简介《Kali Linux 常用命令大全》面向刚接触Kali与Linux安全测试的学习者也适合需要随手查阅基础命令的从业者用于缓解命令多、用法散、排错时难以快速定位的问题。压缩包内仅含1个docx文档体积约1.96MB便于离线阅读与按目录检索内容以命令手册形式组织覆盖文件与目录操作、系统信息查看、文本处理等日常操作并延伸到帮助查询、登录记录、用户切换、电源管理及路径操作等场景。每个条目围绕命令用途、常见参数和典型示例展开目录层级清晰可帮助读者从基础文件管理逐步熟悉Kali环境中的系统查看、文本筛选与权限切换思路。已有633人学习适合作为入门阶段的速查清单和练习索引也可在安全测试准备中用于补齐Linux命令基础、提升终端操作效率。1. 一份 DOCX 顶半个手册Kali 常用命令该按什么顺序啃刚装完 Kali Linux 的人十个里有八个会在第一周把终端敲成一团乱麻ls出来的结果看不懂权限位rm一不小心删掉了刚配好的目录man查出来满屏英文直接劝退。这份《Kali 常用命令大全》解决的正是这个阶段的问题——它不是一本讲原理的操作系统教材而是一张按命令逐条拆开的速查表覆盖目录查看、帮助查询、登录审计、电源管理、路径切换、文件增删改查、文本查看与打包压缩这几条主线。它适合两类人一类是刚接触 Kali、要在授权范围内做安全评估环境熟悉的新手需要一份能对照敲的命令清单另一类是日常在 Linux 上做运维或 web 渗透前置准备的老手想补几个平时用得少、关键时刻又要查的参数比如last -R、tar的参数顺序、su与sudo的环境差异。下面按命令族拆开讲参数怎么设、哪里会翻车一并说清。2. 文件与路径操作ls 到 rm 九个命令的参数边界文件系统操作是整套命令里调用频率最高的一块也是误操作代价最大的一块。DOCX 里从ls、pwd、cd一路讲到touch、mkdir、cp、mv、rm、ln逻辑是按“看清楚 → 建出来 → 搬走 → 删掉”的顺序排的。照着这个顺序练一遍比零散记参数有效得多因为每个命令的输出都会成为下一个命令的输入。2.1 ls 的四种组合先把目录看明白ls默认按文件名排序输出当前目录的非隐藏内容真正有用的是参数组合。-a把以.开头的隐藏项放出来-l转成长格式权限、属主、大小、时间-t按修改时间倒序-R递归展开子目录-h把字节数换成人能读的 K/M/G。要注意-h单独用几乎没有意义它只对-l的长格式生效这是新手最常见的困惑之一。# 只看当前目录非隐藏内容 ls # 长格式最常用的一条 ls -l # Kali 默认给 root 配了别名ll 等价于 ls -l ll # 全部内容含 . 开头的隐藏文件与目录 ls -a # 全部内容 长格式排查配置文件时用得最多 ls -al # 长格式 人类可读大小 按时间倒序找最近改过的文件 ls -lhtll这个别名来自 shell 的配置文件Kali 默认 shell 是 zsh别名写在~/.zshrc里换到 bash 环境比如某些脚本或sh -c就不生效脚本里一律写全ls -l别偷懒。ls -lht是排查“哪个文件刚被改过”的快捷方式输出第一行之后按时间从新到旧排配合head截前几行就能定位。-R在目录树很深的时候输出会失控几十万行刷屏是常事。我一般只在明确知道子目录层级不超过两层的场景用它深度不确定就换find . -maxdepth 2可控性更好。2.2 pwd 与 cd符号链接下的两个视角pwd打印当前工作目录的绝对路径默认-L打印的是环境变量$PWD的值如果当前路径是符号链接输出的就是链接路径-P打印的是物理位置会一路解析到真实目录。cd的两个参数与之对应-L跟随符号链接进入链接目录-P直接跳到链接指向的物理目录。日常用不出差别但在做目录挂载、软链转发、容器卷映射时pwd -P和pwd -L输出不一样脚本里取路径一定用-P否则后续拼接出来的路径可能指向错误位置。# 默认视角可能是软链接路径 pwd # 物理路径解析掉所有符号链接 pwd -P # 回到上一个工作目录靠环境变量 OLDPWD 实现 cd -cd -是省事的好东西它读取OLDPWD并切换过去同时把当前目录写进OLDPWD形成来回切换。cd不带参数则回到$HOME。这两个行为在写交互式脚本时有用但在非交互脚本里不要依赖OLDPWD子 shell 之间不共享。2.3 touch 与 mkdir时间戳和递归创建touch承担两个职责文件不存在时创建空文件存在时更新访问时间 atime、修改时间 mtime、状态变更时间 ctime 为当前时间。-a只改 at 和 ct-m只改 mt 和 ct-t可以指定时间格式是[[CC]YY]MMDDhhmm[.ss]。# 建三个空文件 touch a.txt b.txt c.txt # 只更新访问时间 touch -a a.txt # 把 mtime 改成指定时间格式 年月日时分 touch -t 202401150930 a.txt # 用参考文件的时间戳覆盖目标文件 touch -r a.txt b.txttouch -t在复现日志时间线、构造测试数据时很实用比如要造一批“看起来是三天前生成”的文件直接touch -t比改系统时间安全得多。mkdir的关键参数只有两个-p递归创建多级目录且已存在不报错-m建目录的同时指定权限八进制直接生效不受 umask 影响。# 一次性建三级目录中间层不存在也不报错 mkdir -p /tmp/lab/recon/notes # 建目录并指定权限为 700 mkdir -m 700 /tmp/lab/private-m和“先mkdir再chmod”的区别在于中间态mkdir -m 700创建出来的目录从第一刻就是 700不存在短暂的默认权限窗口。涉及敏感目录时这个差别有意义。2.4 cp、mv、rm、ln四个高风险命令的参数取舍cp复制-R/-r递归处理目录-p保留源文件的权限、属主、时间戳-d复制符号链接本身而不是它指向的内容-a等价于-dpR三者叠加是归档式复制。日常备份目录直接用-a比手拼三个参数稳。# 递归复制目录并保留属性 cp -a /etc/nginx /backup/nginx-$(date %F) # 只复制链接本身不跟进目标 cp -d link1 link2 # 交互式覆盖目标存在时先问 cp -i report.txt /tmp/mv兼具移动和重命名两种语义同一父目录内移动就是改名。-i覆盖前询问-f强制覆盖不询问-b覆盖前先备份成目标名~-u只在源比目标新时才覆盖。