https://www.cnblogs.com/operationhome/p/16637763.html

1.查找详细的入侵痕迹 

last

grep 'Accepted'  /var/log/secure

2.查看最近新增的一些用户

cat /etc/passwd

3.查看定时任务的日志 

vi /var/log/cron

 4.查看开机启动脚本

cat /etc/rc.local