#审计
16 个方案
用 lsof 列出 Mac 上所有网络连接
一条容易遗忘的命令，能显示所有网络套接字及其所属进程，比 netstat 的裸连接表更实用。
用 Get-HotFix 查看 Windows 已安装的更新
被遗忘的 Get-HotFix cmdlet 一行命令即可回答"KBxxxxxxx 装了吗"，本地远程都适用。
用 find -perm 审计 SUID/SGID 二进制文件
枚举所有以提权身份运行的程序——这里出现意外条目就是经典的本地提权漏洞。
列出 Windows 本地组的成员
用 Get-LocalGroupMember 枚举本地 Administrators、Remote Desktop Users 或任意本地组的成员，包括来自域的账户。
用 `sudo -l` 查看你拥有的 sudo 权限
在照着教程粘贴 sudo 命令之前，或编写自动化脚本时，`sudo -l` 能精确显示你的账号允许执行哪些命令、哪些会被拒绝。
用 PowerShell 查看 Defender 威胁检测记录
Get-MpThreatDetection 能查到 Windows 安全中心界面不显示的完整检测历史。
排查系统中“所有人可写”的文件
列出系统里任何用户都能修改的文件。
用 ausearch 查询 Linux 审计日志
用 ausearch 搜索内核审计日志，查清服务器上谁登录过、改过什么文件、执行过什么命令，输出人类可读。
检查有没有“无密码”的用户账户
一条命令揪出没有密码的账户——这是 Linux 上最隐蔽的后门。
用 codesign -dv 查看应用的代码签名
在终端查看 Mac 上任意应用的签名者、TeamID、CDHash 和权限声明。
用 lastlog 查看所有用户的最后登录时间
每个系统账号打印一行最近登录时间——从未使用的账号会显示“Never logged in”。
用 `lastb` 查看失败的登录尝试
`last` 的孪生命令总被忘掉：lastb 读取 /var/log/btmp，列出所有失败的登录——检查 SSH 服务器是否正被暴力破解的最快方式。