# 覆盖前自动备份后悔药就在这 mv -b config.yaml config.yaml.new # 只在源较新时更新做增量同步的土办法 mv -u build/* /var/www/rm是这套命令里唯一没有回收站的-f强制、-i询问、-r/-R递归、-v显示过程。注意 root 用户的rm通常没有配-i别名敲下去就是直接删。# 递归删除并打印每个被删项删之前先看清楚 rm -rv /tmp/lab/old # 删除前逐项确认处理不确定目录时用 rm -ri /tmp/lab/maybeln建链接-s建软链接符号链接。区别要记牢硬链接指向同一个 inode删掉任一链接文件数据仍在不能跨文件系统不能给目录建软链接是一个独立的小文件存的是目标路径字符串目标被删就变成死链可以跨文件系统可以指向目录。DOCX 里强调软链接的源要写绝对路径原因是相对路径的软链接在移动位置后会解析失败除非你精确控制链接与目标的相对层级。# 软链接源写绝对路径 ln -s /opt/tools/bin/scanner /usr/local/bin/scanner # 硬链接两个名字共享同一份数据 ln /data/original.bin /data/hardlink.bin3. 帮助体系与身份电源查不到 man 时的四级回退命令记不住是常态把帮助查询的路径理顺比背参数划算。DOCX 把帮助命令单列一章顺序是whatis→help→man→info这个顺序实际上就是一条从“一句话”到“一本书”的回退链。后面接登录审计和电源管理是因为这三块都属于“系统级操作”权限要求和风险等级都比文件操作高一档。3.1 四级查询顺序与各自的失效场景whatis查命令的一句话描述靠的是预建的手册索引数据库不是实时解析。速度极快但数据库没建或者新装的软件没入库时会返回nothing appropriate。# 一句话描述 whatis ls # 查不到时重建索引再查一次 sudo mandb whatis lshelp是 shell 内建命令只对 bash/zsh 内置的命令有效比如cd、echo、alias、export。对外部可执行文件ls、find用help ls会直接报错。判断一个命令是内建还是外部用type。# 判断命令类型 type cd # cd is a shell builtin type ls # ls is aliased to ls --colorauto type find # find is /usr/bin/find # 内建命令用 help help cd # 外部命令用 --help 拿简要参数表 ls --helpman是主力手册页按分区组织1 是用户命令5 是配置文件格式8 是系统管理命令。同一个名字在不同分区可能是完全不同的东西比如man 5 passwd看的是文件格式man 1 passwd看的是改密码命令。# 默认按分区顺序找第一个匹配 man ls # 指定分区 man 5 passwd # 按关键词反查手册忘记命令名时用 man -k passwordinfo是 GNU 项目的文档格式比 man 多超链接和节点跳转但 Kali 默认不装需要手动补。sudo apt-get install -y info info coreutils四级回退的实际用法是先whatis拿一句话判断是不是你要的命令是内建就help外部命令用命令 --help快速看参数参数含义说不清再manGNU 工具的行为细节比如tar的边界情况去info翻。3.2 中文 man 的安装与别名落点英文手册页对新手是硬门槛。DOCX 给的方案是装中文 man 包再配别名思路没问题但有个细节要注意man -M指定的是手册搜索路径别名要写进当前 shell 的配置文件Kali 默认是~/.zshrc如果你切到 bash 就要写~/.bashrc两边都写也不冲突。# 更新索引并安装中文手册包 sudo apt update sudo apt install manpages-zh # 写入 zsh 别名用 cman 调中文手册 echo alias cmanman -M /usr/share/man/zh_CN ~/.zshrc source ~/.zshrc # 验证 cman lsman -M后面跟的是目录man 会去该目录下按man1、man5、man8的层级找对应文件。中文包覆盖不全缺失的条目会自动回落到英文这属于正常现象不是安装失败。3.3 su 与 sudo环境变量才是分水岭su切用户-表示重新开启一个登录 shell同时加载目标用户的环境变量和家目录-m保留当前环境变量-c只执行一条命令后恢复原身份-s指定 shell。# 切换到 root 并加载 root 的环境 su - # 保留当前环境变量切换 su -m # 以 root 执行单条命令后回到原用户 su -c systemctl restart ssh关键差异在这里su不带-时切换后$PATH、$HOME仍然是原用户的你会遇到“明明切到 root 了which却找不到/sbin下的命令”。su -才是完整的登录切换。sudo则是以另一个用户身份执行单条命令默认不切换 shell 环境权限按/etc/sudoers配置走比共享 root 密码更可控。# 以 root 身份执行单条命令 sudo systemctl status ssh # 拿到一个 root 的登录 shell sudo -i # 以指定用户身份执行 sudo -u www-data idsudo -i和su -效果接近区别在于sudo -i走的是 sudoers 授权不需要知道 root 密码且会记录审计日志。生产环境优先用 sudosu -留着做应急。3.4 shutdown、halt、reboot三种关机不是一回事shutdown是安全的关机方式会先通知所有登录用户、冻结新的登录、逐项停止服务再断电。-h关机-r重启-c取消已排期的关机-k只发通知不真关-f重启时跳过 fsck-F强制 fsck。时间可以写成5五分钟后或now。# 五分钟后关机并广播通知注意 和数字之间不能有空格 shutdown -h 5 System will shut down after 5 minutes # 立即重启 shutdown -r now # 取消已排期的关机 shutdown -c # 只广播不关机做演练 shutdown -k 10 Maintenance drillhalt直接执行硬件停机不逐项关闭服务shutdown会先停服务再调halt。