删除行：d

  • 插入：i\text

  • 追加：a\text

  • 打印：p

示例

  • 打印第 1 行：

    sed -n '1p' /etc/issue.bak

  • 打印最后一行：

    sed -n '$p' /etc/passwd

  • 删除所有以 # 开头的行并就地保存（备份原文件）：

    sed -ri.bak '/^\s*#/d' /etc/fstab

  • 从 ifconfig 输出提取 IP（示例）：

    ifconfig ens33 2>/dev/null | sed -nr 's/.*inet (addr:)?([0-9.]+).*/\2/p' | head -n1

  • 批量替换日志中某 IP（伪造/清理痕迹注意合规）：

    sed -i 's/192\.168\.1\.3/192.168.1.4/g' /var/log/apache/access.log

注意事项

  • -i 在不同 sed 实现有差异（GNU sed 支持 -i.bak，BSD sed 可能要求 -i ''）。

  • 正则要转义 .、/、& 等特殊符号。

  • sed 对二进制文件不友好，主要用于文本。

6. awk 详解（内置变量、常用用法与示例）

核心思想

  • awk 把每行按字段分割（默认 FS 是空白），对字段/行执行动作，非常适合日志分析与列操作。

  • awk 更像一门小脚本语言，支持条件、循环与用户变量。

常用选项/写法

  • -F：指定字段分隔符，例如 -F':'

  • -v var=val：传入外部变量

  • -f scriptfile：从脚本文件读取命令

内置变量

  • NF：字段数

  • NR：行号（全局）

  • $0：整行，$1、$2：第1、第2字段

常用示例

  • 打印 /etc/passwd 的整行（用 : 分隔）：

    awk -F: '{print $0}' /etc/passwd

  • 从 ss 日志取远端 IP 并统计前 3：

    awk -F"[ :]+" '/ESTAB/{print $(NF-1)}' ss.log | cut -d: -f1 | sort | uniq -c | sort -nr | head -n3

  • 统计 POST 请求来源 IP：

    grep 'POST' /var/log/httpd/access_log | awk '{print $1}' | sort | uniq -c | sort -nr | head

  • 过滤 Content-Length > 5M（假设第10列是长度）：

    awk '$10 > 5000000 {print $0}' /var/log/httpd/access_log

  • /etc/passwd 中 UID >= 500 的用户：

    awk -F: '$3 >= 500 {print $1":"$3}' /etc/passwd

  • 列出所有进程的 swap 使用（从 /proc/*/status）：

    for f in /proc/*/status; do awk '/VmSwap/{printf "%s %s\n", FILENAME, $2}' "$f"; done

  • 查看 root 用户：

    awk -F: '$3==0{print $1}' /etc/passwd

7. 三剑客常见组合模式（一行命令范例）

  • 过滤日志去掉注释/空行、取第 1 列并统计：

    sed -n '/^\s*#/d; /^\s*$/d; p' file.log | awk '{print $1}' | sort | uniq -c | sort -nr

  • 查找特定时间窗口内的请求并汇总 IP：

    awk '$4 ~ /\[01\/Sep\/2025/ {print $1}' /var/log/httpd/access_log | sort | uniq -c | sort -nr

