Linux 失陷主机一键应急排查>蓝队应急响应 / Incident Response / 主机取证

项目简介

XWAY IR 是一款面向 Linux 蓝队 / 应急响应工程师 的一键排查脚本,用于在疑似失陷的主机上快速评估入侵痕迹。

• ✅ 零外部依赖 — 只用 psssfindgrepcrontablast 等系统自带命令
• ✅ 纯命令行可视化 — ANSI 颜色 + 分段横幅,SSH 终端直接读
• ✅ 13 个排查模块 — 覆盖挖矿、Webshell、Rootkit、横向移动、Java 内存马、容器逃逸等主流场景
• ✅ 风险评分 + 横向移动证据链 — 不只是"列出来",而是"打分"和"判断是不是跳板"
• ✅ 不改主机 — 完全只读,跑完不留下任何文件(可选 tee 留日志)

v3.0 — 37 个检查模块 + 7 类隧道检测 + 6 类暴力破解 + 攻击路径时间线 + JSON-lines 日志 基于 NOP Team《Linux 应急响应手册 v2.0.2》 全量集成

核心特性

个排查模块

v2.0 新能力 (借鉴自 GScan)

真实运行效果预览

以下是脚本在 1 台被植入 SSH 公钥的云主机上跑出来的真实报告(已打码)。 完整的 13 模块输出 + 风险评分 + 横向移动分析结论:

📌 打码说明:截图里所有 IP、主机名、用户名、SSH 公钥、攻击者 IP、来源 IP、SSH 指纹都已替换为占位符,真实信息仅保留在本地运行时的控制台上,不会泄露。 这台主机的真实结论是: 🔴 风险评分 76 分 / CRITICAL 高危失陷 / 横向移动证据 4 条 — 已作为跳板机被攻击者使用。

适用场景

工具获取