reboot重启参数与halt基本一致-w只写 wtmp 记录不真操作-n关机前不做 sync 同步危险-d不写 wtmp-i关机前关闭所有网络接口-p关机时调用 poweroff。halt -n和reboot -n跳过 sync意味着内存里未落盘的数据直接丢。这两个参数出现在文档里是为了完整性实际操作中除非磁盘已经挂死、正常 sync 会卡住否则不要碰。直接拔电源关机在 Linux 上的风险不在于“会不会坏”而在于后台进程的写入缓冲shutdown存在的意义就是把这段时间留出来。4. 查看、检索与打包cat 到 tar 的组合用法文本查看和文件检索是排查问题的两支主力。DOCX 覆盖了cat、more、less、head、tail、find、locate、which、gzip、tar这些命令单独看都简单组合起来才有威力而组合的坑往往出在参数位置和输出格式上。4.1 cat、more、less三个层级的查看器cat全量输出适合短文件。三个功能显示内容、拼接多个文件、显示不可见字符。-n给所有行编号-b只给非空行编号-A显示不可打印字符行尾$制表符^I。# 看短文件并编号 cat -n /etc/hosts # 显示不可见字符排查 Windows 换行符和尾部空格 cat -A config.ini # 拼接多个文件输出到新文件 cat part1.txt part2.txt full.txtcat -A是排查配置文件“看起来一样但就是不生效”的常用手段Windows 的\r\n会显示成^M$多余的空格和制表符一目了然。more全屏分页只能向前翻快捷键 Space 翻页、Enter 翻行、b回退、q退出。n从第 n 行开始/pattern从匹配行前两行开始-c先清屏再显示。less是more的增强版支持前后翻页和搜索/字符串向下搜?字符串向上搜n跳到下一个匹配q退出。# 从第 50 行开始看 more 50 /var/log/syslog # less 打开后直接定位到 error less /error /var/log/syslog日志动辄几百兆用cat打开就是自找麻烦。less是懒加载的打开大文件几乎不耗时而cat会一次性读进管道内存和终端都会被拖死。这个差别在排查线上问题时很实际。4.2 head 与 tail日志场景的两个方向head看头部默认 10 行-n指定行数-c按字符数-v显示文件名-q不显示文件名。tail看尾部参数一致另外还有一个文档里没写但日志场景离不开的-f用于持续跟踪文件追加内容。# 看配置文件的头 20 行 head -n 20 /etc/ssh/sshd_config # 只看前 200 个字符 head -c 200 access.log # 看日志最后 50 行 tail -n 50 /var/log/auth.log # 持续跟踪CtrlC 退出 tail -f /var/log/auth.logtail -f是排查服务启动失败的标配先开一个窗口跟踪日志再在另一个窗口重启服务报错会实时滚出来。比反复cat高效得多也不用记时间点。head -c在处理二进制文件头判断文件类型、校验魔数时比head -n更精确因为二进制没有“行”的概念。4.3 find 与 locate两套完全不同的模型find实时遍历文件系统条件可以任意组合-name按名字区分大小写-iname忽略大小写-user/-group按属主属组-size按大小n大于-n小于单位c字节、kKB、GGB-type按类型f普通文件、d目录、l软链接-perm按权限-path匹配完整路径。# 当前目录下所有 .conf 文件 find . -name *.conf # 忽略大小写 find /etc -iname *.CONF # 找大于 100M 的普通文件 find / -type f -size 100M 2/dev/null # 按权限精确匹配 644 find . -type f -perm 644 # 找到后批量删除-exec 结尾的 \; 不能少 find /tmp/lab -type f -name *.tmp -exec rm -f {} \;-exec后面跟命令{}代表找到的文件\;是命令结束符必须转义否则被 shell 吃掉。这个位置漏掉分号是最常见的语法错误报错信息还不直观。locate查的是预建索引数据库速度比find快一个数量级但结果可能过期。-i忽略大小写-n限制输出行数。索引由updatedb维护新装的文件不updatedb就查不到。# 先刷新索引再查 sudo updatedb locate -i nmap # 只输出前 10 条 locate -n 10 *.conf两者的选择很明确知道大概位置、要精确条件、要求结果实时用find只记得文件名片段、要快速扫全盘用locate再拿结果去find验证。find /在大盘上跑几分钟很正常locate是毫秒级但代价是索引可能滞后做安全排查时不能只信locate。which查命令的绝对路径原理是遍历$PATH里的目录找第一个同名可执行文件。它回答的是“我敲的这个命令实际执行的是哪个文件”在排查同名命令冲突、确认工具是否装成功时最直接。which python3 which -a python3 # 列出 PATH 中所有匹配项which -a比which更有用特别是环境里装了多个版本的时候能看到全部候选和优先级顺序。4.4 gzip 与 tar压缩和打包是两件事gzip只压缩单个文件压缩后原文件变成.gz原文件消失。-d解压-f强制-r递归处理目录下所有文件注意是逐个压缩不是打包-l列出压缩信息-v显示过程。# 压缩原文件变成 access.log.gz gzip access.log # 解压 gzip -d access.log.gz # 查看压缩比 gzip -l access.log.gztar才是打包把多个文件和目录合成一个归档再可选地用 gzip 压缩。参数含义-c创建-x提取-z用 gzip 压缩/解压-v显示过程-f指定归档文件名。# 打包并压缩-f 后面必须紧跟文件名 tar -czvf backup-$(date %F).tar.gz /var/www/html # 解包到指定目录 tar -xzvf backup-20240115.tar.gz -C /tmp/restore # 只看包内文件列表不解压 tar -tzvf backup-20240115.tar.gz参数顺序是这块最容易翻车的地方。