  • 从复杂输出中提取 IPv4 并去重：

    grep -oE '([0-9]{1,3}\.){3}[0-9]{1,3}' file | sort -u

githhub linux开源攻防工具
weixin_44678773的博客
02-11 1179
关于GitHub上Linux开源攻防工具的介绍，以下是一些比较著名的安全工具，这些工具对于渗透测试、漏洞扫描、攻击防御等方面都有重要作用。
Windows和Linux在客户端/服务端在安全攻防方面的区别
xixixi7777的博客
10-20 1255
安全设计：Linux更注重用户权限分离和最小权限原则，而Windows由于历史上针对桌面用户设计，常常在权限控制上存在漏洞。因此，Linux在默认安全性方面优于Windows，攻击者需要更多努力来获取root权限。用户目标：Windows的用户基数和多样性使其成为攻击者的主要目标，尤其是在个人和企业桌面环境中。而Linux由于主要用于服务器和开发者环境，恶意攻击者往往更加谨慎，需要依赖更复杂的攻击手段。社区支持：Linux的开源社区是其安全性的一个重要优势，漏洞修复速度快，安全工具灵活丰富；
Linux攻防快速入门（上）-用户组在攻防场景中的应用
rasssel的博客
09-26 517
系统/保留用户：通常 UID 较小，历史上 CentOS6 之前为 1–499（或 0 系统用户）；（John the Ripper）——用于离线密码破解与安全审计（仅用于合法授权场景）。场景：自动化脚本、容器启动脚本、反弹 shell 下设置密码等（都有安全风险，慎用）。：创建系统用户（UID 范围通常小于 500/1000，取决于系统）：用户账号与基本属性（对所有用户可读，不存放明文密码）。：存放加密后的密码和密码相关策略（仅 root 可读）。：从标准输入读取密码（部分发行版可用，用于非交互场景）
Linux攻防快速入门（上）-文件管理和IO 重定向
rasssel的博客
09-24 1112
stat看文件的 atime/mtime/ctime；touch改时间。rm只是删除目录项，shred试图覆盖数据减少恢复可能。硬链接和软链接用途不同；软链接适合版本切换场景。I/O 重定向与管道是 Linux 文本处理与脚本的核心技能。在做任何写入/删除操作前先备份（tar或），在生产环境尤其谨慎。
Linux上Scapy完全指南：从入门到实战攻防
和舒貌的博客
02-16 1787
Scapy是一款基于Python的交互式数据包操作工具，能够构造、发送、捕获和分析网络协议数据包。支持超过800种协议（如TCP/IP、HTTP、DNS等）无需依赖其他工具即可完成复杂网络操作，提供Python API和交互式命令行两种模式
网络安全学习入门指南-网络攻防方向（2026.1版），安全小白和转行网安入门者必读
2401_85280106的博客
02-24 700
只刷靶场攒积分单纯挖洞不究原理为攻击而攻击无底线在精通系统漏洞、协议逻辑与防御机制的前提下，把漏洞挖掘、渗透测试、防御绕过与加固建议形成闭环，让“防御薄弱点可发现、可验证、可加固、可迭代”。所以，它是安全建设与运营的“试金石”，与各安全方向深度联动，只是目标从“设计/守住安全防线”变成了“验证防线有效性并提供优化依据”。不愿深耕计算机底层与漏洞原理抵触合规约束与伦理边界把控只满足靶场刷分不愿参与实战对抗。
黑客网络攻防技术超详细学习路线！超1000+字的经验总结！0基础学网络攻防从这里开始！
喜欢Python编程的程序员柚柚呀
06-26 915
全网应该没有比我讲的更详细的了，本篇文章整理了行内大佬和我身边众多学生的案例，，请耐心看完，并且由于篇幅过长，我已经把这些内容浓缩成了一个完整的学习路线图，，不管你是还是，都能给你提供网络攻防的学习方向。第一阶段考虑到很多粉丝朋友都是非计算机专业，甚至没有任何计算机基础，那就需要先了解基础的和，比如和以及不要小看了这个阶段，有很多计算机专业的学生连装个软件、配置个环境都要搞半天。第二阶段。
黑客/网络攻防技术超详细学习路线！超1000+字的经验总结！0基础学网络攻防从这里开始！
2401_84578953的博客
07-16 908
全网应该没有比我讲的更详细的了，本篇文章整理了行内大佬和我身边众多学生的案例，，请耐心看完，并且由于篇幅过长，我已经把这些内容浓缩成了一个完整的学习路线图，，不管你是还是，都能给你提供网络攻防的学习方向。第一阶段考虑到很多粉丝朋友都是非计算机专业，甚至没有任何计算机基础，那就需要先了解基础的和，比如和以及不要小看了这个阶段，有很多计算机专业的学生连装个软件、配置个环境都要搞半天。第二阶段。
