Отслеживаем, кто и когда входил в систему!

Для этого в Linux есть утилиты last, who и w — они берут данные из логов /var/log/wtmp и utmp, показывая время входа, IP-адрес и даже текущую активность пользователей.

Показываем историю входов:

last

Выведет список логинов и логаутов с датами, IP/tty и длительностью сессии. Полезно для расследования взломов.

Смотрим, кто в системе прямо сейчас:

who

Показывает активных пользователей, их терминалы, время входа и IP. Быстрое средство проверки.

Проверяем, что делают пользователи:

w

🔥 Даёт расширенную картину — время бездействия, нагрузку на систему, выполняемые команды.

🚪 Linux Ready | #практика

Покажись, IP!

Определяем местоположение любого IP прямо из терминала с помощью curl и jq — без сторонних библиотек, всё в консоли.

Юзаем бесплатный API от ip-api.com.
Запрос предельно прост:

curl -s http://ip-api.com/json/1.1.1.1

В ответ получаем JSON с информацией о стране, городе, провайдере и других параметрах.

Подключаем jq, чтобы аккуратно вывести нужные поля из ответа:

curl -s http://ip-api.com/json/1.1.1.1 | jq '.country, .regionName, .city, .isp'

Результат будет отображён построчно: страна, регион, город и провайдер.

Для удобства можно оформить это в виде функции:

geoip() {
  curl -s "http://ip-api.com/json/$1" | jq '.query, .country, .city, .isp'
}

И вызвать:

geoip 8.8.8.8

🔥 Отличный способ быстро проверять подозрительные IP во время пентеста или анализа логов.

🚪 Linux Ready | #практика

Как узнать, какие файлы недавно менялись в системе?

Иногда нужно понять, что именно изменилось — после обновления, сбоя или подозрительной активности.

Найти все файлы, изменённые (или созданные) за последние 10 минут:

sudo find / -xdev \( -path /proc -o -path /sys -o -path /run -o -path /dev \) -prune -o \
  -type f -mmin -10 -print 2>/dev/null

Узнать, что трогали в /etc за последние сутки:

sudo find /etc -type f -mtime -1

Проверить, какие исполняемые файлы обновлялись недавно:

sudo find /usr -type f -perm /111 -mtime -1

Флаг /111 ищет файлы, где хотя бы один бит исполнения установлен.

Посмотреть, какие конфиги редактировались недавно (с точным временем):

sudo find /etc -type f -printf '%T@ %p\n' 2>/dev/null | sort -nr | head

Для локального анализа логов:

ls -lt /var/log | head

Работает только для файловых логов — journald не учитывается.

Чтобы проверить системный журнал:

sudo journalctl --since "10 min ago"

🔥 Полезно при поиске изменений после обновлений, вторжений или ручной отладки системных сервисов.

🚪 Linux Ready | #практика