-f后面必须紧跟归档文件名tar -czvf和tar -cfvz看起来差不多后者会把v当成文件名去创建然后报错或生成一个奇怪的档案。老式写法tar czvf不带横杠能工作但一旦混用带横杠和不带横杠的形式就容易出错统一用带横杠的-czvf更稳。-C指定解压目标目录位置放在归档名之后写在前面会被当成文件名的一部分。5. 避坑与排查五条让命令翻车的现场记录参数记不住可以查习惯错了会反复踩。下面五条是这套命令在实际使用里出现频率最高的翻车场景每条按现象、原因、解决三段说。5.1 rm -rf 后面的通配符被 shell 提前展开现象执行rm -rf $DIR/*变量拼错或者目录为空时命令变成了rm -rf /*系统目录被清空。原因$DIR未定义时展开为空字符串/*保留shell 把/下的所有内容作为参数传给rm。同理路径里有空格没加引号会被拆成多个参数。解决变量一律加引号并做空值判断删除前先打印。# 危险写法 rm -rf $DIR/* # 安全写法判断非空 引号 先确认路径 [ -n $DIR ] [ -d $DIR ] || { echo DIR invalid; exit 1; } echo target: ${DIR:?}/* rm -rf -- ${DIR:?}/*${DIR:?}在变量为空时报错并中止--告诉rm后面不再解析选项防止目录名以-开头被当成参数。5.2 cp -a 复制过去后权限和属主全变了现象用cp -r复制网站目录到新位置文件权限变成默认 644/755属主变成当前用户服务起不来。原因-r只递归不带属性保留。默认行为会按 umask 重新计算权限属主变成执行者。-p保权限和时间戳-d处理软链接-a是三者合并。解决归档式复制统一用cp -a跨主机传输先tar再解包tar天然保留属主和时间戳。# 保留属性复制目录 cp -a /var/www/html /backup/html-$(date %F) # 跨机迁移更稳的方式 tar -czf - -C /var/www html | ssh userhost tar -xzf - -C /var/www5.3 tar 参数顺序写反导致归档文件异常现象tar -cfvz backup.tar.gz dir/执行后没报错但生成的包解不开或者包名变成了v。原因-f必须紧跟归档文件名-cfvz里f后面接的是vtar把v当成目标文件名z和dir被当成待打包内容。解决固定写成-czvf把f放在最后一位、紧跟文件名形成肌肉记忆。# 正确f 最后紧跟包名 tar -czvf backup.tar.gz /path/to/dir # 解包同理 tar -xzvf backup.tar.gz -C /target5.4 whatis 返回 nothing appropriate现象刚装完一个工具whatis 工具名提示nothing appropriate但man 工具名正常。原因whatis查的是手册索引数据库apt安装后索引未必同步更新尤其在离线装包或手动拷贝 man 文件的场景下。解决重建索引再查仍然查不到就说明该命令没有登记手册条目直接命令 --help。sudo mandb whatis tar # 索引重建后仍为空走 --help tar --help | head -n 205.5 halt -n 之后文件系统报错现象为了快速关机用了halt -n重启后出现文件系统需要 fsck 的提示个别日志文件内容截断。原因-n跳过 sync页缓存里没落盘的写操作直接丢失元数据和数据不一致。解决正常关机走shutdown -h now它会先停服务再 sync 再断电。确实要跳过 fsck 用shutdown -h -f而不是halt -n。任何情况下都不建议在数据盘有写入时用-n。# 正确关机流程 sudo sync sudo shutdown -h now6. 进阶把散命令串成一条可复用的核查链单个命令用熟之后真正拉开效率差距的是把它们串成固定流程。我处理一台陌生授权环境的 Kali 时第一轮不碰任何工具只跑一遍下面这条核查链五分钟内就能把“系统是什么、谁登过、有没有异常大文件、日志在哪”摸清楚。#!/bin/bash # quick-check.sh —— 环境初查只读操作不做任何修改 set -u echo 1. 系统与内核 uname -a cat /etc/os-release | head -n 3 echo 2. 谁登录过 last -n 10 -R echo 3. 当前登录会话 who echo 4. 大于 500M 的文件 find / -xdev -type f -size 500M 2/dev/null | head -n 20 echo 5. 最近 24 小时改动的配置 find /etc -type f -mtime -1 2/dev/null | head -n 30 echo 6. 关键日志尾部 tail -n 20 /var/log/auth.log 2/dev/null逐条说明参数意图last -n 10 -R只取最近 10 条登录记录-R去掉主机名和 IP 列输出更干净适合快速扫find / -xdev里的-xdev是限制不跨文件系统避免扫到挂载的网络盘和临时盘把时间拖长-mtime -1是 24 小时内修改比-mmin的粗粒度更适合做“最近动过什么”的初筛tail前面加2/dev/null是因为部分发行版日志路径不同文件不存在时不该中断脚本。验证这条链是否有效有个简单办法故意在/etc下建一个测试文件touch /etc/_test_probe然后重跑第 5 段看它是否出现在输出里。出现了说明时间条件写对了再rm /etc/_test_probe重跑一遍确认消失。这个“先注入再验证”的习惯比看文档猜参数可靠得多。血泪经验是这类脚本一律只读绝不在第一轮里带rm、mv、重定向。初查阶段的信息量已经足够定位方向动手改是第二轮的事。我早年在一台客户机上把find的结果直接管道给xargs rm结果文件名里带空格被拆成两段删错了一个正在用的配置文件从那以后凡是删除类操作我都强制先echo一遍目标列表人眼过一遍再执行。工具再熟这一步也不省。希望帮到你。本文还有配套的精品资源点击获取