CTF-AWD实战入门：从攻防基础到自动化攻防策略
aaa1231722的博客
06-20 322
网络安全攻防演练是信息安全领域的核心实践，其原理在于模拟真实环境中的攻击与防御对抗，以提升安全防护能力与应急响应水平。在CTF（Capture The Flag）竞赛中，AWD（Attack With Defense）模式因其动态对抗特性，成为检验实战能力的重要场景。该模式要求参赛者在攻击对手系统的同时，加固自身服务，涉及漏洞利用、系统加固、自动化脚本编写等多方面技能。掌握Web安全基础、Linux系统操作及常见漏洞利用技术，对于构建有效的攻防体系至关重要。通过自动化工具链和监控脚本，可以实现对SQL注入、
小白程序员必备：轻松入门攻防技术！
分享Python知识
04-14 137
本文介绍了逆向工程技术在产品设计、文物修复、军事装备研制等领域的应用特点，并重点推荐360智榜样学习中心的《网络攻防知识库》，适合零基础转型者、开发/运维人员、应届毕业生及安全爱好者学习，内容涵盖网络安全意识、Linux操作系统、Web渗透测试等实战技能，助力快速入门网络安全领域。
适合小白快速入门的黑客教程（建议收藏）
2302_76672693的博客
10-19 99
适合小白快速入门的黑客教程（建议收藏）
网络攻防WEB入门指南：零基础开启安全之旅（手把手教学版）
infoflow2的博客
05-28 912
最近三年网络安全事件增长超300%！（数据来源：国家互联网应急中心）企业安全岗位缺口突破200万，平均薪资比普通开发岗高出35%。但别急着下工具包——咱们先从"防守者视角"开启学习才最稳妥！准备好你的虚拟机，咱们从SQL注入靶场开始实战吧！遇到卡壳问题欢迎评论区留言（工作日48小时内必回）~注意：所有操作请在本地封闭环境进行，切勿扫描未经授权的网站！国际公认的十大WEB漏洞榜单，每年更新。
如何快速搭建网络安全攻防演练环境：Mininet实战指南
gitblog_00919的博客
03-29 352
Mininet是一个强大的软件定义网络（SDN）仿真平台，专为快速原型设计和网络实验而设计。这个开源工具让您能在单台机器上模拟完整的网络环境，包括主机、交换机和链路，是网络安全攻防演练、SDN开发和网络测试的理想选择。😊 ## 🚀 什么是Mininet？ Mininet使用基于进程的虚拟化和Linux网络命名空间技术，在单个Linux内核上模拟完整的网络环境。每个主机都作为一个独立的`ba
攻防实战 | 没一句废话的攻防实战
Innocence_0的博客
03-18 1090
信息收集部分为，针对给定的单位进行二级三级单位，全资控股存续在业公司的子主域名进行收集，筛选过后找到一处子公司的子域名下存在某软系统，为了规避该单位信息泄漏，信息收集部分忽略。使用某软plus利用工具，打入内存马发现失败，这里把流量代理到burp上看到的确是序列化格式数据一开始猜测可能是poc指纹识别误报，手工burp多发几次包即可成功getshell落地机linux，且存在一张网卡10段，这个段可能大部分都是DMZ区主机，做一下单主机信息收集各种数据泄漏看板，ppt数据集的展示大屏，收集一些账号密码上线v
网络攻防准备篇
yy1715713348的博客
09-30 1044
广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
hacker学习快速成为黑客
key8880的博客
05-21 484
不会教你去怎么学习原理，你把这个系统搞熟了，我可以肯定的说你的底层原理也就学到了，还记得上学的时候学英语，单词都掌握了两三千了又得学怎么拼，觉得很变扭，学到最后拼不会，指出一个单词也不知道什么类型什么时态动态，学了最基础的英语就是常用单词看到后大概知道是什么意思，再后来觉得东西太多了学不会或者是跟不上脚步了，就放弃了。实际点，我们要学以致用！看到这里我相信你已经迫不及待的想学习这个系统了，这个系统我就不做过多的介绍，作者之前走了很多弯路，学习就像捡蘑菇一样，捡到的蘑菇都不一样，所以学到的技术就不一样。
Linux攻防快速入门（上）-常见命令
rasssel的博客
09-24 204
Linux 会记录你在终端输入的命令。记录方式：在内存里先保存 → 退出 shell 时写入文件。
Linux 关机命令整理
最新发布
weixin_43989195的博客
06-24 322
Linux 关机命令整理
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值