简介《Kali Linux 常用命令大全》面向刚接触Kali与Linux安全测试的学习者也适合需要随手查阅基础命令的从业者用于缓解命令多、用法散、排错时难以快速定位的问题。压缩包内仅含1个docx文档体积约1.96MB便于离线阅读与按目录检索内容以命令手册形式组织覆盖文件与目录操作、系统信息查看、文本处理等日常操作并延伸到帮助查询、登录记录、用户切换、电源管理及路径操作等场景。每个条目围绕命令用途、常见参数和典型示例展开目录层级清晰可帮助读者从基础文件管理逐步熟悉Kali环境中的系统查看、文本筛选与权限切换思路。已有633人学习适合作为入门阶段的速查清单和练习索引也可在安全测试准备中用于补齐Linux命令基础、提升终端操作效率。1. 一份 DOCX 顶半个手册Kali 常用命令该按什么顺序啃刚装完 Kali Linux 的人十个里有八个会在第一周把终端敲成一团乱麻ls出来的结果看不懂权限位rm一不小心删掉了刚配好的目录man查出来满屏英文直接劝退。这份《Kali 常用命令大全》解决的正是这个阶段的问题——它不是一本讲原理的操作系统教材而是一张按命令逐条拆开的速查表覆盖目录查看、帮助查询、登录审计、电源管理、路径切换、文件增删改查、文本查看与打包压缩这几条主线。它适合两类人一类是刚接触 Kali、要在授权范围内做安全评估环境熟悉的新手需要一份能对照敲的命令清单另一类是日常在 Linux 上做运维或 web 渗透前置准备的老手想补几个平时用得少、关键时刻又要查的参数比如last -R、tar的参数顺序、su与sudo的环境差异。下面按命令族拆开讲参数怎么设、哪里会翻车一并说清。2. 文件与路径操作ls 到 rm 九个命令的参数边界文件系统操作是整套命令里调用频率最高的一块也是误操作代价最大的一块。DOCX 里从ls、pwd、cd一路讲到touch、mkdir、cp、mv、rm、ln逻辑是按“看清楚 → 建出来 → 搬走 → 删掉”的顺序排的。照着这个顺序练一遍比零散记参数有效得多因为每个命令的输出都会成为下一个命令的输入。2.1 ls 的四种组合先把目录看明白ls默认按文件名排序输出当前目录的非隐藏内容真正有用的是参数组合。-a把以.开头的隐藏项放出来-l转成长格式权限、属主、大小、时间-t按修改时间倒序-R递归展开子目录-h把字节数换成人能读的 K/M/G。要注意-h单独用几乎没有意义它只对-l的长格式生效这是新手最常见的困惑之一。# 只看当前目录非隐藏内容 ls # 长格式最常用的一条 ls -l # Kali 默认给 root 配了别名ll 等价于 ls -l ll # 全部内容含 . 开头的隐藏文件与目录 ls -a # 全部内容 长格式排查配置文件时用得最多 ls -al # 长格式 人类可读大小 按时间倒序找最近改过的文件 ls -lhtll这个别名来自 shell 的配置文件Kali 默认 shell 是 zsh别名写在~/.zshrc里换到 bash 环境比如某些脚本或sh -c就不生效脚本里一律写全ls -l别偷懒。ls -lht是排查“哪个文件刚被改过”的快捷方式输出第一行之后按时间从新到旧排配合head截前几行就能定位。-R在目录树很深的时候输出会失控几十万行刷屏是常事。我一般只在明确知道子目录层级不超过两层的场景用它深度不确定就换find . -maxdepth 2可控性更好。2.2 pwd 与 cd符号链接下的两个视角pwd打印当前工作目录的绝对路径默认-L打印的是环境变量$PWD的值如果当前路径是符号链接输出的就是链接路径-P打印的是物理位置会一路解析到真实目录。cd的两个参数与之对应-L跟随符号链接进入链接目录-P直接跳到链接指向的物理目录。日常用不出差别但在做目录挂载、软链转发、容器卷映射时pwd -P和pwd -L输出不一样脚本里取路径一定用-P否则后续拼接出来的路径可能指向错误位置。# 默认视角可能是软链接路径 pwd # 物理路径解析掉所有符号链接 pwd -P # 回到上一个工作目录靠环境变量 OLDPWD 实现 cd -cd -是省事的好东西它读取OLDPWD并切换过去同时把当前目录写进OLDPWD形成来回切换。cd不带参数则回到$HOME。这两个行为在写交互式脚本时有用但在非交互脚本里不要依赖OLDPWD子 shell 之间不共享。2.3 touch 与 mkdir时间戳和递归创建touch承担两个职责文件不存在时创建空文件存在时更新访问时间 atime、修改时间 mtime、状态变更时间 ctime 为当前时间。-a只改 at 和 ct-m只改 mt 和 ct-t可以指定时间格式是[[CC]YY]MMDDhhmm[.ss]。# 建三个空文件 touch a.txt b.txt c.txt # 只更新访问时间 touch -a a.txt # 把 mtime 改成指定时间格式 年月日时分 touch -t 202401150930 a.txt # 用参考文件的时间戳覆盖目标文件 touch -r a.txt b.txttouch -t在复现日志时间线、构造测试数据时很实用比如要造一批“看起来是三天前生成”的文件直接touch -t比改系统时间安全得多。mkdir的关键参数只有两个-p递归创建多级目录且已存在不报错-m建目录的同时指定权限八进制直接生效不受 umask 影响。# 一次性建三级目录中间层不存在也不报错 mkdir -p /tmp/lab/recon/notes # 建目录并指定权限为 700 mkdir -m 700 /tmp/lab/private-m和“先mkdir再chmod”的区别在于中间态mkdir -m 700创建出来的目录从第一刻就是 700不存在短暂的默认权限窗口。涉及敏感目录时这个差别有意义。2.4 cp、mv、rm、ln四个高风险命令的参数取舍cp复制-R/-r递归处理目录-p保留源文件的权限、属主、时间戳-d复制符号链接本身而不是它指向的内容-a等价于-dpR三者叠加是归档式复制。日常备份目录直接用-a比手拼三个参数稳。# 递归复制目录并保留属性 cp -a /etc/nginx /backup/nginx-$(date %F) # 只复制链接本身不跟进目标 cp -d link1 link2 # 交互式覆盖目标存在时先问 cp -i report.txt /tmp/mv兼具移动和重命名两种语义同一父目录内移动就是改名。-i覆盖前询问-f强制覆盖不询问-b覆盖前先备份成目标名~-u只在源比目标新时才覆盖。# 覆盖前自动备份后悔药就在这 mv -b config.yaml config.yaml.new # 只在源较新时更新做增量同步的土办法 mv -u build/* /var/www/rm是这套命令里唯一没有回收站的-f强制、-i询问、-r/-R递归、-v显示过程。注意 root 用户的rm通常没有配-i别名敲下去就是直接删。# 递归删除并打印每个被删项删之前先看清楚 rm -rv /tmp/lab/old # 删除前逐项确认处理不确定目录时用 rm -ri /tmp/lab/maybeln建链接-s建软链接符号链接。区别要记牢硬链接指向同一个 inode删掉任一链接文件数据仍在不能跨文件系统不能给目录建软链接是一个独立的小文件存的是目标路径字符串目标被删就变成死链可以跨文件系统可以指向目录。DOCX 里强调软链接的源要写绝对路径原因是相对路径的软链接在移动位置后会解析失败除非你精确控制链接与目标的相对层级。# 软链接源写绝对路径 ln -s /opt/tools/bin/scanner /usr/local/bin/scanner # 硬链接两个名字共享同一份数据 ln /data/original.bin /data/hardlink.bin3. 帮助体系与身份电源查不到 man 时的四级回退命令记不住是常态把帮助查询的路径理顺比背参数划算。DOCX 把帮助命令单列一章顺序是whatis→help→man→info这个顺序实际上就是一条从“一句话”到“一本书”的回退链。后面接登录审计和电源管理是因为这三块都属于“系统级操作”权限要求和风险等级都比文件操作高一档。3.1 四级查询顺序与各自的失效场景whatis查命令的一句话描述靠的是预建的手册索引数据库不是实时解析。速度极快但数据库没建或者新装的软件没入库时会返回nothing appropriate。# 一句话描述 whatis ls # 查不到时重建索引再查一次 sudo mandb whatis lshelp是 shell 内建命令只对 bash/zsh 内置的命令有效比如cd、echo、alias、export。对外部可执行文件ls、find用help ls会直接报错。判断一个命令是内建还是外部用type。# 判断命令类型 type cd # cd is a shell builtin type ls # ls is aliased to ls --colorauto type find # find is /usr/bin/find # 内建命令用 help help cd # 外部命令用 --help 拿简要参数表 ls --helpman是主力手册页按分区组织1 是用户命令5 是配置文件格式8 是系统管理命令。同一个名字在不同分区可能是完全不同的东西比如man 5 passwd看的是文件格式man 1 passwd看的是改密码命令。# 默认按分区顺序找第一个匹配 man ls # 指定分区 man 5 passwd # 按关键词反查手册忘记命令名时用 man -k passwordinfo是 GNU 项目的文档格式比 man 多超链接和节点跳转但 Kali 默认不装需要手动补。sudo apt-get install -y info info coreutils四级回退的实际用法是先whatis拿一句话判断是不是你要的命令是内建就help外部命令用命令 --help快速看参数参数含义说不清再manGNU 工具的行为细节比如tar的边界情况去info翻。3.2 中文 man 的安装与别名落点英文手册页对新手是硬门槛。DOCX 给的方案是装中文 man 包再配别名思路没问题但有个细节要注意man -M指定的是手册搜索路径别名要写进当前 shell 的配置文件Kali 默认是~/.zshrc如果你切到 bash 就要写~/.bashrc两边都写也不冲突。# 更新索引并安装中文手册包 sudo apt update sudo apt install manpages-zh # 写入 zsh 别名用 cman 调中文手册 echo alias cmanman -M /usr/share/man/zh_CN ~/.zshrc source ~/.zshrc # 验证 cman lsman -M后面跟的是目录man 会去该目录下按man1、man5、man8的层级找对应文件。中文包覆盖不全缺失的条目会自动回落到英文这属于正常现象不是安装失败。3.3 su 与 sudo环境变量才是分水岭su切用户-表示重新开启一个登录 shell同时加载目标用户的环境变量和家目录-m保留当前环境变量-c只执行一条命令后恢复原身份-s指定 shell。# 切换到 root 并加载 root 的环境 su - # 保留当前环境变量切换 su -m # 以 root 执行单条命令后回到原用户 su -c systemctl restart ssh关键差异在这里su不带-时切换后$PATH、$HOME仍然是原用户的你会遇到“明明切到 root 了which却找不到/sbin下的命令”。su -才是完整的登录切换。sudo则是以另一个用户身份执行单条命令默认不切换 shell 环境权限按/etc/sudoers配置走比共享 root 密码更可控。# 以 root 身份执行单条命令 sudo systemctl status ssh # 拿到一个 root 的登录 shell sudo -i # 以指定用户身份执行 sudo -u www-data idsudo -i和su -效果接近区别在于sudo -i走的是 sudoers 授权不需要知道 root 密码且会记录审计日志。生产环境优先用 sudosu -留着做应急。3.4 shutdown、halt、reboot三种关机不是一回事shutdown是安全的关机方式会先通知所有登录用户、冻结新的登录、逐项停止服务再断电。-h关机-r重启-c取消已排期的关机-k只发通知不真关-f重启时跳过 fsck-F强制 fsck。时间可以写成5五分钟后或now。# 五分钟后关机并广播通知注意 和数字之间不能有空格 shutdown -h 5 System will shut down after 5 minutes # 立即重启 shutdown -r now # 取消已排期的关机 shutdown -c # 只广播不关机做演练 shutdown -k 10 Maintenance drillhalt直接执行硬件停机不逐项关闭服务shutdown会先停服务再调halt。reboot重启参数与halt基本一致-w只写 wtmp 记录不真操作-n关机前不做 sync 同步危险-d不写 wtmp-i关机前关闭所有网络接口-p关机时调用 poweroff。halt -n和reboot -n跳过 sync意味着内存里未落盘的数据直接丢。这两个参数出现在文档里是为了完整性实际操作中除非磁盘已经挂死、正常 sync 会卡住否则不要碰。直接拔电源关机在 Linux 上的风险不在于“会不会坏”而在于后台进程的写入缓冲shutdown存在的意义就是把这段时间留出来。4. 查看、检索与打包cat 到 tar 的组合用法文本查看和文件检索是排查问题的两支主力。DOCX 覆盖了cat、more、less、head、tail、find、locate、which、gzip、tar这些命令单独看都简单组合起来才有威力而组合的坑往往出在参数位置和输出格式上。4.1 cat、more、less三个层级的查看器cat全量输出适合短文件。三个功能显示内容、拼接多个文件、显示不可见字符。-n给所有行编号-b只给非空行编号-A显示不可打印字符行尾$制表符^I。# 看短文件并编号 cat -n /etc/hosts # 显示不可见字符排查 Windows 换行符和尾部空格 cat -A config.ini # 拼接多个文件输出到新文件 cat part1.txt part2.txt full.txtcat -A是排查配置文件“看起来一样但就是不生效”的常用手段Windows 的\r\n会显示成^M$多余的空格和制表符一目了然。more全屏分页只能向前翻快捷键 Space 翻页、Enter 翻行、b回退、q退出。n从第 n 行开始/pattern从匹配行前两行开始-c先清屏再显示。less是more的增强版支持前后翻页和搜索/字符串向下搜?字符串向上搜n跳到下一个匹配q退出。# 从第 50 行开始看 more 50 /var/log/syslog # less 打开后直接定位到 error less /error /var/log/syslog日志动辄几百兆用cat打开就是自找麻烦。less是懒加载的打开大文件几乎不耗时而cat会一次性读进管道内存和终端都会被拖死。这个差别在排查线上问题时很实际。4.2 head 与 tail日志场景的两个方向head看头部默认 10 行-n指定行数-c按字符数-v显示文件名-q不显示文件名。tail看尾部参数一致另外还有一个文档里没写但日志场景离不开的-f用于持续跟踪文件追加内容。# 看配置文件的头 20 行 head -n 20 /etc/ssh/sshd_config # 只看前 200 个字符 head -c 200 access.log # 看日志最后 50 行 tail -n 50 /var/log/auth.log # 持续跟踪CtrlC 退出 tail -f /var/log/auth.logtail -f是排查服务启动失败的标配先开一个窗口跟踪日志再在另一个窗口重启服务报错会实时滚出来。比反复cat高效得多也不用记时间点。head -c在处理二进制文件头判断文件类型、校验魔数时比head -n更精确因为二进制没有“行”的概念。4.3 find 与 locate两套完全不同的模型find实时遍历文件系统条件可以任意组合-name按名字区分大小写-iname忽略大小写-user/-group按属主属组-size按大小n大于-n小于单位c字节、kKB、GGB-type按类型f普通文件、d目录、l软链接-perm按权限-path匹配完整路径。# 当前目录下所有 .conf 文件 find . -name *.conf # 忽略大小写 find /etc -iname *.CONF # 找大于 100M 的普通文件 find / -type f -size 100M 2/dev/null # 按权限精确匹配 644 find . -type f -perm 644 # 找到后批量删除-exec 结尾的 \; 不能少 find /tmp/lab -type f -name *.tmp -exec rm -f {} \;-exec后面跟命令{}代表找到的文件\;是命令结束符必须转义否则被 shell 吃掉。这个位置漏掉分号是最常见的语法错误报错信息还不直观。locate查的是预建索引数据库速度比find快一个数量级但结果可能过期。-i忽略大小写-n限制输出行数。索引由updatedb维护新装的文件不updatedb就查不到。# 先刷新索引再查 sudo updatedb locate -i nmap # 只输出前 10 条 locate -n 10 *.conf两者的选择很明确知道大概位置、要精确条件、要求结果实时用find只记得文件名片段、要快速扫全盘用locate再拿结果去find验证。find /在大盘上跑几分钟很正常locate是毫秒级但代价是索引可能滞后做安全排查时不能只信locate。which查命令的绝对路径原理是遍历$PATH里的目录找第一个同名可执行文件。它回答的是“我敲的这个命令实际执行的是哪个文件”在排查同名命令冲突、确认工具是否装成功时最直接。which python3 which -a python3 # 列出 PATH 中所有匹配项which -a比which更有用特别是环境里装了多个版本的时候能看到全部候选和优先级顺序。4.4 gzip 与 tar压缩和打包是两件事gzip只压缩单个文件压缩后原文件变成.gz原文件消失。-d解压-f强制-r递归处理目录下所有文件注意是逐个压缩不是打包-l列出压缩信息-v显示过程。# 压缩原文件变成 access.log.gz gzip access.log # 解压 gzip -d access.log.gz # 查看压缩比 gzip -l access.log.gztar才是打包把多个文件和目录合成一个归档再可选地用 gzip 压缩。参数含义-c创建-x提取-z用 gzip 压缩/解压-v显示过程-f指定归档文件名。# 打包并压缩-f 后面必须紧跟文件名 tar -czvf backup-$(date %F).tar.gz /var/www/html # 解包到指定目录 tar -xzvf backup-20240115.tar.gz -C /tmp/restore # 只看包内文件列表不解压 tar -tzvf backup-20240115.tar.gz参数顺序是这块最容易翻车的地方。-f后面必须紧跟归档文件名tar -czvf和tar -cfvz看起来差不多后者会把v当成文件名去创建然后报错或生成一个奇怪的档案。老式写法tar czvf不带横杠能工作但一旦混用带横杠和不带横杠的形式就容易出错统一用带横杠的-czvf更稳。-C指定解压目标目录位置放在归档名之后写在前面会被当成文件名的一部分。5. 避坑与排查五条让命令翻车的现场记录参数记不住可以查习惯错了会反复踩。下面五条是这套命令在实际使用里出现频率最高的翻车场景每条按现象、原因、解决三段说。5.1 rm -rf 后面的通配符被 shell 提前展开现象执行rm -rf $DIR/*变量拼错或者目录为空时命令变成了rm -rf /*系统目录被清空。原因$DIR未定义时展开为空字符串/*保留shell 把/下的所有内容作为参数传给rm。同理路径里有空格没加引号会被拆成多个参数。解决变量一律加引号并做空值判断删除前先打印。# 危险写法 rm -rf $DIR/* # 安全写法判断非空 引号 先确认路径 [ -n $DIR ] [ -d $DIR ] || { echo DIR invalid; exit 1; } echo target: ${DIR:?}/* rm -rf -- ${DIR:?}/*${DIR:?}在变量为空时报错并中止--告诉rm后面不再解析选项防止目录名以-开头被当成参数。5.2 cp -a 复制过去后权限和属主全变了现象用cp -r复制网站目录到新位置文件权限变成默认 644/755属主变成当前用户服务起不来。原因-r只递归不带属性保留。默认行为会按 umask 重新计算权限属主变成执行者。-p保权限和时间戳-d处理软链接-a是三者合并。解决归档式复制统一用cp -a跨主机传输先tar再解包tar天然保留属主和时间戳。# 保留属性复制目录 cp -a /var/www/html /backup/html-$(date %F) # 跨机迁移更稳的方式 tar -czf - -C /var/www html | ssh userhost tar -xzf - -C /var/www5.3 tar 参数顺序写反导致归档文件异常现象tar -cfvz backup.tar.gz dir/执行后没报错但生成的包解不开或者包名变成了v。原因-f必须紧跟归档文件名-cfvz里f后面接的是vtar把v当成目标文件名z和dir被当成待打包内容。解决固定写成-czvf把f放在最后一位、紧跟文件名形成肌肉记忆。# 正确f 最后紧跟包名 tar -czvf backup.tar.gz /path/to/dir # 解包同理 tar -xzvf backup.tar.gz -C /target5.4 whatis 返回 nothing appropriate现象刚装完一个工具whatis 工具名提示nothing appropriate但man 工具名正常。原因whatis查的是手册索引数据库apt安装后索引未必同步更新尤其在离线装包或手动拷贝 man 文件的场景下。解决重建索引再查仍然查不到就说明该命令没有登记手册条目直接命令 --help。sudo mandb whatis tar # 索引重建后仍为空走 --help tar --help | head -n 205.5 halt -n 之后文件系统报错现象为了快速关机用了halt -n重启后出现文件系统需要 fsck 的提示个别日志文件内容截断。原因-n跳过 sync页缓存里没落盘的写操作直接丢失元数据和数据不一致。解决正常关机走shutdown -h now它会先停服务再 sync 再断电。确实要跳过 fsck 用shutdown -h -f而不是halt -n。任何情况下都不建议在数据盘有写入时用-n。# 正确关机流程 sudo sync sudo shutdown -h now6. 进阶把散命令串成一条可复用的核查链单个命令用熟之后真正拉开效率差距的是把它们串成固定流程。我处理一台陌生授权环境的 Kali 时第一轮不碰任何工具只跑一遍下面这条核查链五分钟内就能把“系统是什么、谁登过、有没有异常大文件、日志在哪”摸清楚。#!/bin/bash # quick-check.sh —— 环境初查只读操作不做任何修改 set -u echo 1. 系统与内核 uname -a cat /etc/os-release | head -n 3 echo 2. 谁登录过 last -n 10 -R echo 3. 当前登录会话 who echo 4. 大于 500M 的文件 find / -xdev -type f -size 500M 2/dev/null | head -n 20 echo 5. 最近 24 小时改动的配置 find /etc -type f -mtime -1 2/dev/null | head -n 30 echo 6. 关键日志尾部 tail -n 20 /var/log/auth.log 2/dev/null逐条说明参数意图last -n 10 -R只取最近 10 条登录记录-R去掉主机名和 IP 列输出更干净适合快速扫find / -xdev里的-xdev是限制不跨文件系统避免扫到挂载的网络盘和临时盘把时间拖长-mtime -1是 24 小时内修改比-mmin的粗粒度更适合做“最近动过什么”的初筛tail前面加2/dev/null是因为部分发行版日志路径不同文件不存在时不该中断脚本。验证这条链是否有效有个简单办法故意在/etc下建一个测试文件touch /etc/_test_probe然后重跑第 5 段看它是否出现在输出里。出现了说明时间条件写对了再rm /etc/_test_probe重跑一遍确认消失。这个“先注入再验证”的习惯比看文档猜参数可靠得多。血泪经验是这类脚本一律只读绝不在第一轮里带rm、mv、重定向。初查阶段的信息量已经足够定位方向动手改是第二轮的事。我早年在一台客户机上把find的结果直接管道给xargs rm结果文件名里带空格被拆成两段删错了一个正在用的配置文件从那以后凡是删除类操作我都强制先echo一遍目标列表人眼过一遍再执行。工具再熟这一步也不省。希望帮到你。本文还有配套的精品资源点击获取
